Blog.Cyber Security

NIS2 vor Umsetzung – sind auch Sie (in-)direkt betroffen?

Von:
Amra Numanovic BSc (WU)
insight featured image
Die EU-Richtlinie NIS2 (EU 2022/2555) zur Stärkung der Cyberresilienz trat am 16. Januar 2023 in Kraft und sollte bis Oktober 2024 in nationales Recht umgesetzt werden. Doch sowohl in Österreich als auch in Deutschland verzögert sich die Umsetzung. Obwohl die Richtlinie bereits gilt, fehlen vielerorts noch nationale Gesetze. Unternehmen und Organisationen sollten die verbleibende Zeit daher dringend zur Vorbereitung nutzen.
INHALTE

Aktueller Stand der NIS2-Umsetzung

  • Die EU‑Richtlinie NIS‑2 (EU 2022/2555) ersetzt die ursprüngliche NIS‑Richtlinie von 2016. Sie trat am 16. Januar 2023 in Kraft und wäre am 18. Oktober 2024 EU‑weit anzuwenden gewesen.
  • In Österreich steht das nationale Umsetzungsgesetz (NISG idF Begutachtungsentwurf 2024) voraussichtlich noch in 2025 vor Verabschiedung.
  • Auch in Deutschland verzögert sich die Umsetzung durch Regierungs- und Parlamentswechsel; die Einbringung des “NIS2UmsuCG” ist für 2025 zu erwarten.
  • Fazit: Die Richtlinie ist EU‑weit gültig, nationale Gesetze stehen aber noch aus – die Zeit zur Vorbereitung und Umsetzung ist knapp und sollte jetzt genutzt werden!

Was wird geregelt?

  • Mithilfe der NIS2-Richtlinie soll ein einheitliches Cybersicherheitsniveau in der EU umgesetzt werden.
  • Die Mitgliedsstaaten sind zur Benennung und Einrichtung von zentralen Anlaufstellen sowie Computer-Notfallteams verpflichtet.
  • Um Sicherheitsvorfällen vorzubeugen haben betroffene Unternehmen u. a. folgende Maßnahmen umzusetzen:
    • Konzepte zur Risikoanalyse ausarbeiten
    • Strategien zur Identifizierung und Behebung von Sicherheitsvorfällen einzurichten
    • Kontinuität des Betriebs sicherstellen (Backup, Wiederherstellung)
    • Sicherheit der Lieferkette gewährleisten
  • Weiters sind die betroffenen Unternehmen verpflichtet, Sicherheitsvorfälle zu melden – die Frühwarnung innerhalb von 24 Stunden, Bewertung innerhalb von 72 Stunden sowie ggf. ein Zwischenbericht und spätestens nach einem Monat der Abschlussbericht.

Welche Unternehmen sind betroffen?

  • NIS2 gilt für „wesentliche“ und „wichtige Einrichtungen“ großer und mittelständischer Unternehmen in mindestens 18 Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur (u.a. Anbieter von Cloud-Diensten und Rechenzentrumsdiensten), IKT-Dienstleister, Post- und Kurierdienste, Abfallbewirtschaftung, verarbeitendes Gewerbe (u.a. Herstellung von Medizinprodukten, Maschinenbau) und weitere.
  • Die Einordnung, als wesentliches oder wichtiges Unternehmen, hängt hauptsächlich von der Unternehmensgröße (große, mittlere oder teilweise kleine Unternehmen) sowie vom Tätigkeitsbereich und Sektor des Unternehmens ab. Die Unterscheidung ist vor allem für die Aufsichts- und Durchsetzungsregelungen von Bedeutung, nicht jedoch für den Umfang der umzusetzenden Maßnahmen.
  • Betroffen sind lt. § 25 des Entwurfs des NISG idF Begutachtungsentwurf 2024, abgesehen von Ausnahmen, mittlere und große Unternehmen in den genannten Sektoren, die aufgrund ihrer Beschäftigtenzahl, Umsätze und Bilanzsumme folgende Schwellenwerte überschreiten – in Österreich betrifft das direkt rund 4.000 Unternehmen:
    • Mittel (medium):
      • > 50 Beschäftigte ODER
      • > 10 Mio. Euro Jahresumsatz UND > 10 Mio. Euro Bilanzsumme
    • Groß (large):
      • > 250 Beschäftigte ODER
      • > 50 Mio. Euro Jahresumsatz UND > 43 Mio. Euro Bilanzsumme
  • Die betroffenen Unternehmen müssen zusätzlich die Sicherheit der Lieferkette beachten. Die Lieferanten bzw. Dienstleister betroffener Unternehmen sind somit indirekt betroffen, da die Einhaltung (bestimmter) NIS2-Vorgaben von der betroffenen Organisation verlangt werden kann.

Welche Strafen können drohen?

Bei Nichteinhaltung der Regelungen drohen den Unternehmen Sanktionen in Höhe von

  • bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Jahresumsatzes bei wesentlichen Einrichtungen
  • bis zu 7 Mio. Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes bei wichtigen Einrichtungen

Wie wir Sie unterstützen

Grant Thornton Austria bietet umfassende Unterstützung bei der NIS2-Compliance – hier die wichtigsten Leistungen:

  1. Überprüfung der Betroffenheit von NIS2: Analyse und Stellungnahme, ob Ihr Unternehmen von den NIS2-Regelungen direkt oder potenziell indirekt betroffen ist.
  2. NIS2 GAP-Analyse: Durchsicht der bereits vorhandenen Dokumente, Prozesse und Kontrollen und Ableitung, welche Maßnahmen notwendig sind, um die NIS2-Anforderungen erfüllen zu können.
  3. Unterstützung bei der Maßnahmenumsetzung: Identifizierung der erforderlichen Richtlinien, Prozesse und Kontrollen sowie Hilfestellung für die Implementierung entsprechender Maßnahmen.

Fazit

Die NIS2-Richtlinie stärkt europaweit die Cyberresilienz – national wurden Fristen bislang nur zum Teil umgesetzt, was Unternehmen aktuell Spielräume, aber auch Handlungsdruck gibt. Betroffen ist ein großer Teil der Wirtschaft – von kritischen Infrastrukturen bis hin zu digitalen Dienstleistern und Industriesektoren. Grant Thornton Austria hilft Ihnen, die Anforderungen ganzheitlich und praxisnah zu erfüllen – von der ersten Bestandsaufnahme bis zur Implementierung.