NIS-2 (NIS2UmsuCG) tritt in Kraft: Cybersicherheit im Fokus ab 2025

Was ist das NIS2UmsuCG?

Das NIS2- Umsetzungs- und Cybersicherheitsstärkungsgesetz stellt das nationale Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie (EU 2022/2555) dar. Im Kern bezweckt es die Verbesserung der Cybersicherheit, indem es Unternehmen und Organisationen in 18 kritischen Sektoren (u. a. Abfallbewirtschaftung, Trink- und Abwasser, Energie, Anbieter digitaler Dienste, Gesundheitswesen) zu strengeren Sicherheitsmaßnahmen und Meldepflichten verpflichtet. Damit wird das Gesetz mehr als 30.000 Unternehmen in Deutschland erreichen. Im Juli 2024 hat das Kabinett den Regierungsentwurf verabschiedet. Es ist davon auszugehen, dass es zeitnah, vermutlich im März 2025 in Kraft treten wird.

Wer ist vom NIS2UmsuCG betroffen und welche Pflichten kommen auf Sie zu?

Die von NIS2 betroffenen Unternehmen bestehen aus drei bzw. vier Gruppen:

1. die Betreiber kritischer Anlagen (KRITIS),
2. die besonders wichtigen sowie
3. die wichtigen Einrichtungen. Daneben gibt es
4. einige Bundeseinrichtungen.

Eine Zuordnung zu diesen Gruppen erfolgt im Wesentlichen über die beiden Hauptkriterien, die Unternehmensgröße und der Unternehmenssektor. So werden voraussichtlich Unternehmen betroffen sein, die mindestens 50 Mitarbeiter haben und einen Jahresumsatz oder eine Jahresbilanz von über 10 Millionen Euro aufweisen sowie in einem der 18 kritischen Sektoren tätig sind.

Auf die betroffenen Unternehmen kommt ein umfangreicher Pflichtenkatalog zu. Dieser umfasst bspw.

• die Einführung von Regeln und Verfahren für den Umgang mit Sicherheitsvorfällen,
• die Einhaltung zeitkritischer Melde- und Berichtspflichten,
• die Vornahme umfassender Risikobewertungen, um potenzielle Angriffe und Informationssicherheitsrisiken zu identifizieren und zu bewerten sowie
• die Einführung geeigneter, verhältnismäßiger und wirksamer technische und organisatorische Maßnahmen.

Bei Verstößen drohen hohe Geldstrafen. Der Aufbau eines Informationssicherheits-Managementsystems (ISMS) wird damit nahezu unerlässlich.

Fazit

Falls Sie von dem NIS2UmsuCG noch nichts gehört haben, nutzen Sie unbedingt die verbleibenden Monate, um sich auf das Inkrafttreten dieses Gesetzes vorzubereiten. Wir unterstützen Sie gern bei der Prüfung, ob Ihr Unternehmen vom Anwendungsbereich des NIS2UmsuCG betroffen ist.

Mehr zu unseren Beratungsschwerpunkten im IT- und Datenschutzrecht lesen Sie hier:

IT-Recht