Mit der NIS 2 (Network and Information Systems) Richtlinie hat die Europäische Union einen bedeutenden Schritt unternommen, um die Cybersicherheit innerhalb der Mitgliedsstaaten zu stärken. Ziel ist es, die Resilienz kritischer Infrastrukturen und wichtiger Wirtschaftszweige gegenüber Cyberangriffen zu verbessern. Doch wer genau ist von dieser Regelung betroffen, und wie erkennen Unternehmen, ob sie den Vorschriften unterliegen?

Was ist die NIS 2 Richtlinie?

Die NIS 2 Richtlinie ist die Weiterentwicklung der ursprünglichen NIS Richtlinie aus dem Jahr 2016. Während die ursprüngliche Richtlinie auf eine begrenzte Anzahl an Sektoren abzielte, weitet NIS 2 den Geltungsbereich deutlich aus und stellt strengere Anforderungen an die Cybersicherheit von Unternehmen.

Wer ist von der NIS 2 Richtlinie betroffen?

Die NIS 2 Richtlinie betrifft eine Vielzahl von Unternehmen und Organisationen, die in sogenannten kritischen Sektoren tätig sind. Diese Sektoren sind in der Regel besonders anfällig für Cyberangriffe und sind für das Funktionieren der Gesellschaft und Wirtschaft von entscheidender Bedeutung. Zu den betroffenen Sektoren gehören:

• Energie (z.B. Stromversorgung, Gas, Öl)
• Transport (Straßenverkehr, Luftfahrt, Schifffahrt)
• Bankwesen und Finanzmärkte
• Gesundheitswesen (Krankenhäuser, Pharmaunternehmen)
• Öffentliche Verwaltung (staatliche Einrichtungen)
• Digitalen Dienste (Cloud-Anbieter, Online-Marktplätze, Suchmaschinen)

Neu an NIS 2 ist die Ausweitung auf wichtige Sektoren, die bisher nicht zwingend reguliert wurden, wie etwa die Produktion von Chemikalien, Post- und Kurierdienste sowie die Lebensmittelproduktion.

Wie erkenne ich, ob mein Unternehmen reguliert ist?

Die Frage, ob ein Unternehmen von der NIS 2 Richtlinie betroffen ist, lässt sich in mehreren Schritten klären:

1. Sektorzugehörigkeit prüfen

Zunächst müssen Sie feststellen, ob Ihr Unternehmen zu einem der oben genannten kritischen oder wichtigen Sektoren gehört. Wenn Sie beispielsweise ein Unternehmen im Energie-, Transport- oder Gesundheitssektor leiten, sind Sie sehr wahrscheinlich betroffen. Eine detaillierte Liste der betroffenen Sektoren finden Sie in der Richtlinie selbst sowie in den nationalen Umsetzungsrichtlinien.

2. Größe und Umfang des Unternehmens

NIS 2 gilt in der Regel für mittlere und große Unternehmen, die eine bedeutende Rolle in ihrem jeweiligen Sektor spielen. Kleinere Unternehmen sind oft von den strengsten Anforderungen ausgenommen. Ein Unternehmen gilt in der Regel dann als mittleres oder großes Unternehmen, wenn es mehr als 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielt.

3. Kritikalität der Dienste

Selbst wenn Ihr Unternehmen nicht zu den größten seines Sektors gehört, könnten Sie dennoch betroffen sein, wenn Ihre Dienstleistungen oder Produkte für das Funktionieren kritischer Infrastrukturen essenziell sind. Beispielsweise könnte ein Softwareanbieter, dessen Lösungen von Krankenhäusern genutzt werden, ebenfalls unter die Regelung fallen, obwohl er nicht direkt dem Gesundheitssektor angehört.

4. Geografische Lage

Die NIS 2 Richtlinie gilt in allen Mitgliedstaaten der EU. Unternehmen, die außerhalb der EU ansässig sind, aber Dienstleistungen innerhalb der EU erbringen, müssen die Anforderungen ebenfalls erfüllen, wenn sie kritische oder wichtige Dienste bereitstellen.

Was sind die Konsequenzen, wenn ich betroffen bin?

Sollte Ihr Unternehmen von der NIS 2 Richtlinie betroffen sein, müssen Sie eine Reihe von Maßnahmen ergreifen, um den neuen Anforderungen gerecht zu werden. Dazu gehören:

• Erhöhte Cybersicherheitsmaßnahmen: Dazu zählen die Einführung von Sicherheitsrichtlinien, die regelmäßige Durchführung von Sicherheitsbewertungen und der Schutz vor Cyberbedrohungen.
• Berichtspflichten: Unternehmen müssen Cybervorfälle, die die Sicherheit ihrer Netzwerke beeinträchtigen, zeitnah den zuständigen Behörden melden.
• Strengere Durchsetzungsmaßnahmen: Die NIS 2 sieht deutlich höhere Bußgelder und Sanktionen vor als die ursprüngliche Richtlinie, falls Unternehmen die Anforderungen nicht erfüllen.

Fazit

Die NIS 2 Richtlinie stellt Unternehmen in kritischen und wichtigen Sektoren vor neue Herausforderungen, insbesondere in Bezug auf Cybersicherheit und Berichtspflichten. Um herauszufinden, ob Ihr Unternehmen von der Regulierung betroffen ist, sollten Sie die Sektorzugehörigkeit, die Unternehmensgröße sowie die Bedeutung Ihrer Dienste prüfen.

Wer sich frühzeitig auf die NIS 2 vorbereitet, kann nicht nur Bußgelder vermeiden, sondern auch die Resilienz seines Unternehmens gegenüber Cyberbedrohungen entscheidend verbessern.

Haben Sie Fragen oder benötigen Sie Unterstützung bei der Implementierung der NIS 2 Richtlinie? Kontaktieren Sie uns für eine maßgeschneiderte Beratung!