Strafen bei Verstoß gegen NIS-2: Was Unternehmen jetzt wissen müssen

Die NIS-2-Richtlinie (Network and Information Security Directive) ist ein bedeutender Schritt der Europäischen Union, um die Cybersicherheit in ganz Europa zu stärken. Sie soll eine Antwort auf die zunehmende Bedrohungslage durch Cyberangriffe darstellen.

So zeigt beispielsweise der Bericht zur Lage der IT-Sicherheit in Deutschland 2024 des  Bundesamtes für Sicherheit in der Informationstechnik, dass die Zahl der am Tag bekannt gewordenen Schwachstellen sich im Vergleich zum Vorjahr um 14 Prozent gesteigert hat. Die Bedrohungsarten – auch das konstatiert der Bericht – reichen von Schadcodes über das Auslesen und die Manipulation von Anwendungsdaten und Umgehung von Schutzmechanismen bis zur Abschaltung von Diensten. Ein breites Spektrum also, das erheblichen Schaden in Unternehmen auf der ganzen Welt anrichten kann.

Die NIS-2-Richtlinie soll hier Abhilfe schaffen, ist aber keineswegs nur als Empfehlung zu verstehen. Sie bringt ganz konkrete, erweiterte Sicherheitsanforderungen mit sich und sieht bei deren Nicht-Beachten strenge Strafen für Unternehmen vor.

Welchen Geltungsbereich hat die NIS-2-Richtlinie?

Die NIS-2-Richtlinie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie von 2016 erheblich. Sie gilt für eine Vielzahl von Sektoren, darunter:

• Kritische Infrastrukturen: Energie, Verkehr, Banken, Gesundheitswesen und digitale Infrastruktur.
• Wichtige Organisationen: Post- und Kurierdienste, Abfallwirtschaft und Lebensmittelproduktion.

Diese Erweiterung verpflichtet, eine breite Palette von Unternehmen und Organisationen robuste Cybersicherheitsmaßnahmen zu implementieren, um die Sicherheit und Integrität ihrer Netzwerke und Informationssysteme zu gewährleisten.

In Deutschland wird die NIS-2-Richtlinie aller Voraussicht nach im Frühjahr 2025 in nationales Recht übertragen, spätestens dann müssen Betriebe NIS-2-Konformität hergestellt haben, um Strafen zu entgehen.

Betroffen sind alle Unternehmen und Organisationen, die in den oben genannten Sektoren tätig sind. Dies umfasst sowohl große Konzerne als auch kleinere Unternehmen, die kritische Dienstleistungen erbringen. Besonders im Fokus stehen dabei: Betreiber kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen, die wesentliche Dienstleistungen für die Gesellschaft erbringen.

Strafen bei Verstößen gegen NIS-2

In puncto Strafen sieht die NIS-2-Richtlinie erhebliche Maßnahmen unterschiedlicher Art für alle die Unternehmen vor, die die Vorgaben nicht einhalten. Dabei unterscheidet sich die Strafe je nachdem, zu welchem Sektor das betreffende Unternehmen gehört. Bisher müssen sich Unternehmen auf Folgendes einstellen:

• Kritische Einrichtungen: Geldbußen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
• Wichtige Organisationen: Geldbußen bis zu sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.
• Nicht-monetäre Strafen: Dazu gehören Compliance-Anordnungen und die öffentliche Bekanntgabe von Verstößen.

Diese strengen Strafen sollen sicherstellen, dass Unternehmen die Cybersicherheit ernst nehmen und die notwendigen Maßnahmen ergreifen, um ihre Netzwerke und Systeme zu schützen.

Dabei gilt: Unternehmen profitieren nicht nur von Straffreiheit, wenn sie die NIS-2-Richtlinien umsetzen. Sie stärken auch ihre eigenen Resilienzfähigkeit und vermeiden durch verlässliche IT-Sicherheit finanzielle Verluste und Reputationsschäden.

Welche Maßnahmen müssen Unternehmen zur Einhaltung der NIS-2-Richtlinie ergreifen?

Um den Anforderungen der NIS2-Richtlinie zu entsprechen, müssen betroffene Unternehmen eine Reihe von Maßnahmen ergreifen. Dazu gehören:

1. Robuste Cybersicherheitsmaßnahmen: Konkret bedeutet dies beispielsweise die Implementierung von Sicherheitsprotokollen und -technologien, um Netzwerke und Informationssysteme zu schützen.
2. Regelmäßige Risikobewertungen: Durchführung von Risikobewertungen, um potenzielle Bedrohungen zu identifizieren und zu mitigieren.
3. Meldung wesentlicher Vorfälle: Verpflichtung zur Meldung von Sicherheitsvorfällen an die zuständigen Behörden.
4. Einhaltung durch Drittanbieter: Sicherstellung, dass auch Drittanbieter, mit denen das Unternehmen zusammenarbeitet, die Sicherheitsanforderungen erfüllen.

Unterstützung durch sichere virtuelle Datenräume

Virtuelle Datenräume können eine entscheidende Rolle bei der Einhaltung der NIS2-Richtlinie spielen und dabei helfen, Strafen zu vermeiden. Sie bieten eine sichere Plattform für die Speicherung und den Austausch sensibler Daten und unterstützen Unternehmen dabei, die strengen Sicherheitsanforderungen zu erfüllen.

Zu den Vorteilen von virtuelle Datenräumen gehören:

• Sichere Datenverschlüsselung: Schutz sensibler Informationen durch fortschrittliche Verschlüsselungstechnologien. Dabei sollte bei der Entscheidung für einen virtuellen Datenraum darauf geachtet werden, dass der Anbieter Ende-zu-Ende-Verschlüsselung nach dem Zero-Knowledge-Prinzip anbietet.
• Serverstandort: Verlässliche Datenverschlüsselung ist Pflicht, aber auch der Standort des Servers ist ein Kriterium, nach dem Unternehmen einen geeigneten virtuellen Datenraum aussuchen sollten.
• Zugriffskontrollen: Verwaltung und Überwachung des Zugriffs auf Daten, um unbefugte Nutzung zu verhindern. Auch die Möglichkeit, Zugriffsrechte nicht nur an Gruppen, sondern dezidiert an einzelne Akteure zu vergeben, unterstützt die Sicherheit im virtuellen Datenraum.
• Audit-Trails: Nachverfolgung aller Aktivitäten innerhalb des Datenraums, um Transparenz zu gewährleisten.
• Compliance-Konformität: Nicht nur NIS-2, auch andere regulatorische oder selbstentwickelte Vorgaben müssen eingehalten werden. Der virtuelle Datenraum sollte so konzipiert sein, dass es gar nicht erst zu Verstößen gegen Compliancevorgaben kommt.
• Einfache Handhabung: Nutzungsfreundlichkeit ist zwar nicht unbedingt ein relevantes Kriterium für die Sicherheit, letztlich entscheidet diese aber doch darüber, ob der virtuelle Datenraum überhaupt genutzt wird. Deshalb sollten Verantwortliche auf eine intuitiv verständliche Benutzeroberfläche und gut verstehbare Prozesse achten.

Strafen vermeiden, Resilienz aufbauen

Die NIS-2-Richtlinie stellt hohe Anforderungen an die Cybersicherheit von Unternehmen in der EU und sieht strenge Strafen für Verstöße vor.

Indem Unternehmen diese ernst nehmen und entsprechende Maßnahmen umsetzen, können sie nicht nur Strafen vermeiden, sondern auch das Vertrauen ihrer Kunden und Partner stärken. Dabei bieten virtuelle Datenräume eine effektive Lösung, die die Sicherheit sensibler Daten – auch im Austausch mit externen Partnern – gewährleistet.

Erfahren Sie mehr darüber, wie Tresorit Ihr Unternehmen bei der Vorbereitung auf NIS2-Compliance unterstützen kann.