Update NIS 2: Was Unternehmen jetzt wissen müssen

Die Umsetzung in Deutschland erfolgte aufgrund des Regierungswechsels später als erwartet. Der Umfang der Pflichten richtet sich inzwischen nach dem geltenden BSI-Gesetz (BSIG). Die zentralen Regelungen finden sich in den §§ 28 bis 42 BSIG.

In diesem Beitrag schlüsseln wir Ihnen den Vorschriften des BSIG auf und zeigen Ihnen, wie schnell ein Unternehmen als wichtige Einrichtung qualifiziert werden kann.

Wenn Sie prüfen wollen, ob Ihr Unternehmen unter die NIS-2-Regulierung fällt und welche Maßnahmen daraus gegebenenfalls folgen, melden Sie sich gern bei uns.

 

Übersicht: Wozu werden Betroffene Unternehmen verpflichtet?

	Betreiber kritischer Anlagen	Besonders wichtige Einrichtung	Wichtige Einrichtung
Registrierungspflicht	✅	✅	✅
Meldepflicht	✅	✅	✅
Maßnahmen zum Risikomanagement	✅	✅	✅
Höhere Anforderungen an Maßnahmen zum Risikomanagement	✅	❌	❌
Einsatz von Systemen zur Angriffserkennung	✅	❌	❌
Informationspflichten	✅	✅	✅
Nachweispflicht	✅	❌*	❌*
Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung	✅	✅	✅

*Nachweispflicht im Einzelfall möglich

Welche Sektoren sind laut NIS2UmsuCG Sektoren mit hoher Kritikalität?

Die Sektoren mit hoher Kritikalität ergeben sich aus der Anlage 1 des NIS2UmsuCG:

Sektor	Teilsektor	Einrichtungsart
Energie
	Stromversorgung
		Stromlieferanten (§ 3 Nr. 31c EnWG)
		Betreiber von Elektrizitätsverteilernetzen (§ 3 Nr. 3 EnWG)
		Betreiber von Übertragungsnetzen (§ 3 Nr. 10 EnWG)
		Betreiber von Erzeugungsanlagen (§ 3 Nr. 18d EnWG)
		Nominierte Strommarktbetreiber (Art. 2 Nr. 8 VO[EU] 2019/943)
		Aggregatoren (§ 3 Nr. 1a EnWG)
		Betreiber von Energiespeicheranlagen (§ 3 Nr. 15d EnWG)
		Anbieter von Ausgleichsleistungen (§ 3 Nr. 1b EnWG)
		Ladepunktbetreiber (§ 2 Nr. 8 LSV)
	Fernwärme und -kälteversorgung
		Betreiber von Fernwärme- bzw. Fernkälte-versorgung (§ 3 Nr. 19, 20 GModG)
	Kraftstoff- und Heizölversorgung
		Betreiber von Erdöl-Fernleitungen
		Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie Betreiber von Erdöllagern und Erdöl-Fernleitungen
		Zentrale Bevorratungsstellen (Art. 2 lit. f RL 2009/119/EG)
	Gasversorgung
		Betreiber von Gasverteilnetzen (§ 3 Nr. 8 EnWG)
		Betreiber von Fernleitungsnetzen (3 Nr. 5 EnWG)
		Betreiber von Gasspeicheranlagen (§ 3 Nr. 6 EnWG)
		Betreiber von LNG-Anlagen (3 Nr. 9 EnWG)
		Gaslieferanten (§ 3 Nr. 19b EnWG)
		Betreiber von Anlagen zur Gewinnung von Erdgas
		Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas
		Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung
Transport und Verkehr
	Luftverkehr
		Luftfahrtunternehmen, die für gewerbliche Zwecke genutzt werden (Art. 3 Nr. 4 VO [EG] Nr. 300/2008)
		Flughafenleitungsorgane (Art. 2 Nr. 2 RL 2009/12/EG), Flughäfen (Art. 2 Nr. 1 RL 2009/12/EG) einschließlich der Flughäfen des Kernnetzes und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben (Anhang II Abschnitt 2 VO[EU] Nr. 1315/2013)
		ATM/ANS-Anbieter (Art. 2 Nr. 2 DurchführungsVO [EU] 2017/373)
	Schienenverkehr
		Eisenbahninfrastrukturbetreiber (§ 2 Nr. 6, 6a AEG), einschließlich zentraler Einrichtungen, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponiert
		Eisenbahnverkehrsunternehmen (§ 2 Nr. 3 AEG), einschließlich Betreiber einer Serviceeinrichtung (§ 2 Nr. 9 AEG)
	Schifffahrt
		Passagier- und Frachtbeförderungsunter-nehmen der Binnen-, See- und Küstenschifffahrt (Anhang I VO[EG] Nr. 725/2004) Die einzelnen betriebenen Schiffe dieser Unternehmen sind nicht mitumfasst
		Leitungsorgane von Häfen (Art. 3 Nr. 1 RL 2005/65/EG), einschließlich ihrer Hafenanlagen (Art. 2 Nr. 11 VO[EG] Nr. 725/2004), sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben
		Betreiber einer Anlage oder eines Systems zum sicheren Betrieb einer Wasserstraße (§ 1 Abs. 6 Nr. 1 WaStrG)
	Straßenverkehr
		Betreiber einer Anlage oder eines System zur Verkehrsbeeinflussung im Straßenverkehr, einschließlich der in § 1 Abs. 4 Nr. 1, 3 und 4 des FStrG genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme und Fachstellen für Informationstechnik und -sicherheit im Straßenbau, sowie der Telekommunikationsnetze der Bundesautobahnen.
		Betreiber eines intelligenten Verkehrssystems (§ 2 Nr. 1 IVSG)
Finanz- und Versicherungswesen
	Bankwesen
		Kreditinstitute: Einrichtungen deren Tätigkeit darin besteht, Einlagen oder andere rück-zahlbare Gelder des Publikums entgegen-zunehmen und Kredite für eigene Rechnung zu gewähren
	Finanzmarktinfrastruktu-ren
		Handelsplätze (§ 2 Abs. 22 WpHG)
		Zentrale Gegenparteien, die zwischen die Gegenparteien der auf einem oder mehre-ren Märkten gehandelten Kontrakte tritt und somit als Käufer für jeden Verkäufer bzw. als Verkäufer für jeden Käufer fungiert
Gesundheit
		Erbringer von Gesundheitsdienstleistungen (RL 2011/24/EU)
		EU-Referenzlaboratorien (Art. 15 VO[EU] Nr. 2022/2371)
		Unternehmen, die Forschungs- und Ent-wicklungstätigkeiten in Bezug auf Arzneimittel ausüben (§ 2 AMG)
		Unternehmen, die pharmazeutische Erzeugnisse herstellen (Abschnitt C Abteilung 21 NACE Rev. 2)
		Unternehmen, die Medizinprodukte herstel-len, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden (Art. 22 VO[EU] Nr. 2022/123)
Wasser und Abwasser
	Trinkwasserversorgung
		Betreiber von Wasserversorgunsanlagen (§ 2 Nr. 3 TrinkwV), unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist
	Abwasserbeseitigung
		Unternehmen, die Abwasser sammeln, entsorgen oder behandeln (§ 2 Abs. 1 AbwAG), unter Ausschluss der Unternehmen, für die dies einen nicht wesentlichen Teil ihrer allgemeinen Tätigkeit darstellt
Informationstechnik und Telekommunikation
		Betreiber von Internet-Knoten (Internet Exchange Points)
		DNS-Dienstanbieter, ausgenommen Betreiber von Root-Nameservern
		TLD-Namensregister
		Anbieter von Cloud-Computing-Diensten
		Anbieter von Rechenzentrumsdiensten
		Betreiber von Inhaltszustellnetzen (Content Delivery Networks)
		Vertrauensdienstanbieter
		Anbieter öffentlicher elektronischer Kommu-nikationsnetze
		Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste
		Managed Services Provider
		Managed Security Services Provider
Weltraum
		Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze

Was sind sonstige kritische Sektoren?

Sonstige kritische Sektoren ergeben sich aus Anlage 2 zum NIS2UmsuCG:

Sektor	Teilsektor	Einrichtungsart
Transport und Verkehr
	Post- und Kurierdienste
		Anbieter von Postdienstleistungen (§ 3 Nr. 15 PostG), einschließlich Anbieter von Kurierdiensten
Siedlungsabfallentsorgung
		Unternehmen der Abfallbewirtschaftung (§ 3 Abs. 14 KrWG), ausgenommen Unternehmen, für die die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit darstellt
Produktion, Herstellung und Handel mit chemischen Stoffen
		Unternehmen, die Stoffe herstellen und mit Stoffen oder Gemischen handeln (Art. 3 Nr. 9, 11 VO[EG] Nr. 1907/2006) und Unternehmen, die Erzeugnisse aus Stoffen oder Gemischen produzieren (Art. 3 Nr. 3 VO[EG] Nr. 1907/2006)
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
		Lebensmittelunternehmen, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind (Art. 3 Nr. 2 VO[EG] Nr. 178/2002)
Verarbeitendes Gewerbe/Herstellung von Waren
		Unternehmen, die Medizinprodukte herstellen (Art. 2 Nr. 1 VO[EU] 2017/745) und Einrichtungen, die In-vitro-Diagnostika herstellen (Art. 2 Nr. 2 VO[EU]  2017/746), mit Ausnahme der bereits in Anhang I unter „Gesundheit“ aufgeführten Einrichtungen, die Medizinprodukte herstellen
	Herstellung von Medizinprodukten und In-vitro-Diagnostika
		Unternehmen, die Medizinprodukte herstellen (Art. 2 Nr. 1 VO [EU] 2017/745), und Unternehmen, die In-vitro-Diagnostika (Art. 2 Nr. 2 VO [EU] 2017/746) herstellen, mit Ausnahme von Unternehmen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch nach Art. 22 VO (EU) 2022/123 („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden
	Herstellung von Daten-verarbeitungsgeräten, elektronischen und optischen Erzeugnissen
		Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 26 der NACE Rev. 2 ausüben
	Herstellung von elektrischen Ausrüstungen
		Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 27 der NACE Rev. 2 ausüben
	Maschinenbau
		Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 28 der NACE Rev. 2 ausüben
	Herstellung von Kraftwagen und Kraftwagenteilen
		Unternehmen, die eine der Wirtschaftstätig-keiten im Sinne des Abschnitts C Abteilung 29 der NACE Rev. 2 ausüben
	Sonstiger Fahrzeugbau
		Unternehmen, die eine der Wirtschaftstätig-keiten im Sinne des Abschnitts C Abteilung 30 der NACE Rev. 2 ausüben
Anbieter digitaler Dienste
		Anbieter von Online Marktplätzen
		Anbieter von Online-Suchmaschinen
		Anbieter von Plattformen für soziale Netzwerke
Forschung
		Forschungseinrichtungen

Was ist eine besonders wichtige Einrichtung?

Eine besonders wichtige Einrichtung ist in § 29 Abs. 1 BSIG legaldefiniert.

Als besonders wichtige Einrichtungen gelten

1. Betreiber kritischer Anlagen
2. Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Registries oder DNS-Diensteanbieter
3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze mit mindestens 50 Mitarbeitern oder einen Jahresumsatz und Jahresbilanzsumme von über 10 Millionen Euro
4. Unternehmen, die in Sektoren aus Anlage 1 mit entweder mehr als 250 Mitarbeitern oder einem Jahresumsatz von mehr als 50 Millionen Euro und einer Jahresbilanz von mehr als 43 Millionen Euro.

Ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.

Was ist eine wichtige Einrichtung?

Eine wichtige Einrichtung ist in § 29 Abs. 2 BSIG legaldefiniert.

Als wichtige Einrichtungen gelten

1. Vertrauensdiensteanbieter,
2. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze mit weniger als 50 Mitarbeitern oder einen Jahresumsatz und Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger und
3. Unternehmen, die in Sektoren aus Anlage 1 und 2 mit entweder mehr als 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanz von jeweils mehr als 10 Millionen Euro,

die nicht als besonders wichtige Einrichtungen zu qualifizieren sind. Davon ausgenommen sind auch hier Einrichtungen der Bundesverwaltung.

Gibt es Ausnahmen?

Ausgenommen sind Finanzunternehmen im Sinne des Art. 2 Abs. 2 der VO (EU) 2022/2554. Diese umfassen:

• Kreditinstitute
• Zahlungsinstitute
• Kontoinformationsdienstleister
• E-Geld-Institute
• Wertpapierfirmen
• Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung über Krypto-Märkte zugelassen sind und Emittenten wertreferenzierter Token
• Zentralverwahrer
• zentrale Gegenparteien
• Handelsplätze
• Transaktionsregister
• Verwalter alternativer Investmentfonds
• Verwaltungsgesellschaften
• Datenbereitstellungsdienste
• Versicherungs- und Rückversicherungsunternehmen
• Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit
• Einrichtungen der betrieblichen Altersvorsorgung
• Ratingagenturen
• Administratoren kritischer Referenzwerte
• Schwarmfinanzierungsdienstleister
• Verbriefungsregister

Ferner sind Unternehmen ausgenommen, für welche die Anforderungen der VO (EU) 2022/2554 auf Grund von § 1a Abs.2 und §2a Kreditwesengesetzes oder § 293 Abs. 5 Versicherungsaufsichtsgesetz gelten.

Was sind kritische Anlagen?

Kritische Anlagen sind gem. § 2 Nr. 22 BSIG, i.V.m. § 2 Nr. 3 KRITISDachG Anlagen, die für die Erbringung einer kritischen Dienstleistung erheblich sind. Kritische Dienstleistungen sind gem. § 2 Nr. 4 KRITISDachG Dienstleistungen zur Versorgung der Allgemeinheit in den Sektoren

• Energie
• Transport und Verkehr
• Finanzwesen
• Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende
• Gesundheitswesen
• Wasser
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässe oder zu Gefährdungen für die öffentliche Sicherheit führen würde.

Nach § 5 KRITISDachG kann das Bundesinnenministerium durch Rechtsverordnung die Rahmenbedingungen für die Qualifikation einer Dienstleistung als kritisch festlegen.

Was für Maßnahmen müssen implementiert werden?

Besonders wichtige und wichtige Einrichtungen

Besonders wichtige und wichtige Einrichtungen sind gem. § 30 Abs. 1 BSIG verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen. Ziel der Maßnahmen soll es sein, Störungen von IT-Systemen zu vermeiden und Auswirkungen von Sicherheitsvorfällen gering zu halten.

Die ergriffenen Maßnahmen sollen nach § 30 Abs. 2 BSIG mindestens folgende Aspekte umfassen:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme,
• Bewältigung von Sicherheitsvorfällen,
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern,
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaß-nahmen im Bereich der Cybersicherheit,
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit,
• Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung,
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen,
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Betreiber kritischer Anlagen

Für Betreiber kritischer Anlagen gelten gem. § 31 Abs. 1 BSIG auch aufwendigere Maßnahmen nach § 30 Abs. 1 S. 1 BSIG als verhältnismäßig, sofern der erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht.

Zudem müssen Betreiber kritischer Anlagen gem. § 32 Abs. 2 BSIG Systeme zur Angriffserkennung einsetzen. Diese Systeme müssen:

• Dem Stand der Technik entsprechen
• fortlaufend Bedrohungen identifizieren und vermeiden
• geeignete Maßnahmen für Störungen vorsehen

Auch der Einsatz von Systemen zur Angriffserkennung unterliegt dem Verhältnismäßigkeitsgrundsatz: Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Anlage stehen.

Muss die Implementation nachgewiesen werden?

Betreiber kritischer Anlagen

Betreiber kritischer Anlagen müssen nach § 39 BSIG die Umsetzung der Maßnahmen Nachweisen. Der Nachweis muss frühestens 3 Jahre nach der erstmaligen Einstufung oder spätestens drei Jahre nach der erneuten Einstufung als Betreiber einer kritischen Anlage erfolgen. Ein erneuter Nachweis muss alle drei Jahre erfolgen.

Werden Sicherheitslücken gefunden, kann das BSI die Vorlage einer Behebungsstrategie oder im Einvernehmen mit zuständiger Aufsichtsbehörde die Behebung der Sicherheitslücke verlangen.

Für bisherige KRITIS-Betreiber gilt eine besondere Übergangsregelung: Der neue Nachweiszeitpunkt liegt frühestens drei Jahre nach dem letzten Nachweis nach dem früheren § 8a BSIG. Bisherige KRITIS-Betreiber, deren Nachweisfrist bis zum 5. Dezember 2026 abgelaufen wäre, können innerhalb dieses Zeitraums noch einen Nachweis nach den alten Vorgaben erbringen.
Besonders wichtige und wichtige Einrichtungen

Wichtige und besonders wichtige Einrichtungen müssen die Maßnahmen zwar umsetzen, aber keine regulären Nachweise hierüber erbringen. Besonders wichtige Einrichtungen können nach § 61 BSIG zu Audits, Prüfungen oder Zertifizierungen verpflichtet werden. Das BSI kann außerdem die zugrunde liegende Dokumentation, Mängelbeseitigungspläne und Nachweise über die Mängelbeseitigung verlangen. Liegen Tatsachen vor, die die Annahme rechtfertigen, dass eine wichtige Einrichtung auferlegte Pflichten nicht oder nicht richtig umsetzt, kann auch wichtigen Einrichtungen eine Nachweispflicht gem. § 62 BSIG auferlegt werden.

Wer unterliegt einer Registrierungspflicht?

Besonders wichtige Einrichtungen

Unternehmen, die erstmals oder wieder die Voraussetzungen einer wichtigen Einrichtung oder besonders wichtigen Einrichtung erfüllen müssen dem B innerhalb von 3 Monaten nach Erfüllung der Voraussetzungen dem Bundesamt die in § 33 Abs. 1  BSIG genannten Angaben übermitteln:

• Name der Einrichtung, Rechtsform und Handelsregisternummer
• Anschrift und aktuelle Kontaktdaten
  • E-Mail-Adresse
  • IP-Adressbereiche
  • Telefonnummern
• Relevanter Sektor aus Anlage 1 oder 2 und ggf. der Teilsektor
• Auflistung der Mitgliedstaaten, in denen die relevaten Dienste erbracht werden

Wichtige und besonders wichtige Einrichtungen nehmen die Registrierung im BSI-Portal vor. Eine Anleitung zur Registrierung findet sich hier.

Betreiber kritischer Anlagen

Als Betreiber kritischer Anlagen deklarierte Unternehmen müssen innerhalb von 3 Monaten dem Bundesamt nach § 33 Abs. 2 BSIG i.V.m. § 8 KRITISDachG folgenden Informationen übermitteln:

• Name der Einrichtung, Rechtsform und Handelsregisternummer
• Anschrift und aktuelle Kontaktdaten
  • E-Mail-Adresse
  • IP-Adressbereiche
  • Telefonnummern
• den Namen oder eine referenzierbare Bezeichnung der kritischen Anlage,
• den Sektor und, falls einschlägig, die Branche, zu dem oder zu der die kritische Anlage gehört, sowie die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist,
• soweit einschlägig, die Kategorie der kritischen Anlage und deren Werte zum Versorgungsgrad gemäß der Rechtsverordnung nach § 5 Absatz 1 Satz 1, den Standort der kritischen Anlagen und deren Versorgungsgebiet sowie deren öffentlichen IP-Adressbereiche,
• falls einschlägig, eine Auflistung der Mitgliedstaaten der Europäischen Union, in denen oder für die der Betreiber kritischer Anlagen wesentliche Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 in der Fassung vom 14. Dezember 2022 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 in der Fassung vom 25. Juli 2023 erbringt, unter Angabe, welche wesentlichen Dienste er in welchen oder für welche Mitgliedstaaten erbringt,
• eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie
• die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI-Gesetzes.

Erfolgt keine Übermittlung kann das Bundesamt die Registrierung auch für das jeweilige Unternehmen vornehmen.

Wann muss eine Meldung erfolgen?

Für alle Einrichtungen

Erhebliche Sicherheitsvorfälle müssen, unabhängig von der Einrichtungsart, dem BSI über das hierfür eingerichtete BSI-Portal gemeldet werden.

Hierbei gilt es drei relevante Fristen bei Vorliegen eines erheblichen Sicherheitsvorfalls zu beachten:

• Innerhalb von 24 Stunden nach Kenntniserlangung: Frühe Erstmeldung
  • Angabe, ob erheblicher Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder
  • grenzüberschreitende Auswirkungen haben könnte
• Innerhalb von 72 Stunden nach Kenntniserlangung: Zweite Meldung
  • Angaben der ersten Meldung bestätigen oder aktualisieren
  • Erste Bewertung des erheblichen Sicherheitsvorfalls inklusive Schweregrad, Auswirkungen sowie Kompromittierungsindikatoren
• Innerhalb eines Monats nach Übermittlung der zweiten Meldung: Abschlussmeldung
  • Ausführliche Beschreibung des Sicherheitsvorfalls
  • Angaben zur Ursache und getroffenen Maßnahmen
  • Potenziell grenzüberschreitende Auswirkungen

Auf Nachfrage des Bundesamts sind auch Zwischenmeldungen zu geben.Besonderheiten bei Betreibern kritischer Anlagen

Sofern erheblicher Sicherheitsvorfall Auswirkungen auf die betriebene kritische Anlage hat oder haben könne müssen zusätzliche Informationen erbracht werden:

• Art der betroffenen Anlage und kritische Dienstleistung
• Auswirkung des erheblichen Sicherheitsvorfalls auf  die kritische Dienstleistung

Wann liegt ein erheblicher Sicherheitsvorfall vor?

Dieser ist legaldefiniert in § 2 Nr. 11 BSIG. Der Sicherheitsvorfall

• hat schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste verursacht oder es besteht die Gefahr hierfür
• hat anderen natürlichen oder juristischen Personen erhebliche materielle oder immaterielle Schäden zugefügt oder es besteht die Gefahr hierzu

Welche Pflichten werden dem Geschäftsleiter auferlegt?

38 BSIG verpflicht die Geschäftsleitung dazu:

• Die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen,
• Deren Umsetzung zu überwachen und
• Regelmäßig an Schulungen teilzunehmen

Durch regelmäßige Teilnahme an Schulungen soll die Geschäftsleitung die notwendigen Kenntnissen und Fähigkeiten zur Identifikation und Bewertung von Risiken sowie zur Anwendung von Risikomanagementmethoden im Bereich der Cybersicherheit erlangen.

Verletzt die Geschäftsleitung ihre Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den auf die Rechtsform anwendbaren gesellschaftsrechtlichen Vorschriften. Nachdem BSIG selbst besteht eine Haftung nur, wenn die maßgeblichen gesellschaftsrechtlichen Vorschriften keine Haftungsregelung enthalten.

Betreiber kritischer Anlagen unterliegen diesen Pflichten auch, da sie zugleich als besonders wichtige Einrichtung gem. § 28 Abs. 1 Nr. 1 BSIG gelten.Billigungs-, Überwachungs,- und Schulungspflicht nach § 38 NIS2UmsuCG.

Was passiert wenn man seinen Pflichten nicht nachkommt?

Eine Nichteinhaltung wird schnell teuer. Verstößt ein Unternehmen vorsätzlich oder fahrlässig gegen Vorschriften des NIS2UmsuCG, können gem. § 65 BSIG empfindliche Bußgelder auferlegt werden.

Bei besonders wichtigen Einrichtungen können bestimmte Verstöße mit einer Geldbuße von bis zu 10 Millionen Euro geahndet werden. Bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro kann die Geldbuße bis zu 2 Prozent des weltweiten Gesamtumsatzes betragen. Bei wichtigen Einrichtungen gelten grundsätzlich Höchstbeträge von 7 Millionen Euro oder bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro bis zu 1,4 Prozent des weltweiten Gesamtumsatzes. Für andere Verstöße sieht § 65 BSIG niedrigere Höchstbeträge vor.

Was sollten Sie tun?

Die oben genannten Schwellen der Mitarbeiterzahl oder des Jahresumsatzes sind schnell erreicht. Erfüllt Ihr Unternehmen die Schwelle für eine wichtige oder besonders wichtige Einrichtung aufgrund der Mitarbeiterzahl oder dem Jahresumsatz sollten Sie sich unbedingt mit den betroffenen Sektoren näher auseinandersetzen. In den Anlagen 1 und 2 zu NISUmsuCG werden teilweise sehr weitreichende Einrichtungsarten erwähnt. Es ist daher eine genaue Prüfung erforderlich, ob ihr Unternehmen auch unter diese Einrichtungsart fällt.

Beispiel 1:

In Anlage 2 werden unter den „Anbietern digitaler Dienste“ auch Online-Marktplätze erfasst. Dieser Begriff wird in § 312l Abs. 3 BGB legaldefiniert:

Online-Marktplatz ist ein Dienst, der es Verbrauchern ermöglicht, durch die Verwendung von Software, die vom Unternehmer oder im Namen des Unternehmers betrieben wird, einschließlich einer Webseite, eines Teils einer Webseite oder einer Anwendung, Fernabsatzverträge mit anderen Unternehmern oder Verbrauchern abzuschließen

Unter diese Definition fallen nicht nur Plattformen wie Amazon, sondern auch Online-Kleinanzeigen-Portale oder sogar Marktplätze in Videospielen.

Beispiel 2:

Neben den Online-Marktplätzen werden in Anlage 2 auch Online-Suchmaschinen erfasst. Art. 2 Nr. 5 VO(EU) 2019/1150 definiert Suchmaschinen folgendermaßen:

Einen digitalen Dienst, der es Nutzern ermöglicht, in Form eines Stichworts, einer Spracheingabe, einer Wortgruppe oder einer anderen Eingabe Anfragen einzugeben, um prinzipiell auf allen Websites oder auf allen Websites in einer bestimmten Sprache eine Suche zu einem beliebigen Thema vorzunehmen und Ergebnisse in einem beliebigen Format angezeigt zu bekommen, über die sie Informationen im Zusammenhang mit dem angeforderten Inhalt finden können.

Diese Definition lässt sich nicht nur auf klassische Suchmaschinen wie Google oder Bing anwenden, sondern kann auch (kleinere) Vergleichsportale erfassen.

Beispiel 3:

Anlage 2 führt auch Plattformen für Dienste sozialer Netzwerke auf. Diese werden in § 2 Nr. 30 NISUmsuCG legaldefiniert:

Eine Plattform, auf der Endnutzer mit unterschiedlichen Geräten insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und entdecken können.

Während hier vorrangig an Soziale Netzwerke wie X oder Instagram gedacht werden kann, werden auch kleinere lokale Netzwerke erfasst, solange diese über 50 Mitarbeiter verfügen. So fallen nach öffentlich einsehbaren Informationen auch Portale wie Jodel mit 60 Mitarbeitern oder nebenan.de mit 130 Mitarbeitern in den Anwendungsbereich des BSIG.

Der Anwendungsbereich betroffener Unternehmen kann also erheblich weiter sein, als er auf den ersten Blick erscheint.

Sie möchten wissen, ob ihr Unternehmen die Voraussetzungen an eine wichtige oder besonders wichtige Einrichtung erfüllt und welche Maßnahmen Sie ergreifen müssen? Dann nehmen Sie doch mit uns Kontakt auf, wir helfen Ihnen gerne weiter!

Wie geht’s weiter?

NIS 2 hat durch die Umsetzung im BSIG und KRITISDachG unmittelbare Wirkung in Deutschland entfaltet. Sofern nicht bereits geschehen sollten Unternehmen erforderliche Registrierungen vornehmen und die Risikomanagement- und Meldepflichten umsetzen. Besonders wichtig ist eine belastbare Dokumentation der getroffenen Maßnahmen, da das BSI Prüfungen, Nachweise und bei Verstößen auch konkrete Abhilfemaßnahmen anordnen kann.