Veröffentlicht am von Hans-Jörg Vohl

Zum aktuellen Stand der Gesetzgebung und Umsetzung von NIS2 in Deutschland und Österreich

Die NIS-2-Richtlinie der Europäischen Union zielt darauf ab, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der EU zu gewährleisten. Sie wurde am 16. Januar 2023 in Kraft gesetzt, und die Mitgliedstaaten sind verpflichtet, sie bis zum 17. Oktober 2024 in nationales Recht umzusetzen.

Deutschland:

In Deutschland erfolgt die Umsetzung der NIS-2-Richtlinie durch das Bundesministerium des Innern und für Heimat (BMI). Obwohl die Frist zur Umsetzung bis zum 17. Oktober 2024 vorgesehen war, wird Deutschland diese Frist voraussichtlich verpassen. Aktuell wird mit einem Inkrafttreten des entsprechenden nationalen Gesetzes im März 2025 gerechnet.

Betroffene Unternehmen sollten dennoch bereits jetzt aktiv werden, da der vorliegende Gesetzesentwurf keine Übergangsfristen vorsieht. Das bedeutet, dass die Sicherheitsmaßnahmen ab Inkrafttreten des Gesetzes unmittelbar erfüllt werden müssen.

Österreich:

In Österreich wird die NIS-2-Richtlinie durch das Netz- und Informationssicherheitsgesetz (NISG) umgesetzt. Ein entsprechender Gesetzesentwurf wurde im April 2024 veröffentlicht. Trotz des Entwurfsstatus bietet das Dokument interessante Einblicke in nationale Besonderheiten und Schwerpunkte.

Betroffene Unternehmen sollten sich daher zeitnah über ihre Pflichten informieren und entsprechende Sicherheitsmaßnahmen implementieren.

Schweiz:

Als Nicht-EU-Mitglied ist die Schweiz nicht verpflichtet, die NIS-2-Richtlinie umzusetzen. Dennoch beobachtet die Schweiz die Entwicklungen in der EU aufmerksam und passt ihre nationalen Strategien und Gesetze zur Cybersicherheit entsprechend an, um mit den internationalen Standards Schritt zu halten.

Pflichten für betroffene Unternehmen:

Unternehmen, die unter die NIS-2-Richtlinie fallen, sind verpflichtet, verschiedene Sicherheitsmaßnahmen umzusetzen, darunter:

  • Implementierung von Sicherheitsrichtlinien und Risikomanagementprozessen.
  • Einführung von Maßnahmen zur Vorfallserkennung und -bewältigung.
  • Sicherstellung der Kontinuität des Geschäftsbetriebs, einschließlich Backup- und Wiederherstellungsverfahren.
  • Gewährleistung der Sicherheit in der Lieferkette.
  • Meldung von Sicherheitsvorfällen an die zuständigen Behörden.

Diese Maßnahmen müssen proportional zu den Risiken sein, denen das Unternehmen ausgesetzt ist, sowie zur Unternehmensgröße und der potenziellen Schwere von Vorfällen.

Übergangsfristen:

Sowohl in Deutschland als auch in Österreich sind derzeit keine spezifischen Übergangsfristen vorgesehen. Das bedeutet, dass betroffene Unternehmen die erforderlichen Sicherheitsmaßnahmen ab dem Inkrafttreten der nationalen Gesetze unmittelbar erfüllen müssen. Es ist daher ratsam, bereits jetzt mit der Implementierung der notwendigen Maßnahmen zu beginnen, um Compliance sicherzustellen.

Weiterführende Quellen: