Ab dem 17.10.2024 wird NIS-2, die neue verbindliche Cybersicherheitsrichtlinie der EU umgesetzt. Zu diesem Zeitpunkt sind die Mitgliedstaaten verpflichtet, die erforderlichen Maßnahmen zur Einhaltung der Richtlinie zu schaffen und anzuwenden. In Deutschland wird dies über das Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2UmsuCG) geschehen.
Die neue NIS-2 Richtlinie hat einen erweiterten Anwendungsbereich erfahren und geht damit über die bisherigen KRITIS Sektoren hinaus. Sie beinhaltet nun 18 betroffene Sektoren, die in „wesentlich“ und „wichtig“ unterteilt werden.
Die neuen Vorgaben gelten für alle Organisationen, inklusive Unternehmen und Zulieferer, die durch die Erbringung ihrer „wesentlichen“ oder „wichtigen“ Dienste eine elementare Rolle für eine funktionierende Wirtschaft und Gesellschaft innehaben.
Dies heißt im Ergebnis also, dass nicht nur die Sicherheit in Ihrem eigenen Unternehmen relevant ist, sondern auch die Ihrer Lieferkette. Auch darin müssen die neuen Anforderungen an die Cybersicherheit sichergestellt sein.
Ebenso führt die neue NIS-2 Richtlinie nun auch die persönliche Haftung von Führungskräften ein. Sie können direkt für Verstöße gegen die Einhaltung der Richtlinie verantwortlich gemacht werden (Art. 20 Abs. 2).
Dabei werden insbesondere Schulungen angesprochen, diese gelten verbindlich sowohl für die Führungskräfte selbst, als auch für die Mitarbeiter.
Was passiert nun wenn man dies nicht einhält? Dann kann es ziemlich teuer werden! Wesentliche Einrichtungen können mit bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes bestraft werden, wichtige Einrichtungen mit bis zu 7 Mio. € oder 1% des weltweiten Umsatzes.
Neben diesen finanziellen Strafen, kann der Geschäftsführung auch die Wahrnehmung ihrer Tätigkeit untersagt werden.
Was bedeutet dies nun konkret für Sie? Ist Ihr Unternehmen von NIS-2 betroffen, dann wird Ihnen über den kommenden § 38 BSIG-E die „Billigungs- Überwachungs- und Schulungspflicht für Geschäftsleiter besonders wichtiger und wichtiger Einrichtungen“ auferlegt.
Klären Sie daher bitte ab, ob Ihr Unternehmen von NIS-2 direkt oder aber als Teil der Lieferkette betroffen ist. Informieren Sie sich über Schulungen für Geschäftsführer und Mitarbeiter, um den Anforderungen gerecht zu werden. Ebenso muss die Geschäftsführung unmittelbar in die Cybersicherheitsmaßnahmen involviert werden. Für Beratungsfragen steht Ihnen Herr Halbach gern zur Verfügung.