NIS-2: Pflichten für Betroffene

Betroffen sind rund 29.000 Unternehmen, die nach der NIS-2-Richtlinie in "besonders wichtige" (essential) und "wichtige" Einrichtungen (important entities) unterteilt werden. Die Pflichten für Betroffene sehen wie folgt aus:

Registrierungspflicht

• "Besonders wichtige Einrichtungen" und "wichtige Einrichtungen" sind verpflichtet, sich bei der gemeinsamen Registrierungsstelle von BSI und BBK zu registrieren.
• Die Registrierung muss spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut von der NIS-2-Richtlinie betroffen ist, erfolgen. Es sind keine Übergangsfristen geplant, sodass die Registrierungspflicht unmittelbar mit Inkrafttreten des deutschen NIS-2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beginnt.
• Folgende Informationen müssen bei der Registrierung übermittelt werden:
  • Name der Einrichtung, Rechtsform ggf. Handelsregisternummer
  • Anschrift und Kontaktdaten (Anschrift, E-Mail-Adresse, öffentliche IP-Adressbereiche, Telefonnummern)
  • Sektor und Branche nach Anlage 1 oder 2 der NIS-2-Richtlinie
  • Liste der Mitgliedstaaten, in dem die Einrichtung Dienste erbringt
  • Zuständige Aufsichtsbehörden des Bundes und der Länder
  • Änderungen müssen dem BSI unverzüglich, d.h. spätestens nach zwei Wochen, mitgeteilt werden
  • Gesonderte Registrierungspflichten gibt es gegebenenfalls für KRITIS-Betreiber und für Einrichtungen der Sektoren digitale Dienste und digitale Infrastrukturen

Meldepflicht

• Betroffene Unternehmen müssen dem BSI erhebliche Sicherheitsvorfälle melden. Eine Konkretisierung, was ein erheblicher Sicherheitsvorfall ist, wird zeitnah vom BSI bereitgestellt.
• Meldefristen: Innerhalb von 24 Stunden nach Kenntniserlangung über den Sicherheitsvorfall muss eine frühe Erstmeldung abgesetzt werden. Die Frist für eine konkretisierende Meldung ist 72 Stunden und 30 Tage für die Abschlussmeldung/Folgemeldung.
• Die Meldung muss eine Bewertung des Vorfalls inkl. Schweregrad, Auswirkungen, Kompromittierungsindikatoren sowie Kontaktinformationen beinhalten.
• Das BSI quittiert eingehende Meldungen, verarbeitet diese und nimmt ggf. Kontakt auf.

Risikomanagement implementieren und dokumentieren

• Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren. Dabei richtet sich die Bemessung der Verhältnismäßigkeit nach dem Ausmaß der Risikoexposition, Größe der betroffenen Einrichtung und Kosten, sowie der Eintrittswahrscheinlichkeit, der Schwere und den möglichen Folgen von Sicherheitsvorfällen.
• Getroffene Maßnahmen sollen die Störung der Schutzziele (Verfügbarkeit, Integrität und Vertraulichkeit) vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst geringhalten. Hinweis: In der europäischen NIS-2-Richtlinie ist noch von dem vierten Schutzziel „Authentizität“ die Rede. Dieses Schutzziel wird in der deutschen Umsetzung im Schutzziel der „Integrität“ verortet.
• Das Risikomanagement muss alle informationstechnischen Systeme, Komponenten und Prozesse beinhalten, welche die Einrichtung für die Leistungserbringung nutzt. 
• Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäischen und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. 
• Zu den Risikomanagementmaßnahmen zählen mindestens:
  • Risikoanalyse
  • Bewältigung von Sicherheitsvorfällen
  • Aufrechterhaltung des Betriebs (z. B. Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement)
  • Sicherheit der Lieferkette
  • Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen
  • Wirksamkeitsprüfung von Risikomanagementmaßnahmen
  • Schulungen und Sensibilisierung zu Cybersicherheit
  • Kryptographische Verfahren
  • Konzepte für Personalsicherheit (z. B. Zugriffskontrolle, Verwaltung von IKT-Systemen)
  • Multi-Faktor-Authentifizierung, gesicherte Kommunikation sowie ggf. Notfallkommunikation

Ihr nächster Schritt

Prüfen Sie, ob ihr Unternehmen von der NIS-2-Richtlinie betroffen ist. Gerne unterstützen wir Sie mit einer rechtlichen Einschätzung unserer Fachanwälte für Informationstechnologierecht. Sobald die Betroffenheit feststeht, sollten Sie Ihren aktuellen Status Quo in Fragen der Cybersecurity evaluieren und den Handlungsbedarf erfassen. Unsere Experten unterstützen Sie von einer Gap-Analyse (Ist-Soll-Zustand) über Konzepte bis hin zu der vollständigen Integration in Ihre Unternehmensprozesse. Kontaktieren Sie uns gerne für ein indivduelles Beratungsgespräch.