English (United Kingdom) 
Deutsch 
NIS-2 im Unternehmenskontext - ein Überblick
NIS steht für Netzwerk und Informationssysteme und ist eine EU-weit geltende Richtlinie.
Sie regelt die verbindlichen Mindestanforderungen die Cybersicherheit von Unternehmen und Institutionen. Durch die darin definierten Maßnahmen wird ein gemeinsames, hohes Sicherheitsniveau in allen essenziellen Bereichen der öffentlichen Versorgung und Infrastruktur in der gesamten EU geschaffen.
Das Risikomanagement stellt dabei ein wesentliches Element dar.
* Nachstehend möchten wir Ihnen einen Überblick über die wesentlichen Inhalte der europäischen Richtlinie NIS-2 geben, die als Mindeststandard gilt.
Bitte beachten Sie, dass die zur Verfügung gestellten Informationen lediglich Ihrer Information dienen und keine individuelle juristische Beratung ersetzen.
Nationale Umsetzungsvorschläge werden in diesem Beitrag nicht beachtet. Sie bilden aber selbstverständlich den bestimmenden Maßstab unserer Beratungsleistungen.
Fakten für Unternehmen
Wann tritt NIS-2 in Kraft?
Diese europäische Richtlinie sollte ursprünglich bis Oktober 2024 von allen Mitgliedstaaten der EU in nationales Recht überführt werden. Deutschland hat diese Frist jedoch nicht eingehalten, wodurch ein Vertragsverletzungsverfahren der EU-Kommission eingeleitet wurde. Eine nationale Umsetzung der NIS-2-Richtlinie wird nun frühestens im Herbst 2025 erwartet.
Seit Oktober 2023 existiert ein Regierungsentwurf zur Umsetzung der NIS-2-Richtlinie. Dieser Entwurf dient als Grundlage für die Anpassung deutscher Vorgaben an die neuen EU-Standards. Unternehmen sollten dennoch proaktiv tätig werden, um die Anforderungen der Richtlinie frühzeitig umzusetzen, da diese nach Inkrafttreten unmittelbar gelten werden.
Roadmap
16.01.2023
17.10.2024
18.10.2024
17.10.2027
Wesentliche Bestandteile von NIS-2
Nationale Sicherheitsstrategie
Behördenrolle bei Cybersicherheitsvorfällen
Europäische Schwachstellendatenbank
Verpflichtung der Leitung
Risikomanagement
Meldung von Vorfällen
Sanktionen und Bußgelder
Wer ist von NIS-2 betroffen?
Die Richtlinie gilt für alle Unternehmen und Institutionen, die ihre Dienstleistungen in der EU erbringen oder dort ausüben.
Der Focus liegt weiterhin auf kritischen Infrastrukturen wie Energie, Verkehr und Gesundheitswesen.
Neu betroffen sind jedoch auch zahlreiche Unternehmen im klein- und mittelständischen Bereich, die bisher nicht unter die Regelungen fielen. Unternehmen mit 50 oder mehr Beschäftigten und einem Jahresumsatz von über 10 Millionen Euro sind grundsätzlich erfasst. Bestimmte Sektoren wie digitale Infrastruktur oder öffentliche elektronische Kommunikationsdienste, fallen unabhängig von Größe oder Umsatz unter die NIS-2-Richtlinie.
Betroffenheitsanalyse
Diese muss von Ihnen selbst ermittelt werden.
Von behördlicher Seite wird Ihnen nicht mitgeteilt,
ob für Sie die NIS-2-Vorgaben gelten.
Anwendungsbereich
Unternehmen werden nach NIS-2 reguliert, wenn sie aufgrund ihrer Kritikalität eine essenzielle Rolle spielen.
Jedes dieser Unternehmen ist zudem einer Größe
und einem Sektor zuzuordnen.
Des Weiteren greifen Schwellenwerte bzgl. Mitarbeiteranzahl, Jahresumsatz und Bilanzsumme im jeweiligen Sektor.
Diese Faktoren bedingen unterschiedliche Maßnahmen und beeinflussen auch die Höhe möglicher Strafen.
