Die NIS2-Richtlinie (Netz- und Informationssicherheit 2) ist eine überarbeitete Version der NIS-Richtlinie (2016) der Europäischen Union, die darauf abzielt, die Cybersicherheit in der EU zu stärken. Die Hauptziele der NIS2-Richtlinie sind:

Erweiterter Anwendungsbereich
Die Richtlinie erweitert die Liste der Sektoren und Dienste, die unter die Sicherheitsanforderungen fallen. Dies umfasst nun auch mehr Unternehmen in Bereichen wie Gesundheit, digitale Infrastrukturen, Wasserwirtschaft, öffentliche Verwaltung und Raumfahrt.

Verstärkte Sicherheitsanforderungen
Unternehmen und Organisationen müssen striktere Qybersicherheitsmaßnahmen implementieren. Dazu gehören Maßnahmen zur Risikomanagement und Meldepflichten bei Sicherheitsvorfällen.

Harmonisierung der Vorschriften
Die Richtlinie zielt darauf ab, die Sicherheitsvorschriften in den Mitgliedstaaten weiter zu harmonisieren, um ein gleichmäßiges Schutzniveau in der gesamten EU zu gewährleisten.

Verbesserte Zusammenarbeit und Informationsaustausch
NIS2 fördert die Zusammenarbeit zwischen den Mitgliedstaaten, insbesondere durch die Einrichtung eines EU-weiten Netzwerks von Computer Security Incident Response Teams (CSIRTs) und einer verstärkten Rolle der Europäischen Agentur für Cybersicherheit (ENISA).

Hauptpunkte im Zusammenhang mit Lieferketten und Strafen:

Lieferkette, erweiterter Anwendungsbereich
NIS2 bezieht mehr Sektoren und Unternehmen ein, einschließlich derer, die eine kritische Rolle in der Lieferkette spielen, wie z.B. im Gesundheitswesen, in der Finanzwirtschaft und in der IT-Dienstleistungsbranche.

Lieferkettensicherheit
Unternehmen müssen nicht nur ihre eigene Cybersicherheit gewährleisten, sondern auch die ihrer Lieferanten und Dienstleister. Es gibt spezifische Anforderungen an das Management von Lieferkettenrisiken, um sicherzustellen, dass Schwachstellen in der Lieferkette nicht zu Angriffen führen können.

Verantwortung
Unternehmen sind verpflichtet, sicherzustellen, dass ihre Partner und Lieferanten ebenfalls Sicherheitsstandards einhalten. Dies kann durch Audits, Verträge und andere Maßnahmen geschehen.

Strafen:

Erhöhte Sanktionen
Die NIS2-Richtlinie sieht strengere Strafen für Verstöße vor. Geldstrafen können bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist.

Durchsetzungsbehörden
Die nationalen Behörden erhalten erweiterte Befugnisse, um die Einhaltung der Richtlinie zu überwachen und durchzusetzen. Dies umfasst auch das Recht, Untersuchungen durchzuführen und Strafen zu verhängen. Insgesamt zielt die NIS2-Richtlinie darauf ab, die Cyber-Resilienz von Unternehmen und ihrer Lieferketten zu stärken und durch die Androhung empfindlicher Strafen die Einhaltung der Vorschriften zu erzwingen.

Mehr zu NIS2

Eine der häufig gestellten Fragen:

FRAGE:
Ich bin KMU-Betrieb und versende  meine Rechnungen per E-mail. Falle ich in die NIS2 Lieferkette?

ANTWORT:
Als KMU-Betrieb, der Rechnungen per E-Mail versendet, würden Sie im Allgemeinen nicht direkt in den Anwendungsbereich der NIS2-Richtlinie fallen, da die Richtlinie hauptsächlich auf Betreiber wesentlicher Dienste (wie Energie, Verkehr, Banken, Gesundheitswesen usw.) und Anbieter digitaler Dienste abzielt, die eine kritische Rolle in der Gesellschaft und Wirtschaft spielen. Allerdings könnte es Ausnahmen geben, wenn Sie als Teil der Lieferkette oder als Dienstleister für ein Unternehmen agieren, das in den Geltungsbereich der NIS2-Richtlinie fällt. In solchen Fällen könnte es sein, dass Sie indirekt bestimmte Sicherheitsanforderungen erfüllen müssen, um die Sicherheitsanforderungen Ihrer Kunden oder Geschäftspartner zu unterstützen.

Zusammengefasst:

Direkt betroffen:
Wahrscheinlich nicht, da Sie als Kleinunternehmer nicht zu den primären Zielgruppen der NIS2-Richtlinie gehören.
Indirekt betroffen:
Möglicherweise, wenn Sie in einer Lieferkette tätig sind, die Unternehmen umfasst, die unter die NIS2-Richtlinie fallen. Dann könnten bestimmte Sicherheitsanforderungen an Sie weitergegeben werden.

Es wäre ratsam, die spezifischen Anforderungen Ihrer Branche und die Erwartungen Ihrer Kunden oder Partner zu prüfen, um sicherzustellen, dass Sie alle relevanten Sicherheitsanforderungen erfüllen.

FAZIT:
Unabhängig davon, wie man es betrachtet, ist man auch als KMU-Betrieb verpflichtet, Sicherheitsmaßnahmen wie Cybersecurity-Software einzusetzen. Dies gilt insbesondere, wenn man E-Banking nutzt (sei es über lokale Software oder Online-Banking), da Banken aufgrund der NIS2-Richtlinie verpflichtet sind, bestimmte Sicherheitsanforderungen zu erfüllen und diese an ihre Kunden weitergeben können. Ganz zu schweigen von den Sicherheitsvorkehrungen, die von den Online-Dienstanbietern des Kunden bereitgestellt werden.