NIS-2 Umsetzung in Deutschland: Neue Vorgaben zur IT-Sicherheit seit Dezember

Eigentlich hätte die nationale Umsetzung bereits bis Oktober 2024 abgeschlossen sein müssen; der Koalitionsbruch im Spätherbst 2024 hatte jedoch alle bis dahin erarbeiteten Entwürfe und Zeitpläne zum Erliegen gebracht. Mit der nun erfolgten Verkündung wird das bisherige BSI-Gesetz umfassend modernisiert und an die europäischen Vorgaben angepasst.  

Die neuen Cybersicherheitsregeln für Unternehmen und die öffentliche Verwaltung sind bereits ohne weitere Übergangsfristen am 06. Dezember 2025 in Kraft getreten. Der MITTELSTANDSVERBUND hat die Kernpunkte für Sie zusammengefasst.   

Wer ist betroffen?  

Die gute Nachricht zuerst: Der persönliche Anwendungsbereich von NIS-2 erstreckt sich lediglich auf besonders wichtige Einrichtungen, die in einer abschließenden Anzahl an kritischen Sektoren tätig sind. Ein Blick in die  Anlage 1 und 2 des Gesetzes  zeigt die Betroffenheit unter anderem folgender verbandsrelevanter Sektoren:  

• Abfallbewirtschaftung:  Unternehmen der Abfallbewirtschaftung nach § 3 Abs. 14 KrWG (ausgenommen sind Unternehmen, für die Abfallbewirtschaftung nicht die Hauptwirtschaftstätigkeit darstellt)  

• Produktion, Verarbeitung und Vertrieb von Lebensmitteln:  Betroffen sind hier nur Unternehmen, die im  Groß handel sowie in der industriellen Produktion und Verarbeitung tätig sind  

• Anbieter digitaler Dienste:  Hierunter zählen unter anderem Anbieter von Online-Marktplätzen, die sich an Verbraucher richten  

• Digitale Infrastruktur: Hierunter fallen z.B.  Anbieter von Rechenzentrumsdiensten  oder  Cloud-Computing-Diensten  

Um in den genannten Sektoren betroffen zu sein, müssen Verbundgruppen und angeschlossene Unternehmen zudem mindestens 50 Mitarbeiter beschäftigen  oder  einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro erwirtschaften.  

Einschränkung der „vernachlässigbaren Geschäftstätigkeit“  

Darüber hinaus gilt die Einschränkung, dass eine in die  Anlage 1 und 2  (ab S. 72) fallende Geschäftstätigkeit, wenn sie im Hinblick auf die gesamte Geschäftstätigkeit des Unternehmens „vernachlässigbar“ ist, unberücksichtigt bleiben kann. Anhaltspunkte für diese Bewertung können sein  

• Die Anzahl der in diesem Bereich tätigen Mitarbeiter  

• Der durch diese Geschäftstätigkeit erwirtschaftete Umsatz  

• Die durch diese Geschäftstätigkeit erwirtschaftete Bilanzsumme  

• Die Nennung der fraglichen Geschäftstätigkeit im Gesellschaftervertrag, in der Satzung oder einem vergleichbaren Gründungsdokument der Einrichtung.  

Besonders relevant ist diese Einschränkung für Verbundgruppen, die z.B. zentrale Rechenzentrumsdienste oder vergleichbare digitale Infrastruktur für ihre Anschlusshäuser bereitstellen und somit als Anbieter digitaler Infrastruktur in den Anwendungsbereich von NIS-2 fallen können. Hier ist zu prüfen, ob diese Tätigkeit im Hinblick auf die gesamte Geschäftstätigkeit der Verbundgruppe „vernachlässigbar“ ist.  Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt eine  NIS-2-Betroffenheitsprüfung  bereit, die eine erste, unverbindliche Orientierung ermöglicht, ob das eigene Unternehmen potenziell in den Anwendungsbereich des Gesetzes fallen könnte. Die ServiCon Service & Consult eG wird über weitere Unterstützungsangebote (individuelle Betroffenheitsanalysen, Schulungen und Webinare etc.) für unsere Mitglieder informieren.  

  Pflichten betroffener Unternehmen  

Sollte Ihr Unternehmen unter den Anwendungsbereich von NIS-2 fallen, gilt ein umfassender Pflichtenkatalog, der sowohl präventive Anforderungen als auch reaktive Maßnahmen umfasst, die im Falle eines bereits eingetretenen Sicherheitsvorfalls zu erfüllen sind. Diese Pflichtenkatalog umfasst insbesondere:

1. Registrierungspflicht  

Unternehmen, die gemäß NIS-2 zu einer wichtigen oder sehr wichtigen Einrichtung zählen, müssen sich einem zweistufigen Registrierungsprozess unterziehen.  

Zunächst erfolgt eine Anmeldung beim digitalen Dienst  „Mein Unternehmenskonto“ (MUK) , einem Online-Zugang für Unternehmen, um digitale Verwaltungsdienstleistungen von Behörden zu nutzen, mit diesen zu kommunizieren sowie sich zu identifizieren. Betroffene Verbundgruppen sind dazu angehalten, sich noch in diesem Jahr zu registrieren.  

Im zweiten Schritt erfolgt die Registrierung über ein  Online-Formular  im BSI-Portal. Dieses wird ab dem 6. Januar 2025 freigeschaltet; perspektivisch wird es jedoch durch das in der NIS-2-Richtlinie vorgesehene europäische Meldeportal („Single Entry Point“) ersetzt. Änderungen der registrierten Informationen sind dem BSI unverzüglich, spätestens jedoch innerhalb von zwei Wochen, mitzuteilen.  

2. Risikomanagementmaßnahmen  

Unternehmen sind dazu verpflichtet, „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren, um das eigene Cybersicherheitsrisiko zu minimieren. Wie weitreichend die Maßnahmen sein müssen, hängt dabei von Faktoren wie der Risikoexposition, der Größe der Einrichtung, der Eintrittswahrscheinlichkeit sowie der Schwere und Folgen der Sicherheitsvorfällen ab. Mindestens aber gehört zu den Maßnahmen  

• Eine Risikoanalyse  

• Die Bewältigung von Sicherheitsvorfällen  

• Die Aufrechterhaltung des Betriebs, bsp. durch ein Backup-Management oder ein Krisenmanagement  

• Die Bewertung der Sicherheit der Lieferkette  

• Die Bewertung bereits ergriffener und künftiger Risikomanagementmaßnahmen hinsichtlich ihrer Wirksamkeit  

• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen  

• Sicherheitsschulungen und Sensibilisierungsmaßnahmen  

• Konzepte für Personalsicherheit, (z.B. Zugriffskontrolle, Verwaltung von IKT-Systemen)  

• Multi-Faktor-Authentifizierung, gesicherte Kommunikation sowie ggf. Notfallkommunikation  

Mit der deutschen Umsetzung von NIS-2 wird Cybersicherheit zudem zur Chefsache: Das Gesetz verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen dazu, die zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Verletzen sie diese Pflicht, werden sie persönlich zur Haftung gezogen.  

Darüber hinaus muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Kenntnisse zur Erkennung und Bewertung von Risikomanagementpraktiken zu erwerben.

3. Meldepflicht  

Sollte sich ein erheblicher Sicherheitsvorfall ereignen, müssen betroffene wichtige und besonders wichtige Einrichtungen das BSI über das oben genannte Portal unverzüglich in Kenntnis setzen. Unter erheblichen Sicherheitsvorfällen fasst das Gesetz unter anderem Vorfälle, die  

• Schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann  

• Andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.  

Für die Inkenntnissetzung gelten folgende Fristen:  

• Frühe Erstmeldung :  Innerhalb von 24 Stunden.  Hierzu gehören eine Erstbewertung, ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen sein könnten sowie ob grenzüberschreitende Auswirkungen möglich sind.  

• Meldung :  Innerhalb von 72 Stunden . Hier werden  

• Bereits getätigte Informationen der Erstmeldung aktualisiert  

• Der erhebliche Sicherheitsvorfall nach Schweregrad, Auswirkungen und ggf. Kompromittierungsindikatoren (IOCs) bewertet  

• Folgemeldung/Abschlussmeldung: spätestens nach einem Monat.  Hierzu gehört  

• Eine Abschlussmeldung oder Folgemeldung je nachdem ob der Vorfall noch andauert  

• Eine ausführliche Beschreibung des Vorfalls, einschließlich Schweregrad und seiner Auswirkungen  

• Angaben zur Art der Bedrohung bzw. zu seiner Ursache  

• Angaben zu getroffenen/laufenden Abhilfemaßnahmen  

• Grenzüberschreitende Auswirkungen des Vorfalls  

Grundsätzlich kann jeder Mitarbeiter meldeberechtigt sein, wobei für die zuständige/n Person/en ein eigener Zugang eingerichtet werden muss. Auch Dienstleister oder Unternehmen können zu dieser Rolle ermächtigt werden. Die Verantwortung für den Vorfall und den Inhalt verbleibt allerdings weiterhin bei der Einrichtung, bei der sich der Sicherheitsvorfall ereignete.  

Aufsichtsbehörden antworten in der Regel innerhalb von 24 Stunden nach Eingang der Meldung. Neben Unterstützungsangeboten und Informationen können diese Vor-Ort-Prüfungen durchführen, Unterlagen und Nachweise einfordern sowie verbindliche Anordnungen mit Fristen erlassen. Hierzu gehört etwa, potenziell betroffene Kunden zu unterrichten.  

Sanktionen  

Bei Verstößen gegen die im Nis-2-Umsetzungsgesetz normierten Pflichten für betroffene Einrichtungen drohen empfindliche Strafen:  

• Bei Verstößen gegen bestimmte Nachweispflichten, etwa wenn ein Nachweis nicht richtig, vollständig oder rechtzeitig erbracht wird, droht ein Bußgeld von bis zu  1 Mio. €  

• Bei Verstößen gegen zentrale NIS-2-Pflichten wie der Nichtbefolgung von Anordnungen des BSI, der unzureichenden Umsetzung von Risikomanagementmaßnahmen oder der mangelnden Dokumentation der Maßnahmen drohen bei wichtigen Einrichtungen Strafen von  7 Mio. Euro  sowie bei Unternehmen mit einem Umsatz von mehr als 500 Mio. € von bis zu  1,4 % des weltweiten Jahresumsatzes  

• Weitere Verstöße umfassen etwa die fehlende Erreichbarkeit, die Nichtvorlage von Unterlagen oder die fehlende Unterrichtung des BSI und werden, je nach Art des Verstoßes, mit Bußgeldern von  100.000 € bis hin zu 7 Mio.  € geahndet