• Die NIS-2-Richtlinie ist eine EU-weit geltende Cybersecurity-Regelung, die im EU-Amtsblatt am 27. Dezember 2022 veröffentlicht wurde und ab dem 18. Oktober 2024 anzuwenden ist.
• Deutschland hatte die Umsetzungsfrist verpasst, setzt aber mit dem sogenannten NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) darauf, die Richtlinie nun im nationalen Recht zu verankern.
• Zwar liegt ein Regierungsentwurf vor, doch ist das Gesetz bislang nicht verabschiedet. Die EU-Kommission hat deshalb im November 2024 ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet.
• Nun ist zu erwarten, dass das Gesetz noch 2025 oder zum Jahreswechsel 2025/26 ohne lange Umsetzungsfrist kommen wird und viele Unternehmen vor große Herausforderungen stellt!

   

Betroffene Unternehmen müssen geeignete technische und organisatorische Maßnahmen umsetzen, um ein hohes Sicherheitsniveau zu gewährleisten. Und vor allem diese auch nachweisen können.

Dazu gehören unter anderem:

• Risikomanagement und Sicherheitsstrategien zur Prävention und Minimierung von Cybervorfällen

• Regelmäßige Sicherheitsüberprüfungen sowie die Einführung und Pflege eines Informationssicherheits-Managementsystems (ISMS)

• Benennung eines Informationssicherheitsbeauftragten (ISB) zur Koordination der Sicherheitsmaßnahmen

• Schulung und Sensibilisierung der Mitarbeiter im Bereich Cybersicherheit

• Meldepflichten bei erheblichen Sicherheitsvorfällen innerhalb von 24 Stunden an die zuständige Behörde

• Absicherung der Lieferketten, einschließlich der Prüfung von IT-Dienstleistern und Partnern

• und und und ...
  
  
  

➡Die konkrete Ausgestaltung dieser Maßnahmen hängt stark von der Größe, Branche, IT-Struktur und Risikolage des Unternehmens ab – eine individuelle Anpassung ist zwingend erforderlich.

Die Nicht-Umsetzung der NIS-2-Anforderungen birgt gravierende Folgen – sowohl für das Unternehmen als auch für einzelne Verantwortliche:

• Hohe Bußgelder: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).

• Behördliche Auflagen: Anordnungen zur sofortigen Umsetzung von Sicherheitsmaßnahmen, verpflichtende externe Prüfungen oder sogar Einschränkungen im Betrieb.

• Haftung der Geschäftsleitung: Führungskräfte können persönlich in die Verantwortung genommen werden, wenn sie ihre Organisationspflichten verletzen (Managerhaftung).

• Reputationsschäden: Öffentlich gewordene Sicherheitsvorfälle können das Vertrauen von Kunden, Partnern und Investoren nachhaltig schädigen.

• etc.

Besonderer Hinweis für IT-Administratoren und interne Verantwortliche:

• Haftung interner Rollen: Datenschutzbeauftragte und Admins können persönlich in die Verantwortung geraten, wenn sie grob fahrlässig oder vorsätzlich handeln.

• Doppelbestrafung möglich: Ein Verstoß kann sowohl nach DSGVO als auch künftig nach NIS-2 geahndet werden – mit separaten Verfahren und Strafen.

Wer bewusst notwendige Sicherheitsmaßnahmen unterlässt oder deren Umsetzung behindert, kann arbeitsrechtlich (z. B. Abmahnung, Kündigung) und strafrechtlich (z. B. wegen grober Fahrlässigkeit oder Vorsatz) belangt werden – insbesondere, wenn dadurch ein Sicherheitsvorfall begünstigt wird. Auch die Unterlassung einer gesetzlich vorgeschriebenen Meldung kann zu persönlichen Konsequenzen führen.

➡ Fazit: NIS-2 ist keine optionale Empfehlung, sondern eine rechtlich bindende Verpflichtung – für die Unternehmensführung und alle, die mit der IT-Sicherheit, Compliance und dem Datenschutz betraut sind.