{"id":11855,"date":"2023-11-13T12:35:52","date_gmt":"2023-11-13T10:35:52","guid":{"rendered":"https:\/\/www.bho-legal.com\/?p=11855"},"modified":"2023-11-17T12:20:58","modified_gmt":"2023-11-17T10:20:58","slug":"nis2-neue-eu-anforderungen-an-die-it-sicherheit-in-deutschland","status":"publish","type":"post","link":"https:\/\/www.bho-legal.com\/fr\/nis2-neue-eu-anforderungen-an-die-it-sicherheit-in-deutschland\/","title":{"rendered":"NIS2 – Neue EU-Anforderungen an die IT-Sicherheit in Deutschland"},"content":{"rendered":"

NIS2 – Neue EU-Anforderungen an die IT-Sicherheit in Deutschland<\/strong><\/p>\n

Mit zunehmender Digitalisierung und Automatisierung steigt die Bedrohung durch Cyberkriminalit\u00e4t kontinuierlich. Insbesondere kritische Infrastrukturen oder Organisationen, die gesellschaftlich und wirtschaftlich relevante Dienstleistungen erbringen, sind erheblichen Cyberrisiken ausgesetzt. Der daraus resultierende Schaden f\u00fcr deutsche Unternehmen betrug laut Bundeslagebild Cybercrime 2022 allein im Jahr 2022 mehr als 200 Milliarden Euro und hat sich seit 2019 fast verdoppelt. Dazu z\u00e4hlen vor allem Sch\u00e4den durch sogenannte Ransomware, DDoS-Attacken und andere Cyberangriffe auf die IT-Systeme von Unternehmen. Besonders betroffen ist der \u00f6ffentliche Sektor, da staatliche Unternehmen h\u00e4ufig Betreiber von kritischen Infrastrukturen (KRITIS) sind. Ein Ausfall bestimmter kritischer Dienste und Systeme kann schwerwiegende Folgen f\u00fcr das Funktionieren der Gesellschaft, der Wirtschaft und damit auch der \u00f6ffentlichen Sicherheit haben. Dar\u00fcber hinaus wird auch der rechtliche Rahmen im Bereich der IT-Sicherheit immer komplexer.<\/p>\n

Um Risiken zu mindern und europaweit f\u00fcr ein angemessenes Niveau an Cybersicherheit zu sorgen, wurde Ende 2022 die aktualisierte Richtlinie zur Netz- und Informationssicherheit (NIS2) vom Europ\u00e4ischen Parlament und dem Rat der EU verabschiedet. Die NIS2 gibt den Mitgliedstaaten einen Regelungsrahmen vor, der festlegt, f\u00fcr welche \u00f6ffentlichen und nicht-\u00f6ffentlichen Organisationen die Richtlinie gilt und welche Pflichten zu erf\u00fcllen sind, um ein ausreichendes Ma\u00df an Cybersicherheit gew\u00e4hrleisten zu k\u00f6nnen. Die Mitgliedsstaaten der EU sind verpflichtet, die Richtlinie sp\u00e4testens bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Wir stellen nachfolgend die NIS2-Richtlinie und ihre Umsetzung in Deutschland n\u00e4her vor.<\/p>\n

Das NIS2UmsuCG und seine Umsetzung in Deutschland<\/strong><\/p>\n

In Deutschland sollen die Regelungen der NIS2 mit dem \u201eNIS2-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetz\u201c (NIS2UmsuCG) in nationales Recht \u00fcberf\u00fchrt werden. Der k\u00fcrzlich ver\u00f6ffentlichte Referentenentwurf des Bundesministeriums des Innern gibt einen Ausblick darauf, welche Organisationen betroffen sind und welche neuen Verpflichtungen auf diese Organisationen zukommen werden.<\/p>\n

Die in der NIS2-Richtlinie genannten Organisationen werden im Referentenentwurf konkretisiert. Es ist davon auszugehen, dass die geplanten gesetzlichen Anforderungen dazu f\u00fchren werden, dass deutlich mehr Unternehmen als bisher in das gesetzliche IT-Sicherheitsregime einbezogen werden. Hierbei wird zwischen \u201ewichtigen\u201c, \u201ebesonders wichtigen\u201c und \u201ekritischen\u201c Einrichtungen, die bereits von der sogenannten CER-Richtlinie \u00fcber die Resilienz kritischer Einrichtungen (Richtlinie (EU) 2022\/2557) und dem – derzeit noch im Entwurfsstadium befindlichen – \u00a0KRITIS-Dachgesetz zur Umsetzung der CER-Richtlinie genannt werden, unterschieden. Zudem wird eine Auflistung von Sektoren vorgenommen, in denen die in der Richtlinie definierten Einrichtungen t\u00e4tig sind.<\/p>\n

\u201eBesonders wichtige Einrichtungen\u201c sind solche, die in bestimmten Sektoren der Kategorie I t\u00e4tig sind (siehe nachstehende Tabelle) und die mehr als 250 Besch\u00e4ftigten haben oder mehr als 50 Millionen Euro Umsatz erwirtschaften und eine Bilanzsumme von mehr als 43 Millionen Euro ausweisen. Zudem gibt es Einrichtungen, die ebenfalls als Sonderf\u00e4lle dazu z\u00e4hlen, auch wenn ihre Besch\u00e4ftigtenzahlen oder die Finanzkennzahlen abweichen: (Qualifizierte Trust Service Provider (QTSP), Top Level Domain Provider (TLD), Domain Name System Provider (DNS), Telekommunikationsanbieter, kritische Einrichtungen, sowie Einrichtungen der Bundesregierung).<\/p>\n

\u201eWichtige Einrichtungen\u201c sind solche, die in den spezifischen Sektoren I und II t\u00e4tig sind, mehr als 50 Besch\u00e4ftigten oder mehr als 10 Millionen Euro Umsatz erwirtschaften beziehungsweise deren Bilanzsumme mehr als 10 Millionen Euro betr\u00e4gt. Auch Vertrauensdienste werden dieser Gruppe zugeordnet.<\/p>\n

Entscheidend f\u00fcr die Ermittlung der Mitarbeiterzahl, des Jahresumsatzes und der Jahresbilanzsumme ist die Gesch\u00e4ftst\u00e4tigkeit der Organisation. Es ist daher spezifisch zu pr\u00fcfen, ob ein Unternehmen den neuen aufsichtsrechtlichen Anforderungen unterworfen sein wird.<\/p>\n

Als relevante Sektoren wurden bisher die nachfolgend aufgef\u00fchrten Bereiche festgelegt.<\/p>\n

Da eine genauere Definition der betroffenen Unternehmen noch nicht im Gesetzesentwurf vorliegt, bleibt es abzuwarten, welche Unternehmen und welche Art von Einrichtungen genau in den Anwendungsbereich des nationalen Rechtsrahmens fallen werden.<\/p>\n\n\n\n\n\n\n\n\n\n\n
SEKTOR I<\/strong><\/td>\nSEKTOR II<\/strong><\/td>\n<\/tr>\n
Energie
\nElektrizit\u00e4t, Fernw\u00e4rme\/K\u00fchlung
\nHeiz\u00f6l, Gas<\/td>\n		Transport\/Verkehr
\nPost und Kurierdienst<\/td>\n<\/tr>\n
Transport\/Verkehr
\nLuftverkehr Schienenverkehr, Schifffahrt,
\nStra\u00dfenverkehr<\/td>\n		Abfallentsorgung<\/p>\n

Abfallwirtschaft<\/td>\n<\/tr>\n

Finanzen\/Versicherungen
\nBanken, Finanzmarktinfrastruktur<\/td>\n		Chemikalien
\nFertigung, Handel, Produktion<\/td>\n<\/tr>\n
Gesundheit
\nDienstleistungen,
\nReferenzlaboratorien, F&E,
\npharmazeutische Erzeugnisse (NACE C Abt. 21),
\nmedizinische Ger\u00e4te<\/td>\n		Lebensmittel
\nGro\u00dfhandel
\nHerstellung
\nVerarbeitung<\/td>\n<\/tr>\n
Wasser\/Abwasser
\nTrinkwasser
\nAbwasser <\/p>\n

 <\/td>\n

Herstellung
\nMedizin\/Diagnostik, Datenverarbeitung Elektronik, Optik (NACE C Abt. 26\/27),
\nMaschinen und Ausr\u00fcstungen (NACE C 28),
\n<\/span>Kraftwagen und Kraftwagenteile (NACE C 29),
\nFahrzeugbau (NACE C 30)<\/td>\n<\/tr>\n
IT und Telekommunikation
\nIXPs, DNS, TLD, Cloud-Anbieter,
\nRechenzentrumsdienste, CDNs, TSP,
\nelektronische Kommunikation und Dienste,
\nverwaltete Dienste und Sicherheitsdienste<\/td>\n		Digitale Dienste
\nMarktpl\u00e4tze,
\nSuchmaschinen
\nsoziale Netzwerke <\/td>\n<\/tr>\n
Weltraum
\nBodeninfrastrukturen<\/td>\n		Forschung
\nForschungseinrichtungen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Vorbereitung auf das NIS 2-Umsetzungsgesetz<\/strong><\/p>\n

Gem\u00e4\u00df der Richtlinie m\u00fcssen \u201cbesonders wichtige\u201c und \u201ewichtige\u201c Einrichtungen sowie Betreiber kritischer Einrichtungen geeignete, verh\u00e4ltnism\u00e4\u00dfige und wirksame technische und organisatorische Ma\u00dfnahmen ergreifen, um St\u00f6rungen in der Verf\u00fcgbarkeit, Integrit\u00e4t, Authentizit\u00e4t und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Verfahren, die sie zur Erbringung ihrer Dienste nutzen, zu verhindern. Zus\u00e4tzlich sollten sie darauf abzielen, die Auswirkungen von Sicherheitsvorf\u00e4llen auf ihre eigenen Dienste und andere Dienste zu verhindern oder zu minimieren. Zwar liegt der deutsche Gesetzentwurf noch nicht in seiner endg\u00fcltigen Form vor. Jedoch wird erwartet, dass die Anforderungen im Wesentlichen unver\u00e4ndert bleiben. Unternehmen, die voraussichtlich unter das neue Gesetz fallen werden, sollten sich daher in jedem Fall rechtzeitig mit den folgenden Themen befassen:<\/p>\n