Die NIS2-Richtlinie im Unternehmen umsetzen

Das IT-SiG 2.0 ist seit Mai 2021 in Kraft und betrifft ausschließlich kritische Infrastrukturen (KRITIS) in Deutschland. Das übergeordnete Ziel von SiG 2.0 ist die Stärkung der nationalen Sicherheit. Mit dem Inkrafttreten des IT-Sicherheitsgesetzes 2.0 wurden die Kompetenzen des Bundesamts für Sicherheit in der Informationstechnik (BSI) deutlich erweitert. Generell verfolgen NIS2 und IT-SiG 2.0 dasselbe Ziel, jedoch einmal auf nationaler und einmal auf europäischer Ebene. Neben NIS2 tritt im Oktober in Deutschland das KRITIS-Dachgesetz in Kraft und beide lösen die bisherige Regulierung in Deutschland ab.

Obwohl es sich bei NIS2 und der DSGVO um getrennte Rechtsinstrumente handelt, ergänzen sie einander und tragen gemeinsam zur Stärkung des Datenschutzes und der Cybersicherheit in der EU bei. Die DSGVO konzentriert sich hauptsächlich auf den Schutz personenbezogener Daten, während die NIS-Richtlinie den Schwerpunkt auf die Gewährleistung der Cybersicherheit in kritischen Infrastrukturen und Diensten legt.

Obwohl sich beide Rechtsvorschriften auf Cybersicherheit konzentrieren und auf EU-Ebene entwickelt werden, haben sie unterschiedliche Schwerpunkte. NIS2 konzentriert sich auf wesentliche Dienste und digitale Dienstleister in verschiedenen Branchen, während DORA (Digital Operational Resilience Act) speziell auf den Finanzdienstleistungssektor ausgerichtet ist. Dies beantwortet auch die Frage, welches Gesetz für beaufsichtigte Institute und Unternehmen des europäischen Finanzsektors zukünftig gilt. Denn als spezielles Gesetz (lex specialis) übertrumpft DORA die generelle Rechtsvorschrift NIS2.

Ausführliche Informationen und Hilfestellungen rund um DORA sind zum Beispiel bei der BaFin zu finden.

Zum einen sind in der Richtlinie Bußgelder für allgemeine Tatbestände festgeschrieben, die nicht zwischen den NIS2-Betreibergruppen unterscheiden, also für alle regulierten Unternehmen gelten. Je nach Art des Verstoßes liegen diese zwischen 100.000 und 2 Millionen Euro.

Zum anderen unterscheidet die Richtlinie bei bestimmten Tatbeständen zwischen „besonders wichtigen“ und „wichtigen Einrichtungen“, die sich durch die Art ihrer Dienste sowie Umsatz und Anzahl der Mitarbeitenden abgrenzen.

„Besonders wichtige Einrichtungen“ stammen ausschließlich aus den Sektoren mit hoher Kritikalität (siehe oben), während die „wichtigen Einrichtungen“ alle „weiteren kritischen Sektoren“ sowie ebenfalls Sektoren mit hoher Kritikalität – allerdings unterhalb bestimmter Schwellenwerte – umfassen.

Bußgelder für besonders wichtige Einrichtungen liegen je nach Verstoß zwischen 100.000 Euro bis zu 10 Millionen Euro bzw. 2 Prozent des Jahresumsatzes.

Bußgelder für wichtige Einrichtungen betragen bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes.

Die möglichen Tatbestände reichen von Verstößen gegen Risikomanagementmaßnahmen und Meldepflichten oder der falschen bzw. unvollständigen Nachweiserbringung über die Erfüllung der Anforderungen und die Nicht-Herausgabe von Informationen bis hin zu nicht erreichbaren Kontaktstellen.

Neben den finanziellen Sanktionen ist auch die persönliche Haftung der Geschäftsleitung zu beachten. Das BSI soll als Aufsichtsbehörde weitergehende Befugnisse erhalten. Damit wird es beispielsweise Menschen, „die als Geschäftsführung oder gesetzliche Vertreter für Leitungsaufgaben in der besonders wichtigen Einrichtung zuständig sind, die Wahrnehmung der Leitungsaufgaben vorübergehend untersagen“ können.