NIS-2: Pflichten für Betroffene

Betroffen sind rund 29.000 Unternehmen, die nach der NIS-2-Richtlinie in „besonders wichtige“ (essential) und „wichtige“ Einrichtungen (important entities) unterteilt werden. Die Pflichten für Betroffene sehen wie folgt aus:

Registrierungspflicht

• „Besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ sind verpflichtet, sich bei der gemeinsamen Registrierungsstelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zu registrieren.
• Die Registrierung muss spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut von der NIS-2-Richtlinie betroffen ist, erfolgen. Es sind keine Übergangsfristen geplant, sodass die Registrierungspflicht unmittelbar mit Inkrafttreten des deutschen NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) beginnt.
• Folgende Informationen müssen bei der Registrierung übermittelt werden:
  • Name der Einrichtung, Rechtsform, gegebenenfalls Handelsregisternummer
  • Anschrift und Kontaktdaten (Anschrift, E-Mail-Adresse, öffentliche IP-Adressbereiche, Telefonnummern)
  • Sektor und Branche nach Anlage 1 oder 2 der NIS-2-Richtlinie
  • Liste der Mitgliedstaaten, in denen die Einrichtung Dienste erbringt
  • Zuständige Aufsichtsbehörden des Bundes und der Länder
  • Änderungen müssen dem BSI unverzüglich, das heißt spätestens nach zwei Wochen, mitgeteilt werden
  • Gesonderte Registrierungspflichten gibt es gegebenenfalls für KRITIS-Betreiber und für Einrichtungen der Sektoren digitale Dienste und digitale Infrastrukturen

Meldepflicht

• Betroffene Unternehmen müssen dem BSI erhebliche Sicherheitsvorfälle melden. Eine Konkretisierung, was ein erheblicher Sicherheitsvorfall ist, wird zeitnah vom BSI bereitgestellt.
• Meldefristen: Innerhalb von 24 Stunden nach Kenntniserlangung über den Sicherheitsvorfall muss eine frühe Erstmeldung abgesetzt werden. Die Frist für eine konkretisierende Meldung ist 72 Stunden und 30 Tage für die Abschlussmeldung/Folgemeldung.
• Die Meldung muss eine Bewertung des Vorfalls inkl. Schweregrad, Auswirkungen, Kompromittierungsindikatoren sowie Kontaktinformationen beinhalten.
• Das BSI quittiert eingehende Meldungen, verarbeitet diese und nimmt gegebenenfalls Kontakt auf.

Risikomanagement implementieren und dokumentieren

• Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksam technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren. Dabei richtet sich die Bemessung der Verhältnismäßigkeit nach dem Ausmaß der Risikoexposition, der Größe der betroffenen Einrichtung und der Kosten sowie der Eintrittswahrscheinlichkeit, der Schwere und den möglichen Folgen von Sicherheitsvorfällen.
• Getroffene Maßnahmen sollen die Störung der Schutzziele (Verfügbarkeit, Integrität und Vertraulichkeit) vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering halten. Hinweis: In der europäischen NIS-2-Richtlinie ist noch von dem vierten Schutzziel „Authentizität“ die Rede. Dieses Schutzziel wird in der deutschen Umsetzung im Schutzziel der „Integrität“ verortet.
• Das Risikomanagement muss alle informationstechnischen Systeme, Komponenten und Prozesse beinhalten, die die Einrichtung für die Leistungserbringung nutzt. 
• Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. 
• Zu den Risikomanagementmaßnahmen zählen mindestens:
  • Risikoanalyse
  • Bewältigung von Sicherheitsvorfällen
  • Aufrechterhaltung des Betriebs (z.B. Back-up-Management, Wiederherstellung nach einem Notfall, Krisenmanagement)
  • Sicherheit der Lieferkette
  • Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen
  • Wirksamkeitsprüfung von Risikomanagementmaßnahmen
  • Schulungen und Sensibilisierung zu Cybersicherheit
  • Kryptografische Verfahren
  • Konzepte für Personalsicherheit (z.B. Zugriffskontrolle, Verwaltung von IKT-Systemen)
  • Multi-Faktor-Authentifizierung, gesicherte Kommunikation sowie gegebenenfalls Notfallkommunikation

Ihr nächster Schritt

Prüfen Sie, ob Ihr Unternehmen von der NIS-2-Richtlinie betroffen ist. Gerne unterstützen wir Sie mit einer rechtlichen Einschätzung unserer Fachanwält:innen für Informationstechnologierecht. Sobald die Betroffenheit feststeht, sollten Sie Ihren aktuellen Status quo in Fragen der Cybersecurity evaluieren und den Handlungsbedarf erfassen. Unsere Expert:innen unterstützen Sie von einer Gap-Analyse (Ist-Soll-Zustand) über Konzepte bis hin zu der vollständigen Integration in Ihre Unternehmensprozesse. Kontaktieren Sie uns gerne für ein individuelles Beratungsgespräch.