Die NIS-2-Richtlinie („The Network and Information Security (NIS) Directive“) ist seit dem 16.01.2023 in Kraft und legt Vorschriften zur Cyber- und Informationssicherheit für Unternehmen und Institutionen fest. Ab Oktober 2024 sind die EU-Mitgliedstaaten verpflichtet, diese in nationales Recht zu überführen. In Deutschland ist geplant, die NIS-2 im März 2025 umzusetzen.
Die Richtlinie verschärft die Anforderungen und Sanktionen im Bereich Cybersicherheit, um das Sicherheitsniveau in den Mitgliedstaaten zu vereinheitlichen und zu verbessern. Sie stellt strengere Anforderungen an verschiedene Sektoren und verpflichtet Unternehmen und Organisationen, Maßnahmen im Cyber-Risikomanagement, in der Kontrolle und Überwachung, im Umgang mit Zwischenfällen sowie zur Sicherstellung der Geschäftskontinuität zu implementieren. Zusätzlich wird der Anwendungsbereich auf eine größere Anzahl von Organisationen ausgeweitet. Für die Geschäftsführung der betroffenen Organisationen gelten künftig strengere Haftungsregelungen.
Bisher war KRITIS in Deutschland vor allem für große Unternehmen relevant. Doch mit der NIS-2-Gesetzgebung rücken die Themen Cybersicherheit und Cyberresilienz nun auch für kleinere und mittlere Unternehmen stärker in den Fokus. Denn mit der NIS-2-Richtlinie erweitert sich der Kreis der betroffenen Unternehmen und Organisationen in verschiedenen kritischen Sektoren, die als unverzichtbar für Gesellschaft und Wirtschaft gelten.
Ob ein Unternehmen von den Regelungen der NIS-2 betroffen ist ergibt sich dabei aus den umfangreichen Regelungen der NIS-2. Die Richtlinie teilt die Sektoren in 18 Kategorien auf, von denen 11 als „wichtige“ und 7 als „wesentliche“ , also als besonders bedeutende Sektoren eingestuft sind. Die Einordnung in eine dieser beiden Gruppen bestimmt, wie intensiv die Behörden die Unternehmen überwachen und wie hoch die Strafen bei Nichteinhaltung der Richtlinie oder bei Verstößen ausfallen.
