NIS-2 für Geschäftsführer

💡 Die NIS-2 (Richtlinie (EU) 2022/2555) ist am 18. Oktober 2024 in Kraft getreten. Die nationale Umsetzung erfolgt z. B. über das NIS2UmsuCG.

💡 Die NIS-2 unterscheidet „wesentliche” (große Akteure kritischer Sektoren) und „wichtige” (kleinere, relevante) Einrichtungen mit abgestuften Pflichten.

💡 Art. 20 verlangt Genehmigung, Überwachung und Schulung der Leitungsorgane. Eine vollständige Delegation an die IT ist nicht zulässig.

💡 Nach Art. 20 Abs. 1 UAbs. 2 haften Leitungsorgane persönlich bei Verletzung ihrer Überwachungspflicht – zusätzlich zu den Sanktionen gegen das Unternehmen.

💡 Die Maßnahmen müssen angemessen und verhältnismäßig sein – bemessen nach Risikoexposition, Größe und Verwundbarkeit. Ein pauschales Maximum ist nicht gefordert.

💡 Art. 21 nennt u. a. Risikobewertung, Incident Handling, BCP/DR, Verschlüsselung, MFA, Lieferkettensicherheit und Mitarbeiterschulung – ein Verzicht auf Sicherheit ist keine Option.

💡 Die frühzeitige Warnung ist innerhalb von 24 Stunden nach Bekanntwerden abzugeben; der detaillierte Vorfallbericht innerhalb von 72 Stunden.

💡 Der detaillierte Vorfallbericht ist innerhalb von 72 Stunden einzureichen; die frühzeitige Warnung bereits innerhalb von 24 Stunden.

💡 Wesentliche Einrichtungen riskieren bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Die niedrigere Schwelle (7 Mio./1,4 %) gilt für wichtige Einrichtungen.

💡 Wichtige Einrichtungen riskieren bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes – weniger als die 10 Mio./2 % bei wesentlichen Einrichtungen.

💡 Auslagerung entbindet nicht von der Verantwortung. Verträge müssen Sicherheitsklauseln, Audit-Rechte und Meldepflichten enthalten; das Risiko bleibt beim Unternehmen.

💡 Die Leitungsebene etabliert ISMS, Risikoanalyse, Notfallorganisation, Ressourcen und Berichtswesen – mit eigener Überwachung, nicht bloßer Delegation an Externe.

💡 Eine offene Sicherheitskultur (keine Bestrafung ehrlicher Meldungen) fördert frühes Melden und hilft, Meldefristen einzuhalten – ein wesentlicher Erfolgsfaktor.

💡 Die Behörden haben weitreichende Befugnisse: Auskunftsersuchen, Vor-Ort-Prüfungen, Anordnungen und einstweilige Maßnahmen bis hin zur Aussetzung von Diensten.

💡 Die NIS-2 verpflichtet die Leitungsebene zur Genehmigung, Überwachung und Schulung der Maßnahmen – mit persönlicher Haftung bei Pflichtverletzungen.

💡 Nach Art. 20 NIS-2 genehmigen und überwachen Leitungsorgane Risikomanagementmaßnahmen und können haftbar gemacht werden.

💡 Art. 20 NIS-2 sieht vor, dass Leitungsorgane für Verstöße haftbar gemacht werden können.

💡 Art. 21 nennt u.a. Richtlinien, Vorfallbehandlung und Kryptografie als Maßnahmen.

💡 NIS-2 verlangt Frühwarnung (24h), einen Bericht (72h) und einen Abschlussbericht (1 Monat).

💡 Aufsichtsbehörden überwachen die Einhaltung und können Sanktionen verhängen.

💡 Für wesentliche Einrichtungen drohen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes.

💡 Wesentliche Einrichtungen sind in Anhang I in besonders kritischen Sektoren gelistet und haben strengere Pflichten.

💡 Governance bedeutet, dass die Leitungsorgane Cybersicherheit verantwortlich steuern und überwachen.

💡 Art. 20 fordert, dass Leitungsorgane regelmäßig an Schulungen teilnehmen und Wissen aktualisieren.

💡 Meldepflichten sollen eine schnelle Reaktion und Information der Behörden sicherstellen.

💡 Unternehmen müssen Risikomanagement und Vorfälle dokumentieren und auf Verlangen vorlegen.

💡 NIS-2 fordert, dass auch Lieferanten und Dienstleister in das Risikomanagement einbezogen werden.

💡 Behörden können Inspektionen durchführen, Berichte anfordern und Anordnungen treffen.

💡 Nichteinhaltung kann zu Geldstrafen und weiteren Sanktionen führen.

💡 NIS-2 fördert den Austausch von Bedrohungsinformationen, z.B. über CSIRTs und SOCs.

💡 CSIRTs sammeln und analysieren Vorfallinformationen und unterstützen bei der Reaktion.

💡 Wesentliche Einrichtungen haben strengere Anforderungen und höhere mögliche Sanktionen.

💡 Die Geschäftsführung genehmigt und überwacht die Ergebnisse der Risikobewertung.

💡 Verschlüsselung schützt Daten bei Speicherung und Übertragung und ist eine Kernmaßnahme nach Art. 21.

💡 Ein Incident Response Plan enthält Eskalation, Kommunikation und Wiederherstellung.

💡 Bestehende Verträge müssen NIS-2-konform gestaltet sein, z.B. mit Meldepflichten des Dienstleisters.

💡 ENISA unterstützt die Umsetzung durch Methoden und Best Practices.

💡 Unternehmen müssen Aufsichtsbehörden Zugang gewähren und Informationen bereitstellen.

💡 Aufgabentrennung und klar definierte Rollen sind zentrale organisatorische Anforderungen.

💡 Cyber-Hygiene und fortlaufende Sensibilisierung sind wesentliche Elemente der NIS-2-Umsetzung.