NIS2: Fristen, Pflichten und Strafen fuer europaeische Unternehmen
Die europaeische NIS2-Richtlinie (Network and Information Security Directive 2) stellt die bedeutendste regulatorische Aktualisierung im Bereich Cybersicherheit der letzten Jahre dar. Sie erweitert den Kreis der verpflichteten Einrichtungen erheblich und fuehrt schwere Strafen bei Nichteinhaltung ein.
Wer ist betroffen?
NIS2 gilt fuer zwei Kategorien: Wesentliche Einrichtungen (Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, oeffentliche Verwaltung) und Wichtige Einrichtungen (Postdienste, Abfallwirtschaft, Lebensmittelproduktion, Fertigung, Forschung). Wenn Ihre Organisation in einem dieser Sektoren mit mindestens 50 Mitarbeitern oder einem Umsatz von ueber 10 Millionen Euro taetig ist, sind Sie mit hoher Wahrscheinlichkeit betroffen.
Wichtigste Pflichten
- Umsetzung verhaeltnismaessiger technischer und organisatorischer Massnahmen (Art. 21)
- Verschluesselung der Kommunikation und Schutz von Daten bei der Uebertragung
- Vorfallmanagement mit Meldung innerhalb von 24 Stunden
- Lieferkettensicherheit und Zugriffskontrolle fuer Lieferanten
- Geschaeftskontinuitaet und Notfallwiederherstellung
- Governance: Das Management ist direkt verantwortlich
Strafen
Fuer wesentliche Einrichtungen koennen die Strafen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes betragen. Fuer wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4% des Umsatzes.
Im Unterschied zur DSGVO sieht NIS2 auch eine persoenliche Haftung des Managements vor: Fuehrungskraefte koennen bei Fahrlaessigkeit bei der Ueberwachung der Sicherheitsmassnahmen direkt verantwortlich gemacht werden.
Was jetzt zu tun ist
Der erste Schritt ist eine Bewertung der aktuellen Sicherheitslage, um Luecken gegenueber den NIS2-Anforderungen zu identifizieren. AEGIDA bietet ein kostenloses Self-Assessment-Tool, das in wenigen Minuten eine indikative Bewertung mit personalisierten Empfehlungen liefert.
Warten Sie nicht auf Fristen: NIS2-Compliance ist kein Projekt, das in wenigen Tagen umgesetzt werden kann. Es erfordert Planung, technologische Investitionen und einen kulturellen Wandel im Umgang mit der Sicherheit operativer Kommunikation.