Richtlinie gegen digitale Achtlosigkeit

Die NIS-2-Richtlinie erweitert den ursprünglichen Bereich für kritische Infrastrukturen auf das zuarbeitende Gewerbe, so dass im Falle eines Falles auch die Lieferketten geschützt sind.  Folgenden „wesentliche“ Sektoren waren bereits ursprünglich enthalten.

• Gesundheitswesen
• Virtuelle Infrastruktur
• Transportwesen
• Wasserversorgung
• Digitale Dienstleister
• Bankwesen
• Finanzmarktinfrastruktur
• Energie

Zudem sollen in der kommenden Version auch diese „wichtigen“ Entitäten unter die NIS-2-Regularien fallen:

• Anbieter öffentlich zugänglicher Kommunikationsnetze oder -dienste
• Abwasser
• Chemie
• Erweiterter Kreis im Gesundheitswesen: Pharma, Forschung und Entwicklung, kritische Medizinprodukte
• Lebensmittelproduzenten, -verarbeiter und -händler
• Herstellung kritischer Produkte z.B. Computer, Elektronik, Kraftfahrzeuge
• Digitale Anbieter wie etwa Social Networking Plattformen, Suchmaschinen und Online Marktplätze
• Raumfahrt
• Post- und Kurierdienste
• Öffentliche Verwaltung

Es hängt von der Unternehmensgröße und dem Umsatz ab, welche Unternehmen die NIS 2-Anforderungen erfüllen müssen. Dabei wird zwischen mittleren und großen Betrieben unterschieden:

• Mittlere Unternehmen: 50-250 Mitarbeiter, 10-50 Mio. EUR Umsatz, Bilanzsumme unter 43 Mio. EUR
• Große Unternehmen mit mehr als 250 Mitarbeitern, über 50 Mio. EUR Umsatz, Bilanzsumme über 43 Mio. EUR

Neben der Meldepflicht für sicherheitsrelevante Ereignisse verschärft NIS 2 auch die Sanktionen bei Nichteinhaltung der Vorschriften. Für wesentliche Anlagen sind Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem, welcher Betrag höher ist. Bei wichtigen Instituten ist das maximale Bußgeld auf 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes begrenzt.

Der Referentenentwurf des Bundesinnenministeriums sieht zudem vor, dass Geschäftsführer und andere Leitungsorgane von Unternehmen mit ihrem Privatvermögen für die Einhaltung der Risikomanagementmaßnahmen haften. Die Geldbuße kann bis zu 2 Prozent des weltweiten Jahresumsatzes betragen.

Umsetzung in Deutschland

Die Bundesregierung hat am 29. März 2023 das Gesetz zur Umsetzung der NIS-2-Richtlinie beschlossen. Das Gesetz sieht die nationale Umsetzung bis zum 17. Oktober 2024 vor.