NIS-2-Beratung

Zusätzlich zu kritischen Infrastrukturen werden noch weitere Sektoren hinzugezogen und als besonders wichtige Einrichtungen tituliert: Hierzu zählen Energie- und Wasserwirtschaft, Verkehrswesen (Schiene, Straße, Luft, Wasser), Banken und Finanzwesen, Gesundheitswesen, digitale Infrastrukturen und ICT-Services, öffentliche Verwaltung und Weltraum.

Darüber hinaus sind sogenannte wichtige Einrichtungen betroffen: Post- und Kurierdienstanbieter, Abfallwirtschaft, Forschungseinrichtungen, Chemieindustrie, Lebensmittelindustrie, verarbeitendes Gewerbe wie Maschinen- und Fahrzeugbau, elektrische Ausrüstung, Anbieter digitaler Dienste.

Durch die Ausweitung sind somit insgesamt 18 Sektoren betroffen, wobei die Anforderungen an die besonders wichtigen Einrichtungen anders sind als an die wichtigen.

Die Anforderungen innerhalb der NIS-2-Richtlinie zielen auf die IT-Sicherheit in Unternehmen ab. Hierbei geht es um Risikomanagement und Sicherheitsvorkehrungen, z. B. Cyber-Risikomanagement und Business Continuity Management, außerdem Verschlüsselung und Zutrittsbeschränkungen.

Ferner besteht die Verpflichtung, erhebliche Sicherheitsvorfälle ab die nationalen Behörden zu melden. Maßnahmen zur Behebung sind umgehend und umfassend einzuleiten. Die Richtlinie sieht außerdem vor, dass die Sicherheitsmaßnahmen kontinuierlich geprüft und aktualisiert werden.

Sofern Unternehmen gegen die Richtlinien verstoßen, können Sanktionen verhängt werden, die von der Kritikalität der Einrichtung abhängen. Eine Besonderheit in der Richtlinie ist die Haftbarkeit, denn die Unternehmensführung bzw. Leitungsebene kann haftbar gemacht werden, sofern die Maßnahmen nicht eingehalten werden. Die Haftung kann sich auf bis zu 2 % des globalen Jahresumsatzes eines Unternehmens belaufen.