NIS-2
Mit der Europäischen NIS-2-Richtlinie kommen auf eine Vielzahl von Unternehmen weitreichende Anforderungen zu. Die NIS-2 ist am 16.01.2023 in Kraft getreten und muss bis zum 17.10.2024 in nationales Recht überführt werden. Ab dem 18.10.2024 gilt die NIS-2 europaweit.
Der deutsche Gesetzgeber ist bereits aktiv geworden, und erste, wenn auch inoffizielle, Referentenentwürfe eines NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) sind publik geworden. Demnach wird es in Deutschland neben den bisherigen Betreibern von kritischen Infrastrukturen (zukünftig „kritischer Anlagen“) auch die in der NIS-2 eingeführten besonders wichtigen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) geben. Damit wird der Kreis der betroffenen Unternehmen drastisch ausgeweitet, allein bei den besonders wichtigen Einrichtungen wird mit zusätzlichen 7.000 Unternehmen in Deutschland gerechnet.
Die betroffenen Unternehmen und Organisationen müssen angemessene Maßnahmen nach dem aktuellen Stand der Technik in Bereichen wie Cyber-Risikomanagement, Sicherheit in der Lieferkette, Business Continuity Management, Penetrationstests und Reaktion auf Vorfälle sowie Berichterstattung an die Behörde und Abhilfemaßnahmen ergreifen. Besonders wichtige Einrichtungen müssen die ergriffenen Maßnahmen regelmäßig gegenüber dem BSI nachweisen.
Darüber hinaus werden strenge und weitreichende Haftungsregeln für die Geschäftsleitung der betroffenen Einrichtungen eingeführt. Diese Haftungsregeln gehen bis in den Bereich der persönlichen Haftung von Leitungsorganen. Als Sanktionierung besteht sogar die Möglichkeit, dass einer Geschäftsführung die Wahrnehmung von Leitungsfunktionen vorübergehend untersagt wird.
Es entsteht also ein enormer Handlungsdruck, der eine rechtzeitige Vorsorge erfordert. Da nicht jedes Unternehmen über eine ausreichende Expertise verfügt, um diesen komplexen Anforderungen gerecht zu werden, bietet die TÜV TRUST IT ein spezielles Leistungspaket zur Vorbereitung auf die NIS-2 an.