NIS-2 und KRITIS: Pflichten für Unternehmen

Aktueller Stand: Referentenentwurf liegt vor

• §28 (2) fügt kleine "Anbieter öffentlicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze" als Betroffene hinzu.
• §28 (9) betrifft staatliche IT-Anbieter, für die ein Bezug zum Bund fehlt.
• In §55 "Konformitätsbewertung und Konformitätserklärung" geht es darum, wie mit Sicherheits-Selbsteinschätzungen (Konformität zu technischen Richtlinien des BSI) von IKT-Anbietern für deren IKT-Produkte umgegangen werden soll.
• Im der Anlage 1 wird für 4.1.1 "Erbringer von Gesundheitsdienstleistungen" die Richtlinie EU 2011/24 zusätzlich genannt.

Was bedeutet KRITIS?

Was müssen KRITIS-Betreiber tun?

Unternehmen können anhand ihrer Zugehörigkeit zu bestimmten Branchen (z. B. Energie) und anhand von Schwellwerten feststellen, ob sie als „KRITIS-Betreiber“ gelten und somit diverse Pflichten erfüllen müssen:

• eine Kontaktstelle für die betriebene Kritische Infrastruktur benennen,
• IT-Störungen oder erhebliche Beeinträchtigungen melden,
• IT-Sicherheit auf dem "Stand der Technik" gewährleisten,
• und dies alle zwei Jahre gegenüber dem BSI nachweisen.

NIS2UmsuCG: NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

Welche Unternehmen sind vom NIS2UmsuCG betroffen?

• Schwellwerte für die Anzahl Mitarbeiter oder Jahresumsatz/Jahresbilanzsumme überschreitet und
• in einem bestimmten Sektor tätig ist.

Schwellwerte

• Als "besonders wichtige Einrichtungen" gelten:
  • Betreiber kritischer Anlagen ("KRITIS-Betreiber")
  • Spezielle Einrichtungen z. B. für Domains, DNS, qualifizierte Vertrauensdienste, größere Telekommunikationanbieter
  • Einrichtungen ab 250 Mitarbeitende ODER mehr als 50 Millionen Euro Jahresumsatz und 43 Millionen Euro Jahresbilanzsumme, die in den in Anlage 1 genannten Sektoren tätig sind.
• Als "wichtige Einrichtungen" gelten:
  • Spezielle Einrichtungen z. B. für Vertrauensdienste, kleinere Telekommunikationanbieter
  • Einrichtungen ab 50 Mitarbeitende ODER mehr als 10 Millionen Euro Jahresumsatz und 10 Millionen Euro Jahresbilanzsumme, die in den in Anlage 1 und 2 genannten Sektoren tätig sind.

Sektoren

In den Anhängen I und II der EU-Richtlinie sind "Sektoren mit hoher Kritikalität" bzw. "Sonstige kritische Sektoren" aufgelistet, die in Teilsektoren und "Art der Einrichtung" aufgesplittet sind.

Im Entwurf des NIS2UmsuCG ist diese Systemtik in sehr ähnlicher und etwas konkreterer Form enthalten.

Was müssen betroffene Unternehmen tun?

• Risikomanagementmaßnahmen, Business Continuity Management (§§ 30, 31)
  Dazu gehört z. B. der Einsatz technischer Maßnahmen wie z. B. Kryptografie, Verschlüsselung, Multi-Faktor-Authentifizierung
• Meldepflichten (§32)
• Registrierungspflicht (§§ 34, 34)
• Unterrichtungspflichten (§35)
• Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter (§38)

• Kritische Dienstleistungen und Anlagen: Es wird definiert, welche Dienstleistungen und Anlagen als kritisch im Sinne des Gesetzes angesehen werden, einschließlich des Versorgungsgrades, der für diese als notwendig erachtet wird (§57 Abs. 4).
• Sicherheitszertifikate und Anerkennung: Details zur Erteilung von Sicherheitszertifikaten und zur Anerkennung nach spezifischen Vorschriften werden erläutert (§57 Abs. 1).
• IT-Sicherheitskennzeichnung: Die Einzelheiten des IT-Sicherheitskennzeichens und die Feststellung der Eignung branchenabgestimmter IT-Sicherheitsvorgaben werden beschrieben, zusammen mit der Prozedur zur Freigabe solcher Vorgaben (§57 Abs. 2).
• Zertifizierungspflicht für bestimmte Produkte, Dienste oder Prozesse: Es wird festgelegt, dass bestimmte Produkte, Dienste oder Prozesse, die von besonders wichtigen Einrichtungen verwendet werden, eine Zertifizierung benötigen (§57).

Welche Folgen drohen bei Nichtbeachtung?

Fristen für die Maßnahmen-Umsetzung

• "Das Bundesamt kann, neben der nach § 39 für Betreiber einer kritischen Anlage bestimmten Frist, auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller Anforderungen nach den §§ 30, 31 und 32 anordnen."
• Unabhängig davon kann aber das Bundesamt Maßnahmen anordnen, insbesondere wenn Gefahr im Verzug ist (§65 (6)).

• "Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung die Anforderungen aus den §§ 30, 31 und 32 nicht oder nicht richtig umsetzt, so kann das Bundesamt die Einhaltung der Anforderungen nach den §§ 30, 31 und 32 überprüfen und Maßnahmen nach § 65 treffen."

Fristen für die Registrierungspflicht

• §33 (1): Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der genannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit Angaben zu übermitteln."
• Achtung, §33 (3): "Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbieter kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird."
• §34: Bis zum 17. Januar 2025 müssen spezielle Einrichtungen dem Bundesamt Angaben übermitteln.