Europäische Richtlinie für Cybersicherheit

Betroffenheit nach Unternehmensgröße

Die NIS2-Richtlinie unterscheidet zwischen den folgenden Unternehmensgrößen:

• • • Mittlere Unternehmen ab 50 Mitarbeiter und einem Jahresumsatz bzw. einer Jahresbilanzsumme ab 10 Mio. EUR
    • Große Unternehmen ab 250 Mitarbeiter und einem Jahresumsatz ab 50 Mio. EUR oder einer Jahresbilanzsumme ab 43 Mio. EUR

Ergänzend wird in der NIS2-Richtlinie noch eine Einstufung in wesentliche und wichtige Einrichtungen durchgeführt. Dabei wird anhand der Unternehmensgröße unterschieden, was z.B. Einfluss auf die Bußgeldhöhe bei Verstößen hat. Einige Unternehmen können auch unabhängig von Ihrer Größe betroffen sein. Das können z.B. DNS-Diensteanbieter, Betreiber öffentlicher Telekommunikationsnetze, KRITIS-Betreiber oder vom Staat als wesentlich oder wichtig eingestufte Organisationen sein.

Im Referentenentwurf des NIS2UmsuCG findet eine Anpassung der Bewertung der Unternehmensgröße statt:

• • • Wichtige Einrichtungen gemäß Sektoren der Anlage 1 und 2 mit mindestens 50 Mitarbeiter oder Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro.
    • Besonders wichtige Einrichtungen gemäß Sektoren der Anlage 1 mit mindestens 250 Mitarbeiter oder Jahresumsatz von über 50 Mio. Euro und zudem eine Jahresbilanzsumme von über 43 Mio. Euro.

Zu berücksichtigen ist ebenfalls, dass auch eine indirekte Betroffenheit für kleinere Unternehmen, die z.B. als Dienstleister oder Lieferanten für direkt betroffene Unternehmen tätig sind, bestehen kann (Sicherheit der Lieferkette).

Welche Anforderungen kommen auf Unternehmen zu?

Die Mindestanforderungen der NIS2-Richtlinie lassen sich in drei Hauptthemenbereichen darstellen:

I. Maßnahmen zum Risikomanagement für Cybersicherheit (Art. 21)

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
• Bewältigung von Sicherheitsvorfällen (BCM, Notfallmanagement);
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehun-gen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen (Einkauf), einschließlich Management und Offenlegung von Schwach-stellen;
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaß-nahmen im Bereich der Cybersicherheit;
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Ver-schlüsselung;
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen (Assets);
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Au-thentifizierung, 
• gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

II. Verantwortung der Geschäftsführung (Art. 20)

• Die oberste Leitung muss die Maßnahmen zum Risikomanagement für Cybersicherheit nach Art. 21 billigen, die Umsetzung überwachen und haftet bei Verstößen
• Sie muss an Schulungen teilnehmen und diese auch allen Mitarbeitern regelmäßig an-bieten. Es geht dabei um Erkennung und Bewertung von Risiken sowie Management-praktiken im Bereich der Cybersicherheit.

III. Meldepflicht von Sicherheitsvorfällen (Art. 23)

• Meldung erheblicher Sicherheitsvorfälle an die zuständige Behörde und gegebenenfalls Unterrichtung der Empfänger der Dienste. Die Meldung an die Behörde ist dabei an Fristen gebunden:
• • • unverzüglich, innerhalb von 24 Stunden nach Kenntnis, als Frühwarnung bei Verdacht auf rechtswidrige oder böswillige Handlungen oder grenzüberschreitende Auswirkungen.
    • unverzüglich, innerhalb von 72 Stunden nach Kenntnis, einen aktualisierten Bericht mit Bewertung des erheblichen Sicherheitsvorfalls einschließlich Schweregrad, Auswirkung und ggf. mit Kompromittierungsindikatoren.
    • Spätestens nach einem Monat ein Abschluss- oder Fortschrittsbericht mit ausführlicher Beschreibung des Vorfalls, Schweregrad, Auswirkungen, Bedrohung und Ursache, getroffene und laufende Abhilfemaßnahmen sowie ggf. grenzüberschreitende Auswirkungen.

Wie können sich Unternehmen vorbereiten?

Zunächst sollte eine Einschätzung durchgeführt werden, ob das Unternehmen dem Geltungsbereich des NIS2UmsuCG (bzw. der NIS2-Richtlinie) unterliegt. Daraus lassen sich dann die weiteren Schritte für Ihr Unternehmen ableiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt dazu eine NIS-2-Betroffenheitsprüfung kostenfrei auf seiner Internetseite zur Verfügung. Diese soll Organisationen helfen, das eigene Unternehmen einzuordnen.

Weitere Informationen finden Sie direkt in der NIS2-Richtlinie und im Referentenentwurf zum NIS2UmsuCG. Darüber hinaus stellt das BSI verschiedene Informationen und Unterstützungsangebote zur Verfügung. Diese finden Sie auf der Internetseite des BSI.