Erfahrungen mit NIS2: Geschäftsführer haften für Bußgeld mit Privatvermögen

Die Auswirkungen der NIS-2-Richtlinie auf Unternehmen: Eine tiefgreifende Analyse

Ransomware-Angriffe als Bedrohung:

Die digitale Transformation birgt immense Chancen, aber auch neue Herausforderungen. Ransomware-Angriffe haben sich zu einem ernstzunehmenden Problem für Unternehmen entwickelt. Die finanziellen Schäden und Betriebsunterbrechungen, die durch solche Angriffe verursacht werden können, sind beträchtlich. Im Jahr 2022 wurden Cyberangriffe als das größte Geschäftsrisiko weltweit eingestuft (Allianz Risk Barometer 2022).

Die NIS-2-Richtlinie als Antwort:

Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) ist eine Reaktion der Europäischen Union auf die gestiegene Bedrohung durch Cyberangriffe. Sie zielt darauf ab, die Cybersicherheit in der EU zu verbessern und Unternehmen besser vor Ransomware-Attacken und anderen Bedrohungen zu schützen.

Erweiterter Anwendungsbereich der NIS2 Richtlinie:

Die NIS-2-Richtlinie geht im Vergleich zur Vorgängerregelung, der NIS-1-Richtlinie, deutlich weiter. Der Anwendungsbereich wurde auf 18 Sektoren ausgeweitet, die als besonders kritisch für die Wirtschaft und Gesellschaft Europas angesehen werden. Dazu gehören unter anderem Energie, Verkehr, Wasserwirtschaft, Finanzdienstleistungen und digitale Infrastruktur.

NIS2: Verschärfte Anforderungen:

Die NIS-2-Richtlinie stellt umfangreiche Anforderungen an das Risikomanagement von Unternehmen. Diese umfassen:

• Technische und organisatorische Maßnahmen: Unternehmen müssen angemessene Sicherheitsmaßnahmen implementieren, um ihre Systeme und Daten vor Angriffen zu schützen. Dazu gehören unter anderem Firewalls, Intrusion-Detection-Systeme, Verschlüsselungstechnologien und Mitarbeiterschulungen.
• Incident-Response-Plan: Unternehmen müssen einen Plan für den Fall eines Cyberangriffs erstellen. Dieser Plan sollte die Schritte beschreiben, die zur Eindämmung des Schadens, zur Wiederherstellung der Systeme und zur Benachrichtigung der Behörden erforderlich sind.
• Penetrationstests: Unternehmen müssen regelmäßig Penetrationstests durchführen, um Schwachstellen in ihren Systemen zu identifizieren und zu beheben.
• Zertifizierung: Unternehmen in einigen Sektoren müssen sich nach bestimmten Standards zertifizieren lassen, um die Anforderungen der NIS-2-Richtlinie zu erfüllen.

NIS2: Betrachtung der Lieferkette:

Die NIS-2-Richtlinie erkennt an, dass die Sicherheit der Lieferkette für die Cybersicherheit eines Unternehmens von entscheidender Bedeutung ist. Unternehmen müssen daher auch die Risiken in ihrer Lieferkette bewerten und Maßnahmen zur Minderung dieser Risiken ergreifen.

Vorsicht! Der Begriff des Lieferanten ist nicht legaldefiniert. Nach den Erwägungsgründen der NIS-2-Richtlinie werden alle direkten Lieferanten einbezogen, z.B. Cybersecurity-Professionals, Berater, ggf. sogar Rechtsanwälte. Die Richtlinie stellt v.a. darauf ab, dass Lieferanten ein Einfallstor für Cybercrime sein können. 

Persönliche Haftung der Leitungsorgane:

Die NIS-2-Richtlinie führt eine neue persönliche Haftung der Leitungsorgane für die Umsetzung der Cybersicherheitsmaßnahmen ein. Dies bedeutet, dass Vorstände und Geschäftsführer persönlich haftbar gemacht werden können, wenn ein Unternehmen die Anforderungen der Richtlinie nicht einhält und es zu einem Cyberangriff kommt.

Umsetzung und Durchsetzung:

Die Mitgliedstaaten der EU müssen die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Die Europäische Kommission wird die Umsetzung und Durchsetzung der Richtlinie überwachen.

Sanktionen bei Verstößen:

Bei Verstößen gegen die NIS-2-Richtlinie können empfindliche Geldbußen verhängt werden. Für Unternehmen in kritischen Sektoren können die Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen.

Zusammenspiel mit der DSGVO:

Die NIS-2-Richtlinie berührt die Datenschutz-Grundverordnung (DSGVO) nicht. Unternehmen müssen bei der Umsetzung der NIS-2-Richtlinie weiterhin die Vorgaben der DSGVO beachten.

Chancen und Herausforderungen:

Die NIS-2-Richtlinie stellt Unternehmen vor neue Herausforderungen, bietet aber auch Chancen. Unternehmen, die die Anforderungen der Richtlinie erfüllen, können ihre Cybersicherheit verbessern und sich so besser vor Cyberangriffen schützen. Die Richtlinie kann auch dazu beitragen, das Vertrauen der Kunden und Geschäftspartner in die digitale Sicherheit von Unternehmen zu stärken.

Die Umsetzung der NIS-2-Richtlinie ist ein komplexer Prozess, der von Unternehmen eine sorgfältige Planung und Vorbereitung erfordert. Es ist wichtig, dass sich Unternehmen frühzeitig mit den Anforderungen der Richtlinie vertraut machen und die notwendigen Maßnahmen zur Umsetzung ergreifen. 

Haben Sie Fragen oder möchten Sie wissen, ob Sie ggf. als Lieferant indirekt von NIS2 betroffen sind? Dann nehmen Sie gerne Kontakt zu uns auf.