Was ändert sich mit der NIS2-Richtlinie und wen betrifft sie überhaupt?
Die NIS2-Richtlinie gilt EU-weit und hat das Ziel, das Gesamtniveau der Cybersicherheit in der EU zu steigern. Betroffene Unternehmen müssen geeignete Sicherheitsmaßnahmen ergreifen, erhebliche Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden und sich aktiv beim BSI registrieren. Bei Verstößen drohen hohe Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes – im schlimmsten Fall sogar der Entzug der Betriebserlaubnis.
Jetzt könnte man denken: Kennen wir das nicht schon? Betreiber kritischer Infrastrukturen (KRITIS) sind doch bereits seit Längerem verpflichtet, spezielle Sicherheitsmaßnahmen zu ergreifen und nachzuweisen. Ja, korrekt. Die NIS2-Richtlinie konkretisiert und erweitert dies nun aber erheblich. Insbesondere hat sich der Geltungsbereich entscheidend ausgeweitet: Nicht nur KRITIS-Betreiber sind von den geforderten Maßnahmen betroffen, sondern auch – neu – „besonders wichtige Einrichtungen" und „wichtige Einrichtungen". In Deutschland sind damit rund 29.500 Einrichtungen reguliert, für die das BSI künftig als Aufsichtsbehörde fungiert. Also schauen wir uns die Richtlinie besser mal etwas genauer an.
