Welche neuen (Cyber-)Sicherheitspflichten kommen auf Unternehmen zu?
Automobilhersteller1, Medienunternehmen2, Bundestag3, Uni-Kliniken4, Kreisverwaltungen5 aber vor allem auch Unternehmen aus dem Mittelstand6 – all diese Einrichtungen wurden in der jüngeren Vergangenheit Opfer vor Cyberangriffen. Hackergruppierungen greifen Kundendaten ab oder verlangen Lösegelder, um den Zugriff auf die IT-Systeme wieder freizugeben. Trotz bereits bestehender deutscher und europäischer Rechtsakte zum Schutze der Cybersicherheit gelingt es Kriminellen immer wieder, öffentliche Einrichtungen und Unternehmen „per Mausklick“ lahm zu legen.
Die Europäische Kommission hat jüngst als Reaktionen auf derartige Vorfälle umfassend von ihrem Initiativrecht Gebrauch gemacht und weitere Rechtsakte auf den Weg gebracht, um die Cybersicherheit sowie die physische Sicherheit von Einrichtungen der Kritischen Infrastruktur, aber auch die Cybersicherheit von digitalen Verbraucherprodukten zu stärken.
Dieser Beitrag gibt einen ersten Überblick über die neuen Rechtsakte.
Um die verschiedene Rechtsakte richtig einordnen zu können, ist zunächst erforderlich, die – teils im öffentlichen Diskurs nicht immer zutreffend verwendeten – Begriffe zu entschlüsseln:
Die IT-Sicherheit betrifft den Schutz der Verfügbarkeit, Integrität und Vertraulichkeit informationstechnischer Systeme. Nach dem deutschen Verständnis dient die IT-Sicherheit vor allem dem Schutz der mit den Systemen verarbeiteten Informationen. Damit ist die IT-Sicherheit Teil der Informationssicherheit, die ihrerseits auch den Schutz nicht-technischer Systeme umfasst.7
Demgegenüber nimmt der Begriff der Cybersicherheit weniger das IT-System als solches in den Blick, sondern die vernetzte Welt unzähliger Systeme, somit den gesamten digitalen Raum, der mitunter auch als „Cyberspace“ bezeichnet wird.8
In Abgrenzung dazu ist die physische Sicherheit als der Schutz von Einrichtungen vor unmittelbaren körperlichen Einwirkungen wie mechanische Beeinflussungen durch Personen, technische Defekte oder Umweltkatastrophen zu verstehen.
NIS-2 Richtlinie9
Zur Erhöhung der Cybersicherheit hat der europäische Gesetzgeber am 14.12.2022 die NIS-2-Richtlinie verabschiedet. Diese ist durch die Mitgliedsstaaten bis zum 17.10.2024 ins nationale Recht umzusetzen.10 Das zuständige Bundesministerium des Innern (BMI) hat bereits einen ersten Referentenentwurf des Umsetzungsgesetzes erstellt, der eine folgenreiche Neustrukturierung des deutschen Cybersicherheitsrechtes erahnen lässt.11
Die NIS-2-Richtlinie beerbt die NIS-Richtlinie aus dem Jahre 2016.12 Während die NIS-Richtlinie insbesondere den „wesentlichen Diensten“ und den „Anbietern digitaler Dienste“ Pflichten zur Stärkung der Cybersicherheit auferlegte, erweitert die NIS-2-Richtlinie den Anwendungsbereich auf „wesentliche und wichtige Einrichtungen“, wobei auch neue (kritische) Sektoren hinzukommen. Zudem werden Schwellenwerte, die für die Anwendung des Gesetzes relevant sind, abgesenkt. Daher werden die Anforderungen für eine Vielzahl von Unternehmen verpflichtend, die bislang nicht im Anwendungsbereich des Gesetzes lagen.
Die NIS-2-Richtlinie sieht einen umfangreichen Compliance-Maßnahmenkatalog vor, den die Verpflichteten zu erfüllen haben – worüber sie Nachweise zu erbringen haben.13 Ferner werden Meldepflichten bei Cybersicherheitsvorfällen wie etwa Hackerangriffen verschärft.14 Bei schwerwiegenden Angriffen auf wesentliche Einrichtungen müssen Unternehmen innerhalb von 24 Stunden Meldung bei den zuständigen Aufsichtsbehörden erstatten. Bei Zuwiderhandlung oder Nicht-Einhaltung der Vorgaben der NIS-2-Richtlinie drohen empfindliche Bußgelder, persönliche Haftung oder gar Suspendierungen der Leitungsorgane.15 Flankiert wird die NIS-2-Richtlinie durch sektorspezifische Regulierung. Etwa für den Finanzsektor hat die EU die Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors verabschiedet, die ab dem 17.01.2025 unmittelbar Anwendung finden wird, ohne dass es einer Transformation ins nationale Rech bedarf.16
Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie)17
Zeitgleich verabschiedet und ebenfalls bis zum 17.10.2024 umzusetzen ist die Richtlinie über die Resilienz kritischer Einrichtungen (CER). Nach dieser Richtlinie sind Betreiber kritischer Einrichtungen verpflichtet, Maßnahmen zur Resilienz einzuführen. Resilienz im Sinne der Richtlinie ist dabei die Fähigkeit, Sicherheitsvorfälle zu verhindern bzw. sich davor zu schützen sowie angemessen die Folgen eines eingetreten Vorfalls zu begrenzen.18 Ziel ist es, das Ausfallrisiko von Prozessen zu mindern. Dafür werden Pflichten zur Risikobewertung, Maßnahmenkataloge, Überprüfungsmaßnahmen und Meldepflichten normiert.19 Aufsichtsbehörden erhalten umfassende Aufsichts- und Durchsetzungsmechanismen, an deren Ende wiederum die Verhängung von Sanktionen stehen können.20
Cyberresilienz21
Zukunftsmusik ist hingegen noch das Gesetz über die Cyberresilienz von Produkten mit digitalen Elementen. Die Europäische Kommission hatte ihren Entwurf am 15.09.2022 vorgestellt, wann eine Einigung erzielt wird, ist derzeit nicht absehbar.
Adressaten dieser Verordnung sind die Hersteller, Importeure und Vertriebler von digitalen Produkten. Hierzu werden sowohl Hardware als auch Software zählen. Ziel des Vorhabens ist es, den Grundsatz „Security by Design“ derart in die Produktentwicklung zu integrieren, dass die Cybersicherheit auf Verbraucherebene gestärkt wird. Dies soll unter anderem durch Updatepflichten über den gesamten Lebenszyklus eines Produktes und fortlaufende Konformitätsüberprüfungen sichergestellt werden. Von besonderer Bedeutung ist auch hier die knapp bemessene zweijährige Frist, mit deren Ablauf die Verordnung Anwendung finden wird: Produkthersteller sind gut beraten, die Vorgaben des Entwurfes der Cyberresilienzverordnung bereits jetzt zu berücksichtigen, dürfte der Entwicklungsvorlauf von digitalen Produkten doch regelmäßig länger als 24 Monate betragen.
Auch wenn die Umsetzung der NIS-2-Richtlinie und der CER-Richtlinie sowie die finale Fassung der Cyberresilienzverordnung noch abzuwarten sind, besteht bereits jetzt Handlungsbedarf. Interne Prozesse anzupassen und Managementsysteme aufzubauen, um im Herbst 2024 vorbereitet zu sein, ist für die adressierten Unternehmen eine Pflichtaufgabe – allein, um Sanktionen und Reputationsschäden zu vermeiden.
Gerne ermitteln wir mit Ihnen gemeinsam, ob und welche Rechtsakte für Sie relevant sein werden und unterstützen Sie bei der Planung und Implementierung von daraus resultierenden Compliance-Maßnahmen.
Ein besonderer Dank gilt Lewin Rexin, Rechtsreferendar des Teams, für den wertvollen Beitrag bei der Erstellung dieses Beitrags.
Unaufgeforderte E-Mails und andere Informationen, die Dentons erhält, werden nicht vertraulich behandelt, können an Dritte weitergegeben werden, erhalten möglicherweise keine Antwort und schaffen keine Anwalt-Mandanten-Beziehung. Wenn Sie noch kein Mandant von Dentons sind, schicken Sie uns bitte keine vertraulichen Informationen.
Die Seite, die Sie besuchen wollten, ist in der von Ihnen ausgewählten Sprache nicht verfügbar. Sie wurden auf einen entsprechenden Bereich unserer Webseite weitergeleitet.
Sie werden jetzt von der Dentons Website zur englischen $redirectingsite Website weitergeleitet. Wenn Sie fortfahren möchten, klicken Sie bitte auf Annehmen.
Sie werden jetzt von der Dentons Website zur Beijing Dacheng Law Offices, LLP Website weitergeleitet. Wenn Sie fortfahren möchten, klicken Sie bitte auf Annehmen.