NIS-2-Richtlinie
Die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie) stellt Auflagen bei der Cybersicherheit für bestimmte Unternehmen auf. Ob der eigene Betrieb von der Regelung betroffen ist, ist im Einzelfall abzuschätzen. Grundsätzlich gilt, dass Unternehmen ab 50 Beschäftigten oder Unternehmen mit einem Jahresumsatz und einer Jahresbilanzsumme von mindestens zehn Millionen Euro direkt betroffen sind, sofern sie einem kritischen Sektor, wie Energie oder Chemiehandel, zugeordnet werden.
Betroffene Unternehmen haben voraussichtlich Risikomanagementmaßnahmen durchzuführen, welche Sicherheitsvorfälle auf ihre Dienste vermeiden sollen. Außerdem sind sie bei Kenntniserlangung eines erheblichen Sicherheitsvorfalls verpflichtet, diesen innerhalb konkreter Fristen über einen staatlich eingerichteten Meldeweg zu übermitteln. Weil diese Unternehmen auch zur Sorgfalt für ihre IT-Lieferkette verpflichtet werden, bezieht der Rechtsrahmen indirekt weitere Betriebe mit ein, darunter oftmals kleine und mittlere Unternehmen.
Die EU-Richtlinie ist bis Oktober 2024 in deutsches Recht zu überführen. Bis dahin sind Änderungen am bisherigen Referentenentwurf möglich. Um Planungsunsicherheiten für Unternehmen auszuräumen, wird daher zu einer zeitnahen Schaffung von Rechtsklarheit und Bereitstellung von Informationsangeboten geraten.
Autor: Patrick Schönowski, Referent für den Fachbereich Digitalisierung, Deutscher Mittelstands-Bund (DMB) e.V.
