Das IT-Sicherheitsgesetz 2.0 gilt. Die NIS 2-Umsetzung kommt. Und damit erweiterte Sektoren, strengere Regelungen und neue Pflichten. Ziel der Richtlinie: Ein hohes gemeinsames Schutzniveau in der Europäischen Union. Einiges davon ist bereits Teil des IT-Sicherheitsgesetzes. Anderes kommt noch hinzu. Erfahren Sie, was heute schon gilt, was zukünftig kommt und warum Ihr Umsetzungsstatus jetzt auf den Prüfstand gehört. Eine Übersicht.
Seit Dezember 2021 gültig. Anwendung auf KRITIS-Betreiber.
ZIEL
Verfügbarkeit, Integrität, Authentizität & Vertraulichkeit von Daten umfassend zu sichern.
VERÄNDERUNG
Das Gesetz beinhaltet im Vergleich zum IT-Sicherheitsgesetz 1.0 aus dem Jahr 2015 in erster Linie Weiterentwicklungen bezüglich IT-Sicherheitsvorkehrungen mit den folgenden wichtigsten Neuerungen:
SEKTOREN
Wie in IT-Sicherheitsgesetz 1.0.
NEUE MELDE- UND AUDITPFLICHTEN
Die 2-jährige Umsetzungsfrist aus dem IT-Sicherheitsgesetz 1.0 gilt nicht mehr. Stattdessen gelten die Fristen ab Tag 1 der entsprechenden Unternehmenseinstufung. Die Frist gilt auch dann, wenn Ihr Unternehmen während der Laufzeit des Gesetzes plötzlich Schwellenwerte überschreitet und zu einem UBI oder KRITIS wird. Für KRITIS-Betreiber gilt:
Ab Mai 2023 gültig. Anwendung auf UBI-Betreiber.
NEUE MELDE- UND AUDITPFLICHTEN
ANGEPASSTER BUSSGELDRAHMEN
Seit 16. Januar 2023 in Kraft. Bis 2024 von den Mitgliedsstaaten in nationales Recht umzusetzen.
Hintergrund: Die neue europäische Richtlinie basiert auf der NIS 1-Direktive aus dem Jahr 2016. Deren Anwendungsbereich und Anforderungen zur Sicherheit entsprachen nicht mehr den tatsächlichen Entwicklungen. Darüber hinaus gab es keine ausreichende Harmonisierung unter den Mitgliedsstaaten bzgl. der Kategorisierung von Cybersicherheitsvorfällen, Meldepflichten und Sanktionen.
ZIEL
Ein hohes gemeinsames Schutzniveau in der Europäischen Union.
VERÄNDERUNG
NIS 2 schränkt den Handlungspielraum der Mitgliedsstaaten ein und gibt vor, wie die Richtlinie in nationales Recht umzusetzen ist. Deutschland erfüllt mit dem IT-Sicherheitsgesetz 2.0 schon einen großen Teil der Vorgaben. Inwieweit die neuen Anforderungen darin verankert werden oder ob es ein IT-Sicherheitsgesetz 3.0 geben wird, ist noch offen. Als Veränderungen sind neben der Ausweitung der Sektoren und Verpflichtungen, vor allem die persönliche Haftung von Geschäftsführenden sowie die Höhe möglicher Bußgelder bei Nichterfüllung zu nennen. Nationale Behörden werden die Überwachung und Durchsetzung der Vorschriften übernehmen.
SEKTOREN
Ausweitung der definierten KRITIS-Sektoren/Wesentliche:
NEUE MELDE- UND AUDITPFLICHTEN
Mindestanforderungen für Unternehmer und Betreiber:
ERWEITERUNG BUSSGELDRAHMEN
Bis Oktober 2024 muss Deutschland die NIS 2 EU-Richtlinie in nationales Recht überführen. Das bedeutet, Abwarten ist keine Option. Die Bedrohungslage ist so hoch wie nie und die Herausforderungen im Cyber-Raum werden weiter rasant zunehmen. Wir empfehlen allen Organisationen, den eigenen Umsetzungsstand zur IT-Sicherheit auf den Prüfstand zu stellen und zu schauen, wo nachgearbeitet werden muss. IT-Risikoanalysen und Monitorings Ihrer organisationsweiten IT-Angriffsfläche liefern die notwendige Transparenz und sind eine ideale Vorbereitung für bevorstehende Kontrollen und Zertifizierungen. Darüber hinaus erspart ein intelligentes Lieferanten-Risikomanagement viele manuelle Prozesse und macht die Verwaltung deutlich effizienter.
Erkennen und reduzieren Sie Ihre Cyberrisiken durch einen vergleichbaren und verständlichen Überblick Ihrer IT-Sicherheit. Lassen Sie sich von unseren Experten beraten und finden Sie heraus, wie LocateRisk Ihnen bei der Lösung Ihrer Cyberrisiken helfen kann.
Deutsch 
English 
Français