HINWEIS: Für NIS-2 ist es nicht entscheidend ist, wo sich der Hauptsitz des Unternehmens befindet, sondern ob die Dienste in der EU angeboten werden. Demnach sind auch international tätige Unternehmen, die bspw. Soziale Netzwerke anbieten, von NIS-2 betroffen, solange diese Netzwerke dem europäischen Markt zur Verfügung stehen. Sollte kein Sitz bzw. keine Niederlassung in der EU existieren, so muss diese(r) für die NIS-2 eingerichtet werden.

Wie verhält es sich mit den Größenkriterien?

Neben der Sektorabhängigkeit spielt auch die Größe des Unternehmens eine Rolle. Unternehmen, die die Größenkriterien unterschreiten, sind in aller Regel nicht von NIS-2 betroffen. Die drei Größenkriterien sind Anzahl der Mitarbeitenden, der Jahresumsatz und die Jahresbilanz. Entweder die Anzahl der Mitarbeitenden oder der Jahresumsatz/die Jahresbilanz müssen die Mindestkriterien erfüllen, um von NIS-2 betroffen zu sein. Abgestuft wird dies in mittlere und große Unternehmen. Einrichtungen mit mindestens 50 Mitarbeitenden oder einer Jahresbilanz und einem Jahresumsatz von je mind. 10 Mio. EUR gelten als mittlere Unternehmen. Sind mindestens 250 Mitarbeitende beschäftigt oder beträgt die Jahresbilanz mind. 43 Mio. EUR bzw. der Jahresumsatz mind. 50 Mio. EUR, dann gelten die Einrichtungen als großes Unternehmen.

Allerdings gibt es hierbei einige Ausnahmen, bspw. für den Sektor der Digitale Infrastruktur. Qualifizierte Vertrauensdiensteanbieter, Domänennamenregister der Domäne oberster Stufe sowie DNS-Diensteanbieter sind von den Größenkriterien ausgenommen. Für diese gilt NIS-2 immer – unabhängig von der Größe. Auch Betreiber kritischer Anlagen, d.h. Unternehmen, die unter KRITIS fallen, sind stets besonders wichtige Einrichtungen. Gibt es bereits vergleichbare Regularien durch andere Bundesgesetze, wie dem Telekommunikationsgesetz, dann werden diese Unternehmen von den Regeln ausgenommen, solange durch die anderen Regularien ein vergleichbares Schutzniveau erreicht wird.

Zusammenfassend kann eine eindeutige Zu- bzw. Einordnung meist nur bei einer intensiven Auseinandersetzung mit der Richtlinie bzw. dem (späteren) Umsetzungsgesetz erfolgen und ist von vielen Ausnahmen geprägt.

Wir beraten Sie gern und unterstützen Sie bei der Einordnung Ihres Unternehmens

Insbesondere der Nachweis bzw. Konzepte über die Einhaltung der Maßnahmen stehen damit im Mittelpunkt der Betrachtung. Das heißt, dass neben den eigentlichen technischen Maßnahmen stets auch Nachweise für ein planvoll eingeführtes und zentral betriebenes Cybersicherheits-Konzept erbracht werden müssen. Dieses planvolle Vorgehen kann mittels der Einführung eines Informationssicherheitsmanagementsystems (ISMS) umgesetzt werden. Ergänzt wird das ISMS im Bereich der Aufrechterhaltung des Betriebs und der Wiederherstellung nach einem Notfall mittels Business Continuity Management (BCM). Für beide Ansätze gibt es nationale und weltweite Standards, die zu Rate gezogen werden können. Für das ISMS sind in Deutschland die internationale ISO 27001, der BSI Grundschutz sowie die deutschen Branchenspezifischen Sicherheitsstandards (B3S) am weitesten verbreitet³. Diese Regelwerke helfen bei der Einführung eines ISMS (eine Auditierung ist dabei nicht immer zwingend erforderlich). Für BCM sind insbesondere die ISO 22301 und der BSI Standard 200-4 zu nennen.

² In der EU-Richtlinie wird als viertes eigenständiges Schutzziel die Authentizität genannt.

³ Selbstverständlich gibt es weitere Ansätze wie den TISAX für die Automobilbranche, die allerdings nicht alle Erwähnung finden können.

Für die Umsetzung der Maßnahmen verbleiben den Unternehmen drei Jahre ab Inkrafttreten des Umsetzungsgesetzes. Anschließend erfolgen stichprobenartig sowie anlassbezogen (z.B. nach einem gemeldeten Vorfall) Prüfungen durch die nationale Sicherheitsbehörde. Wie diese genau ablaufen, kann zum heutigen Zeitpunkt noch nicht beantwortet werden. Klar ist dagegen, was bei Verstößen bzw. Nichteinhaltung der Maßnahmen passiert. Die NIS-2-Richtlinie bzw. das deutsche Umsetzungsgesetz sehen empfindliche Strafen bei Verstößen vor, die von der Pflicht zur Nachbesserung bis hin zu Geldbußen in Höhe von 2% des weltweiten Jahresumsatzes oder 10 Mio. EUR (je nachdem, was höher ist), geahndet werden können.

Registrierungs- und Meldepflicht

Zusätzlich haben alle betroffenen Unternehmen eine Registrierungs- bzw. Meldepflicht. Die Registrierungspflicht sieht vor, dass sich die Unternehmen binnen drei Monaten nach Inkrafttreten des Umsetzungsgesetzes bei der nationalen Sicherheitsbehörde (in Dtl. beim BSI) melden müssen. Die Meldung beinhaltet den Namen der Einrichtung, den einschlägigen Sektor, die Anschrift in der EU, aktuelle Kontaktdaten, Nennung der Mitgliedsstaaten der EU, in denen das Unternehmen Dienste erbringt und die öffentlichen IP-Adressbereiche. Eine exakte Ausgestaltung, auf welchem Weg die Meldung erfolgt, steht noch nicht fest.

Die Meldepflicht umfasst die unverzügliche Meldung von erheblichen Sicherheitsvorfällen⁴ inkl. Zwischenmeldungen und einem Abschlussberichts (nach abschließender Bearbeitung des Vorfalls) an das BSI.

⁴ Als erheblicher Sicherheitsvorfall gilt ein Vorfall, wenn dieser schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste zur Folge haben kann oder hat oder er andere Personen oder Einrichtungen durch materielle oder immaterielle Schäden beeinträchtigen kann oder beeinträchtigt.

Die Rolle der Geschäftsleitung

Der Geschäftsleitung wird in der NIS-2 eine zentrale Rolle zugeschrieben. Die Cybersicherheits-Maßnahmen können nur erfolgreich sein, wenn diese durch die oberste Leitung vorangetrieben und die Einhaltung der Vorschriften durch diese überwacht wird. Daher haftet die Geschäftsleitung auch bei schuldhaft verursachtem Schaden. Das heißt, dass die Geschäftsleitung für die Umsetzung und die Überwachung der Einhaltung der Cybersicherheits-Maßnahmen verantwortlich ist.

Zunächst führen wir mit Ihnen eine Betroffenheitsprüfung durch. In diesem Workshop stellen wir Ihnen NIS-2 vor, ermitteln mit Ihnen gemeinsam Ihre Betroffenheit und identifizieren aus den NIS-2-Maßnahmen abgeleitete Handlungspunkte. Einer dieser Handlungspunkte wird höchstwahrscheinlich die Einführung eines ISMS sein. Der Einführung vorangestellt ist die sogenannte Gap-Analyse, in welcher wir im Rahmen von Interviews den Reifegrad der Informationssicherheit in Ihrem Unternehmen feststellen. Auf dieser Grundlage planen wir anschließend mit Ihnen gemeinsam die Einführung des ISMS und setzen die Planung um. Hierzu arbeiten wir mit Ihnen gemeinsam in gleichen Teilen an der Einführung. Hat das ISMS einen definierten Reifegrad erreicht, dann widmen wir uns gemeinsam der Notfallbewältigung in Form einer BCM-Einführung. Diese lässt sich grob in zwei Phasen unterteilen. In der ersten Phase steht der Wiederanlauf nach einem Notfall im Mittelpunkt, d.h. die Notfallbewältigung. Im zweiten Schritt geht es um die Erhöhung der Prozesssicherheit mit dem Ziel, die Anzahl und Auswirkung von Aus- und Notfällen auf ein akzeptables Maß zu minimieren. Mit diesen Schritten kommen Sie den geforderten Maßnahmen zur Konzeption und Bewertung der NIS-2 Maßnahmen nach.

Wir bieten Ihnen an, den gesamten Prozess der NIS-2-Maßnahmenumsetzung zu begleiten – begonnen bei der ersten Betroffenheitsanalyse bis hin zur Vorbereitung und Begleitung eines Audits, falls dies erwünscht ist. Dies umfasst auch die Abdeckung der technischen Maßnahmen, die wir mittels eines Cyber-Resilienz-Ansatzes vollständig abdecken und Ihnen auch Services wie Incidence Response Team (IRT) oder Security Checks und Patching anbieten. Dabei achten wir darauf, dass unsere Lösung auf Ihr Unternehmen angepasst und verhältnismäßig ist. Wir können Sie dabei auch mit geeigneten Tools unterstützen, sind aber auch gern bereit, uns auf Ihre bestehenden Lösungen zu fokussieren. Unser Ansatz ist herstellerneutral und nicht auf definierte Lösungen festgeschrieben.

Sie möchten weitere Informationen oder stehen bereits vor der Herausforderung, NIS-2 umzusetzen?

Sprechen Sie uns gern an und vereinbaren Sie einen ersten Beratungstermin mit uns.

Autor: Tom Bormann

Bildquellen: SHD, Freepik, Shutterstock