NIS2-Umsetzungsgesetz – Deutschlands gesetzliche Vorgabe zum Thema IT-Sicherheit

Unternehmen sind heutzutage ständig neuen digitalen Bedrohungen ausgesetzt. Die NIS2-Richtlinie ist ein Ansatz, um die IT-Sicherheitsstandards in der Europäischen Union zu erhöhen und kritische Infrastrukturen besser zu schützen. Sie wird ab dem 17. Oktober 2024 in nationales Recht überführt und gilt dann auch in Deutschland.

Prüfen Sie gerne hier, ob Ihr Unternehmen betroffen ist!

Was ist das NIS2-Umsetzungsgesetz?

Im Jahr 2016 wurde von der EU eine Richtlinie zur Sicherheit von Netz- und Informationssystemen (NIS) erlassen, die damals vor allem für große Unternehmen aus kritischen Sektoren galt. Die NIS2-Richtlinie ist eine überarbeitete Version davon und wurde aufgrund zunehmender und neuer Angreifer sowie Bedrohungen erweitert, um den Kreis der betroffenen Unternehmen zu erweitern und den Sicherheitsstandard an die aktuelle Lage anzupassen.

Welche Unternehmen sind vom neuen NIS2-Umsetzungsgesetz betroffen?

Das neue NIS2-Umsetzungsgesetz verpflichtet nun neben großen Unternehmen auch mittelständische Unternehmen ab 50 Mitarbeitern. Neben der Mindestanzahl an Mitarbeitern muss das Unternehmen, um betroffen zu sein, aus einer der folgenden Branchen stammen: Energie, Wasserwirtschaft, Gesundheit, Lebensmittel, Chemie, Maschinenbau, Fahrzeugbau, Abfall, digitale Infrastruktur, Transport, Finanzen, Weltraumtechnik oder Forschung. Das NIS2-Umsetzungsgesetz wurde dementsprechend so ausgeweitet, dass insgesamt rund 30.000 Unternehmen in Deutschland betroffen sind.

Welche Maßnahmen muss ich in meinem Unternehmen umsetzen?

Die umzusetzenden Maßnahmen werden im NIS2-Umsetzungsgesetz vorgegeben. Insgesamt gibt es zehn Kategorien, in welchen verschiedene Bausteine definiert werden. Dazu gehören beispielsweise Multi-Faktor-Authentifizierung, Inventarlisten, Patch- und Schwachstellenmanagement, Zugriffskontrollen, IT-Notfallpläne oder Schulungen von Mitarbeitern. Dabei ist es wichtig, die Maßnahmen zu priorisieren, zu planen und am Ende auch schrittweise umzusetzen.

Was erwartet mein Unternehmen bei Nichtumsetzung?

Bei Nichteinhaltung können Strafen von bis zu 10 Millionen Euro oder bis zu 2% des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Darüber hinaus beinhaltet die NIS2-Gesetzgebung, dass Geschäftsführer persönlich haftbar gemacht werden können, was zusätzliche Rechtsfolgen und -kosten für die Unternehmensführung mit sich bringt.

Wie sehen die nächsten Schritte aus?

Das NIS2-Umsetzungsgesetz wurde Ende Juli 2024 im Bundeskabinett beschlossen. Es folgt nun der weitere Weg der Gesetzgebung über Bundestag und Bundesrat. Ab 2025 beginnt das BSI mit den Prüfungen auf Einhaltung der Vorgaben, weshalb im Umkehrschluss nur noch wenige Monate zur Umsetzung der Maßnahmen bleiben.

Als IT-Dienstleister stehen wir Ihnen gerne bei der Evaluierung des Ist- und Soll-Zustands sowie der schrittweisen Umsetzung zur Verfügung.