Skip to main content

Erfahren Sie mehr über unsere Leistungen

Datenschutz & Informationssicherheit

NIS2-Umsetzungs­gesetz: Cybersicher­heit in Deutschland neu geregelt


Im Oktober 2024 tritt in Deutschland das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft, mit dem die EU-Richtlinie NIS2 zur Stärkung der Cybersicherheit in nationales Recht überführt wird. Das Gesetz, welches als Referentenentwurf vom Mai 2024 vorliegt, bringt umfangreiche neue Pflichten für Unternehmen und Organisationen mit sich, um die IT-Sicherheit zu verbessern und die Widerstandsfähigkeit gegenüber Cyberangriffen zu erhöhen. Das NIS2-Umsetzungsgesetz soll am 1. Oktober 2024 in Kraft treten. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten beim BSI registrieren und unverzüglich mit der Umsetzung der geforderten Maßnahmen beginnen. Für KRITIS-Betreiber gilt eine Übergangsfrist bis 2027 für den ersten Nachweis der Umsetzung. Unternehmen sollten zügig mit der Analyse ihrer Verpflichtungen und der Planung der notwendigen Schritte starten.

Pflichten zur Gewährleistung der Cybersicherheit im Unternehmen

Betroffene Unternehmen müssen geeignete technische und organisatorische Maßnahmen ergreifen, um ihre IT-Systeme und -Prozesse zu schützen. Dazu gehören unter anderem die Implementierung eines effektiven Risikomanagements, die Meldung von erheblichen Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von 24 Stunden, der Einsatz von Systemen zur Angriffserkennung und die regelmäßige Schulung von Mitarbeitern in Fragen der IT-SicherheitEine wesentliche Neuerung gegenüber den bisherigen Regeln sind die verschärften Nachweispflichten. KRITIS-Betreiber müssen künftig alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen gegenüber dem BSI nachweisen, dass sie die geforderten Maßnahmen umgesetzt haben. Für die übrigen Einrichtungen sieht das Gesetz anlassbezogene Stichprobenprüfungen durch das BSI vor, die jederzeit durchgeführt werden können.

Strafen und Bußgelder

Das Gesetz sieht Bußgelder von bis zu 20 Millionen € oder bis zu 2% des weltweiten Jahresumsatzes vor, wobei der jeweils höhere Wert zugrunde gelegt wird. Auch Haftungsrisiken für Geschäftsleiter sind in bestimmten Fällen vorgesehen.

Wer fällt unter das Gesetz?

Das NIS2-Umsetzungsgesetz unterscheidet zwischen zwei Kategorien von betroffenen Unternehmen: den besonders wichtigen Einrichtungen und den wichtigen EinrichtungenAuch Betreiber sogenannter kritischer Infrastrukturen (KRITIS), die bereits unter die bisherige KRITIS-Regulierung fallen, werden von den neuen Regeln erfasst. Nach Schätzungen des Gesetzgebers werden insgesamt rund 30.000 Unternehmen in Deutschland  betroffen sein.

Besonders wichtige Einrichtungen

Sektoren

Öffentliche Verwaltung, Energie, Transport und Verkehr, Bankensektor, Finanzmarkt, Gesundheitswesen, Trinkwasserversorgung, Abwasserwirtschaft, Digitale Infrastruktur, IKT, Raumfahrt

Voraussetzung

NIS2-Richtlinie gilt für Unternehmen, die

  • über 250 Mitarbeitende beschäftigen, oder
  • einen Jahresumsatz von mehr als 50 Millionen € haben und eine Jahresbilanzsumme von mehr als 43 Millionen € haben.

Wichtige Einrichtungen

Sektoren

Post- und Kurierdienste, Abfallwirtschaft, Herstellung & Produktion und Vertrieb von chemischen Stoffen, Herstellung & Produktion und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe (inkl. Medizinprodukte), Digitale Dienstleistungen, Forschung

Voraussetzung

NIS2-Richtlinie gilt für Unternehmen, die

  • mehr als 50 Mitarbeiter beschäftigen, oder
  • einen Jahresumsatz von mehr als 10 Millionen € haben und eine Jahresbilanzsumme von weniger als 43 Millionen € haben.

NIS2 – wir unterstützen Sie!


Unser Angebot umfasst ein Erstgespräch zu NIS2, bei dem wir grundlegende Fragen klären und gemeinsam die individuellen Bedürfnisse und Ziele besprechen. Dabei stehen wir Ihnen mit fachkundigem Rat und Unterstützung zur Seite, um sie optimal auf die Umsetzung von NIS2 vorzubereiten. Wir bieten darüber hinaus eine kontinuierliche Begleitung über den gesamten Prozess, um sicherzustellen, dass die angestrebten Ergebnisse erreicht werden.

Je früher, desto besser.