Cyber-News

Cyber news Kategorien

NIS2UmsuCG: Was Unternehmen wissen müssen

In diesem Beitrag möchten wir auf die spezifischen Änderungen und Anpassungen eingehen, die im NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes) festgelegt wurden. Dieses Gesetz bringt wichtige Neuerungen mit sich, die Unternehmen und Organisationen in verschiedenen Bereichen betreffen.

Im vorherigen Blogbeitrag haben wir umfassend über die NIS2-Richtlinie und das NIS2-Umsetzungsgesetz informiert. Dabei wurden Punkte wie die Tragweite, wer betroffen ist, der Zeitrahmen und die Fristen, mögliche Strafen und Konsequenzen sowie effektive Vorbereitungsschritte thematisiert. Für detaillierte Informationen können Sie in unserem Beitrag Die neue NIS2-Richtlinie – Betroffenen drohen Strafen noch einmal alles zum Thema NIS2 nachlesen.

Das BIS2UmsuCG beschreibt die Änderungen und Anpassungen, die durch die
NIS2-Richtlinie umgesetzt werden müssen. | Von ImageKing.adobe-stock | Datei Nr.: 888413983

Was ist NIS2UmsuCG?

Die europäischen Staaten sind verpflichtet, die Anforderungen der NIS2-Richtlinie in nationales Recht umzusetzen. In Deutschland geschieht dies durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) .

Ähnlich wie bei den früheren Gesetzen zur Umsetzung der ersten NIS-Richtlinie handelt es sich auch diesmal um ein Gesetz, das bestehende Regelungen, insbesondere das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), überarbeitet. Gelegentlich wird das NIS2UmsuCG auch als IT-Sicherheitsgesetz 3.0 bezeichnet.

Der Schwerpunkt liegt auf der Entwicklung und Umsetzung von Sicherheitsmaßnahmen, der Erfüllung von Aufzeichnungs-, Melde– und Informationspflichten sowie der Schulung des Personals.

Das NIS2UmsuCG ist derzeit noch nicht verabschiedet, es liegen jedoch verschiedene Referentenentwürfe vor, die die wesentlichen Inhalte bereits deutlich machen. Erwartungsgemäß gibt es nur wenige Abweichungen von der EU-Richtlinie. Es kann jedoch noch zu weiteren Anpassungen bis zur endgültigen Verabschiedung kommen, die am 17.10.2024 erfolgen muss.

Verzögerung der NIS2-Gesetzgebung

Deutschland wird es aller Voraussicht nach nicht schaffen, das neue Gesetz bis zum 17. Oktober zu verabschieden. In der Presse wird spekuliert, dass die Umsetzung der NIS2-Verordnung wohl mindestens zwei Monate länger dauern wird. Dennoch gibt es im Vergleich zum jüngsten Referentenentwurf des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) einige wichtige Änderungen.

Die Finanzbranche, die aufgrund der bevorstehenden DORA-Regulierung zunächst vollständig von der NIS2-Pflicht ausgenommen war, ist nun wieder in den Geltungsbereich aufgenommen worden, allerdings mit wesentlichen Ausnahmen, insbesondere in Bezug auf § 30 (die Risikomanagementmaßnahmen). Auch die Energieversorger, die bisher aufgrund des bestehenden „IT-Sicherheitskatalogs“ von den Maßnahmen nach § 30 befreit waren, müssen diese Anforderungen jetzt erfüllen. Darüber hinaus liefert der aktuelle Entwurf klare Definitionen für den Chemiesektor, um die Zuordnung zur NIS2-Pflicht zu erleichtern. Insgesamt zeigt sich, dass nur wenige neue Ausnahmeregelungen eingeführt wurden, was bedeutet, dass Unternehmen nicht auf eine spätere Ausnahme hoffen sollten. Besonders für verbundene Unternehmen ist die Identifikation der NIS2-Pflichtigkeit komplexer und hängt von der IT-Anbindung und Zusammenarbeit ab. Es wird daher empfohlen, frühzeitig professionelle Beratung in Anspruch zu nehmen, um die nötigen Maßnahmen rechtzeitig umsetzen zu können.

Fortschritte bei der Umsetzung der NIS2-Richtlinie und des KRITIS-Dachgesetzes

Die Umsetzung der NIS2-Richtlinie und des KRITIS-Dachgesetzes macht bedeutende Fortschritte. KRITIS ist für NIS2 relevant, weil die NIS2-Richtlinie den Schutz kritischer Infrastrukturen vor Cyber-Bedrohungen in Europa deutlich stärkt. Sie erweitert den Anwendungsbereich auf mehr Sektoren, erhöht die Sicherheitsanforderungen und verschärft die Meldepflichten für Sicherheitsvorfälle. Betreiber kritischer Infrastrukturen müssen strengere Anforderungen erfüllen und bei Nichteinhaltung mit härteren Sanktionen rechnen.

NIS2-Umsetzungsgesetz und des KRITIS-Dachgesetzes: Die Unterschiede

Der Unterschied zwischen dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) und dem KRITIS-Dachgesetz liegt in ihrem Fokus und Anwendungsbereich.

Das NIS2UmsuCG setzt eine EU-weite Richtlinie um und betrifft viele verschiedene Sektoren, die für die Gesellschaft und Wirtschaft wichtig sind, darunter auch digitale Dienste. Es geht dabei vor allem um allgemeine Cybersicherheitsmaßnahmen. Das KRITIS-Dachgesetz hingegen konzentriert sich speziell auf den Schutz kritischer Infrastrukturen in Deutschland, also Bereiche, die für das Land besonders wichtig sind.

Während das NIS2UmsuCG sich auf den Schutz der IT-Sicherheit konzentriert, befasst sich das KRITIS-Dachgesetz mit dem Schutz vor physischen Angriffen auf kritische Infrastrukturen. Beide Gesetze ergänzen sich, indem sie sicherstellen, dass sowohl digitale als auch physische Bedrohungen umfassend adressiert werden, was die Resilienz und Sicherheit kritischer Infrastrukturen insgesamt stärkt.

Entwicklung des NIS2-Umsetzungsgesetz

Das NIS2-Umsetzungsgesetz wurde in den letzten Monaten entwickelt und angepasst. | Bildquelle: Eigene Darstellung

Im April 2023 wurde der erste Entwurf vorgestellt. Hier wurden wichtige Grundlagen gelegt, wie die Einführung des Weltraums als neuer KRITIS-Sektor und die Festlegung strengerer Anforderungen an technische und organisatorische Maßnahmen. Die Frist für den erstmaligen Nachweis solcher Maßnahmen wurde auf vier Jahre verlängert, und die Managerhaftung für Geschäftsleiter besonders wichtiger Einrichtungen der Zentralregierung wurde ausgeschlossen. Eine geplante Vereinfachung der Regulierung im Energiesektor wurde jedoch wieder verworfen.

Der zweite Entwurf im Juli 2023 brachte Änderungen in den Sektor Definitionen und eine Vereinfachung der Unternehmensgrößen und betroffenen Einrichtungen. Nachweispflichten für Betreiber kritischer Anlagen (KRITIS) wurden gelockert, und die Anforderungen an die Sicherheit in der Lieferkette sowie Schulungspflichten wurden reduziert.

Im September 2023, mit dem dritten Entwurf als Diskussionspapier, wurden fehlende Paragraphen wieder eingefügt und die Pflichten für die Zentralregierung angepasst. Ausnahmen und Fristen für bestehende KRITIS-Prüfungen wurden gestrafft, und Sanktionen wurden präzisiert.

Der vierte Entwurf im Dezember 2023 konzentrierte sich auf eine Neuorganisation der betroffenen Einrichtungen, insbesondere im Finanzsektor, und führte neue Paragrafen wie die Konformitätsbewertung ein. Bußgeldvorschriften wurden angepasst und die Prognose der betroffenen Einrichtungen wurde erhöht.

Im Mai 2024, im fünften Entwurf, wurden der Geltungsbereich für Telekommunikation und Energie konkretisiert und Sektoren umbenannt. Die Haftungsregeln für Geschäftsleiter wurden präzisiert, und Zuständigkeiten im KRITIS-Bereich wurden neu geordnet.

Der sechste Entwurf im Juni 2024 vertiefte diese Anpassungen weiter, insbesondere durch Präzisierungen bei den Definitionen betroffener Bundeseinrichtungen und die weitere Umstrukturierung des Gesetzestextes. Die KRITIS-Sektoren wurden nun aus dem Gesetz entfernt und auf eine zukünftige Verordnung verwiesen.

Schließlich wurden im Juli 2024, im siebten Entwurf, die Paragrafen erneut umstrukturiert und der Geltungsbereich für Telekommunikation und Energie erweitert. Die avisierte Personal- und Budgetplanung wurde drastisch reduziert, und weitere Ausschlüsse wurden teilweise wieder eingeführt.

Umsetzungsfrist von NIS2 für Unternehmen

Bis zum Stichtag müssen die Unternehmen bereits einen großen Teil der Anforderungen erfüllen. Damit wird den Unternehmen eine Umsetzungsfrist von ca. 6 Monaten eingeräumt. Da die zugrundeliegende Richtlinie NIS2 bereits bekannt ist und sich die Unternehmen darauf vorbereiten können, argumentiert das BMI (Bundesministerium des Innern und Heimat) in den Entwürfen der NIS2UmsuCG, dass dieser Zeitraum ausreichend sei.

Welche NIS2-Anforderungen kommen nach NIS2UmsuCG auf die Unternehmen zu?

Das NIS2UmsuCG bringt für die betroffenen Unternehmen eine Reihe von neuen Pflichten mit sich. Viele der Anforderungen sollten jedoch bereits im eigenen Interesse im Hinblick auf die Informationssicherheit und die Resilienz erfüllt werden. Die Pflichten betreffen sowohl organisatorische Prozesse als auch technische Maßnahmen und werden in folgende Bereiche unterteilt:

1. Registrierungspflichten:

Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) müssen sich die meisten Unternehmen zum Stichtag registrieren. Dazu gehören besonders Betreiber kritischer Anlagen (KRITIS-Betreiber), besonders wichtige und wichtige Einrichtungen. In den §§ 33 und 34 des NIS2UmsuCG sind die Registrierungspflichten für NIS2-Betriebe festgelegt. Neben den Firmen- und Kontaktdaten sind teilweise auch öffentliche IP-Adressen der Firma zu übermitteln. Die Aufsichtsbehörde kann in bestimmten Fällen Einsicht in interne Aufzeichnungen verlangen (z.B. bei Verdacht auf nicht erfolgte Registrierung).
Die Prüfung, ob Unternehmen im Sinne des § 28 betroffen sind, ist Aufgabe der Unternehmen selbst. Sie werden nicht automatisch darüber informiert.

Sind Sie unsicher, ob Ihr Unternehmen von NIS2 betroffen ist? Unsere Experten von itsecuritycoach stehen Ihnen zur Seite und begleiten Sie umfassend auf dem Weg zur NIS2-Konformität – von der Analyse bis zur vollständigen Umsetzung. Kontaktieren Sie uns oder buchen Sie direkt einen Beratungstermin – das Erstgespräch ist kostenlos!

2. Nachweispflichten:

Für einige Anlagenkategorien sind NIS2-Umsetzungsnachweise (z.B. Zertifikate, Audits) erforderlich. Derzeit ist eine Zertifizierung nur für „Betreiber kritischer Anlagen“, also für die bestehenden KRITIS -Anlagenbetreiber, vorgesehen. Änderungen der Regelungen in diesem Bereich sind noch möglich. Auch nicht-KRITIS-Unternehmen, die unter NIS2 fallen, müssen Sicherheitsmaßnahmen nachweisen. Dies kann durch Zertifikate, Audits oder ähnliche Nachweise geschehen, auch wenn die Zertifizierungspflicht derzeit hauptsächlich für KRITIS-Betreiber gilt. Die Nachweispflichten für NIS2 sind im § 38 der NIS2-UmsuCG geregelt. Dies betrifft “besonders wichtige Einrichtungen” und “wichtige Einrichtungen”. Diese Einrichtungen sind verpflichtet, die von ihnen nach § 30 BSIG getroffenen Maßnahmen zum Risikomanagement umzusetzen und deren Umsetzung zu überwachen (§ 38). Darüber hinaus müssen sie regelmäßig Schulungen durchführen, um ihre Kenntnisse im Bereich der IT-Sicherheit auf dem aktuellen Stand zu halten.

Unsere Experten von itsecuritycoach führen Audits und Schulungen durch, abgestimmt auf Ihr Unternehmen, um Sie auf die Anforderungen von NIS2 vorzubereiten. Erfahren Sie mehr zu unseren IT-Audits und Cyber-Security-Trainings.

3. Meldepflichten:

Unter NIS2 fallende Unternehmen haben die Pflicht zur Meldung von Sicherheitsvorfällen an das BSI. Signifikante Sicherheitsvorfälle müssen dabei erstmals unverzüglich, spätestens 24 Stunden nach Bekanntwerden, gemeldet werden. Die Meldepflichten für NIS2-Unternehmen sind in § 32 des NIS2UmsuCG geregelt. Eine zweite Meldung muss innerhalb von 72 Stunden geschehen. In dieser Meldung werden die ersten Informationen bestätigt oder aktualisiert und eine erste Einschätzung des Vorfalls, einschließlich seiner Schwere und Auswirkungen, vorgenommen.

Die Meldepflichten bei Sicherheitsvorfällen sind im NIS2UmsuCG geregelt. | Bildquelle: Eigene Darstellung

4. Informationsaustausch:

Die Teilnahme am Informationsaustausch des BSI wird für Unternehmen, die von NIS2 betroffen sind, verpflichtend. Für den Austausch von Informationen wie Cyber-Bedrohungen, Beinahe-Vorfälle, Schwachstellen, Techniken und Verfahren oder Kompromittierungsindikatoren wird das BSI ein Portal einrichten. In § 6 des NIS2UmsuCG wird der Informationsaustausch durch das BSI geregelt und in § 30 werden besonders wichtige Einrichtungen zur Teilnahme an diesem Informationsaustausch verpflichtet.

5. Cybersicherheitsmaßnahmen:

Das NIS2UmsuCG sieht vor, dass ein (IT-) Risikomanagement zu etablieren ist, aus dem anschließend wirksame Cyber-Security Maßnahmen abzuleiten sind. Diese Risikomanagementmaßnahmen werden in § 30 des NIS2UmsuCG für NIS2-Unternehmen geregelt. Die Maßnahmen beinhalten folgende Punkte:

- Risikoanalyse und Informationssicherheit

- Security Incident Management

- Notfallkonzepte, Backup-Management, Disaster-Recovery

- Supply-Chain-Security

- Schwachstellenmanagement

- Sicherheitsschulungen für Mitarbeiter und Geschäftsführer

- Weitere Aspekte wie Kryptografie, Personalsicherheit, Assetmanagement, Fernwartung, Zugriffskontrolle, MFA

- regelmäßige Wirksamkeitsprüfungen

Unser Team bei itsecuritycoach kann Sie im Rahmen unseres IT-Security-Coachings bei der Umsetzung der oben genannten Punkte unterstützen. Kontaktieren Sie uns oder vereinbaren Sie direkt einen Beratungstermin.

6. Sonstige Pflichten und Anforderungen:

Zusätzlich zu den oben erwähnten NIS2-Pflichten bestehen noch einige weitere Pflichten und Anforderungen. Betroffene Unternehmen sollten sich eingehend mit den Details der NIS2UmsuCG auseinandersetzen.

Unterscheidungskriterien nach NIS2

In § 28 des Gesetzentwurfs werden die Kriterien festgelegt, nach denen Unternehmen als wichtige und besonders wichtige Unternehmen gelten. Die Unterscheidungskriterien zwischen “besonders wichtigen Einrichtungen“, “wichtigen Einrichtungen” und “KRITIS” basieren auf verschiedenen Faktoren wie der Mitarbeiteranzahl, dem Umsatz, der Bilanzsumme sowie der Art der Einrichtung. Besonders wichtige Einrichtungen zeichnen sich durch höhere Schwellenwerte in Bezug auf Mitarbeiterzahl (z.B. mehr als 250 Mitarbeiter) und Finanzkennzahlen (z.B. Jahresumsatz von mehr als 50 Millionen Euro und Bilanzsumme von mehr als 43 Millionen Euro) aus. Sie umfassen auch besondere Kategorien wie qualifizierte Vertrauens-Diensteanbieter und Betreiber kritischer Anlagen. Im Gegensatz dazu gelten für wichtige Einrichtungen niedrigere Schwellenwerte (z. B. mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro) und umfassen nicht qualifizierte Vertrauens Diensteanbieter sowie kleinere Telekommunikationsanbieter.

Kategorie	NIS2-Umsetzungsgesetz	EU-NIS2-Richtlinie
Kategorie 1	Wichtige Einrichtung	Wichtige Einrichtung
Kategorie 2	Besonders wichtige Einrichtung	Wesentliche Einrichtung
Kategorie 3	KRITIS-Anlage	–

Die Unternehmens-Kategorien wurden im NIS2-Umsetzungsgesetz gegenüber der EU NIS2-Richtlinie angepasst.

Bei NIS2 wird zwischen wichtigen – und besonders wichtigen Einrichtungen unterschieden. | Bildquelle: Eigene Darstellung

Anpassung der Sanktionen in NIS2UmsuCG

Das NIS2-Umsetzungsgesetz definiert die Bußgeldvorschriften in § 65. Dabei werden die Bußgeldtatbestände für KRITIS um neue Tatbestände erweitert und die bereits bestehenden Bußgelder zum Teil deutlich erhöht.
Dazu gehören unter anderem das Nichtvornehmen von Maßnahmen, das Nichtdokumentieren, das Nichtmelden von Sicherheitsvorfällen und das Nichtvorlegen von Nachweisen.

1. Höhere Bußgelder: Mit der NIS2-Richtlinie werden strengere Bußgelder und Sanktionen eingeführt. Für besonders wichtige Einrichtungen werden Bußgelder in Höhe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) eingeführt. Für wichtige Einrichtungen können sich die Geldbußen auf bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes belaufen (je nachdem, welcher Betrag höher ist). Diese strengeren Strafen sollen Anreize für die Ergreifung angemessener Maßnahmen im Bereich der Cybersicherheit und für das Ernstnehmen möglicher Verstöße schaffen.
2. Verwaltungsbehörde: Die zuständige Verwaltungsbehörde für die Verhängung von Bußgeldern ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Im NIS2-Umsetzungsgesetz werden Bußgelder und Sanktionen für Verstöße definiert.
| Bildquelle: Von Steffen Kögler.adobe.stock | Datei NR.: 327557383

Fazit

Das NIS2-Umsetzungsgesetz stellt hohe Anforderungen an Unternehmen, deren Umsetzung in kurzer Zeit zu erfolgen hat. Eine frühzeitige und systematische Vorbereitung ist von entscheidender Bedeutung, um die neuen Pflichten zu erfüllen und mögliche Sanktionen zu vermeiden.

Unternehmen sind angehalten, sich mit dem NIS2-Umsetzungsgesetz vertraut zu machen, welches am 17. Oktober 2024 in Kraft tritt. Die zur Verfügung stehende Zeit, um die erforderlichen Anpassungen vorzunehmen, ist dabei knapp. Unternehmen sollten daher bereits jetzt damit beginnen, ihre Strukturen und Prozesse zu überprüfen und notwendige Maßnahmen einzuleiten, um rechtzeitig vor der Frist konform zu sein.

Die Vorbereitung auf das NIS2-Umsetzungsgesetz gelingt am besten durch eine gründliche Analyse der eigenen Cybersicherheitspraktiken, die Überprüfung und gegebenenfalls Anpassung der technischen Infrastruktur sowie die Schulung des Personals. Benötigen Sie Unterstützung? Unser Expertenteam bei itsecuritycoach ist auf Cyber-Security und Informationssicherheit spezialisiert und hilft Ihnen gerne, die notwendigen Maßnahmen zur NIS2-Konformität umzusetzen. Kontaktieren Sie uns und vereinbaren Sie Ihren ersten Beratungstermin – das Erstgespräch ist kostenlos!

Laut §28 sind Unternehmen eigenständig verpflichtet zu überprüfen, ob sie zu den besonders wichtigen oder wichtigen Einrichtungen gehören. Dies kann durch Konsultation der Gesetze oder durch Tools der Behörden geschehen. Das BSI stellt hierfür eine NIS2- Betroffenheitsüberprüfung zur Verfügung, die von den Unternehmen genutzt werden kann. Innerhalb von 6 Monaten nach dem 17.10.2024 müssen die Unternehmen die Anpassungen der NIS2UmsuCG umsetzen.