Digital Operational Resilience Act (DORA) – Banken, Versicherungen und deren Dienstleister sind betroffen

Executive Summary 

  • Die Europäische Union hat am 17.01.2023 die DORA-Verordnung für Finanzunternehmen und Drittanbieter von Informations- und Kommunikationstechnik („IKT“) erlassen. 
  • Ziel der Verordnung ist es, Geschäftsunterbrechungen und wirtschaftliche Verluste durch Cyberbedrohungen und IT-Zwischenfälle vorzubeugen. 
  • Die neue Verordnung statuiert Compliancevorgaben in fünf zentralen Bereichen: Risikomanagement; Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle; Tests der digitalen operationellen Resilienz; Management des IKT-Drittparteienrisikos; Austausch von Informationen und Kenntnissen. 
  • Die DORA-Anforderungen müssen von den betroffenen Unternehmen bis zum 17.01.2025 umgesetzt werden.  

Einleitung: 

Die Digitalisierung des europäischen Finanzsektors bietet Anbietern von Bank- und Finanzdienstleistungen zahlreiche neue Möglichkeiten. Gleichzeitig steigt jedoch, angesichts der wachsenden Gefahr durch Cyberangriffe, auch die Anzahl der Risiken. Um Geschäftsunterbrechungen und wirtschaftliche Verluste durch Cyberbedrohungen und IT-Zwischenfälle vorzubeugen, hat die Europäische Union am 17.01.2023 mit dem Digital Operational Resilience Act („DORA“) einen unionsweiten Rechtsrahmen erlassen, welcher die digitale Widerstandsfähigkeit und Cybersicherheit im Finanzdienstleistungssektor stärken soll.  

Was ist DORA? 

Bei DORA handelt es sich um eine von der Europäischen Union erlassene Verordnung, welche Teil eines größeren Gesetzespaketes zur Digitalisierung des Finanzsektors ist (Digital Finance Package). Ziel von DORA ist es, die Stabilität des Finanzmarktes auch im Falle von schwerwiegenden Störungen zu gewährleisten und alle Marktteilnehmer zu schützen, indem sichergestellt wird, dass Finanzunternehmen alle notwendigen Maßnahmen zur Absicherung gegen Cyberrisiken und -angriffe treffen. Zudem vereinheitlicht DORA bestehende europäische und nationale Standards und Vorgaben, um den Binnenmarkt störende doppelte Anforderungen und uneinheitliche Regelungen für europaweit tätige Finanzunternehmen in Zukunft zu vermeiden.  Der Anknüpfungspunkt der neuen Verordnung ist dabei die Verwendung von Informations- und Kommunikationstechnologie (“IKT”). Darunter versteht die Europäische Kommission “alle technischen Medien, die für die Handhabung von Informationen und zur Unterstützung der Kommunikation eingesetzt werden”, Beispiele dafür sind vor allem Computer- und Netzwerkhardware und die dazugehörige Software. An die betroffenen Unternehmen stellt DORA neue Compliance-Anforderungen, welche die Verarbeitung und Speicherung von Informationen betreffen. 

Welche Unternehmen sind von DORA betroffen?  

Die DORA-Verordnung ist auf Finanzunternehmen und Drittanbieter von Informations- und Kommunikationstechnik („IKT“) anzuwenden, welche innerhalb der Europäischen Union tätig sind. Neben Kreditinstituten, Versicherungsunternehmen und Zahlungsinstituten, die bisher in Deutschland bereits durch BAIT, VAIT und ZAIT im Bereich IT und Informationssicherheit reguliert waren, wird die Anzahl der Organisationen massiv ausgeweitet. Nunmehr werden folgende Organisationen vom Anwendungsbereich der DORA erfasst:  

  • Kreditinstitute    
  • Zahlungsinstitute   
  • Kontoinformationsdienstleister  
  • E-Geld-Institute  
  • Wertpapierfirmen 
  • Zentralverwahrer  
  • Zentrale Gegenparteien  
  • Handelsplätze  
  • Transaktionsregister 
  • Verwalter alternativer Investmentfonds  
  • Verwaltungsgesellschaften  
  • Datenbereitstellungsdienste  
  • Versicherungs- und Rückversicherungsunternehmen  
  • Einrichtungen der betrieblichen Altersvorsorge  
  • Ratingagenturen  
  • Administratoren kritischer Referenzwerte  
  • Schwarmfinanzierungsdienstleister  
  • Verbriefungsregister 
  • Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit 
  • IKT-Drittdienstleister 
  • Anbieter von Krypto-Vermögenswerten, die gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte für Krypto-Vermögenswerte zugelassen sind, und Emittenten wertreferenzierter Token 

Was regelt die DORA-Verordnung? 

Die Compliancevorgaben, die DORA statuiert, lassen sich in fünf verschiedene Kategorien einteilen, welche im Folgenden näher beleuchtet werden: 

  1. Risikomanagement 

Im Bereich des Risikomanagements statuiert die neue Verordnung, dass Finanzunternehmen belastbare IKT-Systeme einrichten und pflegen müssen. Dabei ist besonders darauf zu achten, dass bestehende IKT-Risiken minimiert werden, die Risikoquellen identifiziert werden und Schutz- und Präventionsmaßnahmen vorhanden sind. Zudem muss ein System zur Erkennung anomaler Aktivitäten etabliert werden. Finanzunternehmen müssen weiterhin umfassende Business-Continuity-Richtlinien/Notfall- und Wiederherstellungspläne einführen. Außerdem sollten betroffene Unternehmen die Aufgaben und Verantwortlichkeiten für alle IKT-bezogenen Funktionen festlegen, interne IKT-Revisionspläne erstellen sowie Leitlinien zu Vereinbarungen über die Nutzung von IKT-Dienstleistungen anfertigen. Die IKT-Risikomanagementmaßnahmen müssen in die Geschäftsstrategie implementiert werden. Die Verantwortung für die Umsetzung trägt dabei der Vorstand oder der Geschäftsführer als Leitungsorgan des Finanzunternehmens.  

  1. Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle 

DORA enthält zudem eine Verpflichtung zur Meldung von IKT-bezogenen Vorfällen. In Zukunft sind Finanzunternehmen verpflichtet einen Managementprozess zur Überwachung und Protokollierung von IKT-Vorfällen zu implementieren. Etwaige Vorfälle sind dann nach Kriterien, die in der Verordnung dargelegt sind, zu klassifizieren. Dazu gehören beispielsweise Dauer, geographische Ausbreitung und wirtschaftliche Auswirkungen des Vorfalls. Bei schwerwiegenden IKT-Vorfällen muss das betroffene Unternehmen mehrere Meldungen an die europäischen Behörden vornehmen: 

  • Eine Erstmeldung  
  • Eine Zwischenmeldung, wenn eine Statusänderung des ursprünglichen Vorfalls gegeben ist  
  • Eine Abschlussmeldung, nach Beendigung der Ursachenanalyse. 
  1. Tests der digitalen operationalen Resilienz 

Eine weitere Anforderung der DORA-Verordnung sind Tests der digitalen operationalen Resilienz eines Unternehmens. Die Risikomanagementmaßnahmen müssen dabei mindestens einmal pro Jahr durch interne oder externe Prüfer auf seine Schwachstellen kontrolliert werden. Dies erfolgt durch den Einsatz bekannter Verfahren wie z.B. Leistungstests, End-to-End-Tests oder Penetrationstests. Bei der Auswahl der Testverfahren ist die Größe und die individuelle Risikolage des Unternehmens zu berücksichtigen. 

  1. Management des IKT-Drittparteienrisikos 

DORA legt im Rahmen des Risikomanagements von Finanzunternehmen auch einen großen Fokus auf die Risiken durch Drittanbieter. Oft lagern Unternehmen ihre IT an große Technologieanbieter aus. Dadurch entstehen potenzielle Risiken, welche im Rahmen des Risikomanagements berücksichtigt werden müssen. Diese Risiken müssen Finanzunternehmen zukünftig bewerten und in ihrem Risikomanagementrahmen berücksichtigen. Dazu gibt DORA wesentliche Mindestbestandteile von Auslagerungsverträgen vor, wie z.B. Kündigungsrechte und umfassende Überwachungsrechte des Finanzunternehmens.  

Zudem erschafft DORA einen europäischen Aufsichtsrahmen für kritische IKT-Drittanbieter. Danach dürfen die Aufsichtsbehörden bei kritischen IKT-Drittanbietern Unterlagen anfordern, Vor-Ort Prüfungen durchführen und Zwangsgelder verhängen.  

  1. Austausch von Informationen und Kenntnissen 

Ein weiterer zentraler Bestandteil ist der Informationsaustausch zwischen Finanzunternehmen. Nach der DORA-Verordnung dürfen Finanzdienstleister zukünftig relevante Informationen bezüglich Cyberbedrohungen austauschen. Dies gilt insbesondere für Erkenntnisse über Techniken und Verfahren, sowie aktuelle Beeinträchtigungen. Der Austausch ist dabei nur zulässig, wenn er auf die Stärkung der digitalen operationalen Resilienz der Unternehmen abzielt, innerhalb einer vertrauenswürdigen Gemeinschaft stattfindet und durch Vereinbarungen umgesetzt wird, die den sensiblen Charakter der Informationen schützen. 

Was ist jetzt zu tun? 

Mit der Veröffentlichung im Amtsblatt der Europäischen Union am 27.12.2022 wurde das formelle Gesetzgebungsverfahren zur DORA-Verordnung abgeschlossen. Am 17.01. 2023 trat die Verordnung in Kraft, allerdings ist für die Anwendung der neuen Regelungen eine Übergangsfrist von 2 Jahren vorgesehen. Somit müssen die betroffenen Unternehmen die Anforderungen ab dem 17.01.2025 erfüllen. Dies heißt jedoch keineswegs, dass Unternehmen sich mit der Implementierung noch Zeit lassen können, denn das Treffen geeigneter Maßnahmen kann ein langwieriger und aufwendiger Prozess sein. Gerade in großen Unternehmen wird es einige Zeit brauchen, um eine derartige Compliancestruktur aufzubauen, die den DORA-Anforderungen genügt. Zudem wird sich die Umsetzung der vorgeschriebenen Maßnahmen von Organisation zu Organisation unterscheiden. 

Gerade deshalb ist es wichtig sich frühzeitig mit den Anforderungen von DORA auseinanderzusetzen und diese zeitnah zu implementieren. 

Damit Ihnen die Vorbereitung gelingt haben wir im Folgenden die wichtigsten Schritte einer guten Vorbereitung zusammengefasst: 

  1. Betroffenheit klären 

Zunächst sollten Sie klären, ob Ihr Unternehmen in den Anwendungsbereich der DORA-Verordnung fällt.  

  1. Risikobewertung  

Bewerten Sie im nächsten Schritt Ihr derzeitiges IKT-Risiko, sowie aktuelle Meldeverfahren und Ihre Fähigkeit zur Bedrohungserkennung. Dies kann mittels einer Resilienz-Prüfung wichtiger Funktionen und Systeme geschehen. Auch eine Überprüfung Ihres derzeitigen Security-Awareness-Programms ist an dieser Stelle von Vorteil. 

  1. Kritische IKT-Drittdienstleister bestimmen 

Zusätzlich zu der Bestimmung Ihrer eigenen Risiken muss eine Identifikation der kritischen IKT-Drittdienstleister vorgenommen werden. Dabei ist ein besonderer Fokus auf deren Schwachstellen und den daraus resultierenden Risiken für Ihr Unternehmen zu legen. Vor diesem Hintergrund sind besonders die vertraglichen Anforderungen an Vereinbarungen mit IKT-Drittleistern zu beachten. Überprüfen Sie an dieser Stelle bestehende Verträge und achten Sie bei der Aufsetzung von neuen Verträgen darauf, dass die gesetzlichen Mindestelemente enthalten sind. 

  1. Budgets zuweisen 

Nach der Bewertung der einschlägigen Risiken lässt sich bestimmen, wie hoch der Arbeitsaufwand und somit auch das Budget für die Umsetzung der Maßnahmen sein sollte. Beachten Sie dabei sowohl die Kosten für die Umsetzung von DORA-Anforderungen als auch Kosten für die Implementierung eines effektiven Security-Awareness-Programms bzw. -trainings 

  1. Maßnahmenauswahl 

Nun gilt es zusammen mit den Entscheidungsträgern geeignete Maßnahmen auszuwählen, welche zu dem Risikoprofil Ihres Unternehmens passen. Bei der Auswahl der Maßnahmen sollte ein besonderer Fokus auf die IKT-Drittdienstleister gelegt werden. Einigen Sie sich mit Ihren Partnern gemeinsam auf Maßnahmen und wechseln Sie notfalls Ihren Dienstleister. 

  1. Umsetzung der Maßnahmen & Gap-Analyse  

Konnten Sie sich mit Ihren Partnern auf ein geeignetes Maßnahmenportfolio einigen, so müssen die Maßnahmen im nächsten Schritt umgesetzt werden. Ist dies geschehen, so sollten Sie erneut eine Gap-Analyse durchführen, um sicherzustellen, dass die gesetzlichen Anforderungen eingehalten werden. 

Digital-Operational-Resilience-Act-DORAHerunterladen

Neues Diskussionspapier zur NIS-2 – Analyse und Key Facts 

Neues Diskussionspapier zur NIS-2 – Analyse und Key Facts 

Nach dem Inkrafttreten der NIS-2 Richtlinie Anfang dieses Jahres warten viele Unternehmen gespannt auf deren Umsetzung in deutsches Recht. Klar ist bisher, dass der Anwendungsbereich der neuen Regelungen deutlich erweitert wird, sodass künftig auch viele mittelständische Unternehmen betroffen sind.  Derzeit unterliegen die Details zur Umsetzung der NIS-2 Vorgaben noch einem dynamischen Veränderungsprozess. Das zeigt sich vor allem daran, dass im September ein neuer Referentenentwurf veröffentlicht wurde, welcher als Diskussionspapier diente und auf den mehr als 30 Verbände und Institutionen mit Stellungnahmen reagiert haben. Diese wurden schließlich vom Bundesministerium für Inneres („BMI“) in einem Werkstattgespräch Ende Oktober 2023 mit den Beteiligten Verbänden und Institutionen aufgenommen und fließen in die kommende Ressortabstimmung des BMI mit ein.  

Die wichtigsten Veränderungen im Vergleich zum zweiten Referentenentwurf werden nachfolgend kurz dargestellt:  

I. Nachweispflichten 

Eine der wohl wichtigsten Änderungen des Diskussionspapiers besteht im Bereich der Nachweispflichten. Statt der anfänglich vorgesehenen zwei-jährlichen Prüfungen für KRITIS-Betreiber und besonders wichtige Einrichtungen, wurde die Spanne nun auf drei Jahre angehoben. Zudem sollen nur noch die Betreiber kritischer Anlagen der Pflicht unterliegen. Der letzte Referentenentwurf sah noch eine Nachweispflicht für besonders wichtige Einrichtungen vor. Für diese soll die Nachweispflicht jedoch nur noch auf Verlangen des Bundesamtes für Sicherheit in der Informationstechnik bestehen. Die Form der Nachweispflichten in Form von Audits, Prüfungen und Zertifizierungen bleibt laut dem Diskussionspapier weiter bestehen. Die Änderung des Nachweiszeitraums hat zur Folge, dass die ersten Prüfungen frühestens im Oktober 2027 stattfinden werden. 

Von diesen Nachweispflichten zu unterscheiden ist die vom Gesetzgeber angestrebte Rechenschaftspflicht im Sinne von Art. 5 Abs. 2 DSGVO analog. Während die Nachweispflicht betroffene Unternehmen dazu verpflichtet, die Einhaltung von Risikomanagementmaßnahmen innerhalb eines bestimmten Zeitraums unaufgefordert nachzuweisen, ist die Umsetzung von Maßnahmen bei der Rechenschaftspflicht beständig zu dokumentieren. Die Vorlage dieser Dokumente hat nach Aufforderung durch das BSI zu erfolgen, beispielsweise bei Stichproben oder im Anschluss eines Vorfalls, sodass diese stets auf aktuellem Stand bereitzuhalten sind. 

II. Betreiber & Sektoren  

In dem Diskussionspapier wurden zudem die betroffenen Betreiber & Sektoren weitergehend konkretisiert. Anlage 1 und 2 des Entwurfs nennen zum einen „Sektoren mit hoher Kritikalität“ (Anlage 1) und zum anderen „Sonstige kritische Sektoren“ (Anlage 2). Auf dieser Basis soll die Einteilung in die Einrichtungskategorien stattfinden. Zu den besonders wichtigen Einrichtungen sollen alle Unternehmen zählen, die den Sektoren in Anlage 1 angehören und mehr als 250 Mitarbeiter oder über 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Bilanzsumme vorweisen können. Hingegen sollen zu den wichtigen Einrichtungen alle solche Unternehmen zählen, die den Sektoren in Anlage 1 und 2 angehören und über mehr als 50 Mitarbeiter oder über 10 Mio. EUR Jahresumsatz und Bilanzsumme verfügen. Eine Übersicht der in Anlage 1 und 2 genannten Sektoren im Folgenden:  

Anlage 1 Anlage 2 
Energie  Stromversorgung, Fernwärme/-kälte, Kraftstoff, Heizöl, Gas Transport/Verkehr Post und Kurier 
Transport/Verkehr Luftverkehr Schienenverkehr, Schifffahrt, Straßenverkehr Entsorgung Abfallbewirtschaftung 
Finanz/Versicherungen Banken, generelle Finanzmarktinfrastruktur Chemie Herstellung, Handel, Produktion 
Wasserwirtschaft Trinkwasser, Abwasser Lebensmittel Großhandel, Produktion, Verarbeitung 
IT und Telekommunikation Internet Exchange Points, Domain Name Systems, TLD, Cloud Provider, Rechenzentrumsdienste, Content Delivery Networks, Trust Service Provider, elektronische Kommunikation und Dienste, Managed Services und Security Services Verarbeitendes Gewerbe Medizin/Diagnostika, Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, Hersteller von elektronischen Erzeugnissen, Maschinenbau, Kfz/Teile, Fahrzeugbau  
Weltraum Bodeninfrastrukturen Digitale Dienste Marktplätze, Suchmaschinen, soziale Netzwerke 
Gesundheit Dienstleistungen, Referenzlabore, Forschungs- und Entwicklungsanbieter, Hersteller pharmazeutischer Erzeugnisse, Medizinprodukthersteller Forschung Forschungseinrichtungen 

Zu begrüßen ist, dass im Werkstattgespräch mit dem BMI hervorgehoben wurde, dass sich der Betrieb einer kritischen Anlage nicht auf sämtliche Teile eines Unternehmens auswirkt. Vorbehaltlich der Ressortabstimmung würde das bedeuten, dass die speziellen Anforderungen für kritische Anlagen nicht für das gesamte Unternehmen oder den gesamten Konzern gelten, mithin die übrigen Unternehmensteile nicht „infiziert“ werden. 

III. Änderung der Mindestanforderungen 

In dem Diskussionspapier wurden zudem die Kriterien für die Auswahl der Mindestanforderungen konkretisiert. Wie auch schon im letzten Referentenentwurf  

festgelegt, muss bei der Auswahl der Maßnahmen das Ausmaß der Risikoexposition, die Größe der Einrichtung, etwaige Umsetzungskosten, sowie die Eintrittswahrscheinlichkeit und die Schwere von Sicherheitsvorfällen berücksichtigt werden.  

Geändert wurden hingegen die Anforderungen an die Sicherheit in der Lieferkette. Laut dem letzten Referentenentwurf mussten die Einrichtungen die bestehende Cybersicherheitspraxis ihrer Partner bei der Auswahl der Maßnahmen berücksichtigen und diese in die Entscheidung einfließen lassen. Zwar wurden diese Anforderung nunmehr im Gesetzestext gestrichen, finden sich allerdings in der Gesetzesbegründung wieder. Daher können sie künftig durch Auslegung mittelbar in den das Umsetzungsgesetz mit einfließen. 

IV. Pflichten & Haftung für Geschäftsleiter 

Der Referentenentwurf aus dem Juli 2023 statuierte weitreichende Pflichten für die Geschäftsleiter betroffener Unternehmen. So hieß es in dem Entwurf, dass die Geschäftsleiter Risikomanagementmaßnahmen billigen und zusätzlich deren Umsetzung selbstständig überwachen müssen. Ein Delegieren der Überwachungstätigkeit an Dritte war laut dem Referentenentwurf nicht zulässig. Der Entwurf sah für die Verletzung der Überwachungspflicht eine persönliche Haftung der Geschäftsführer besonders wichtiger und wichtiger Einrichtungen vor. 

Das Diskussionspapier aus dem September 2023 kippt diese Anforderungen nun wieder. Anders als in dem Entwurf aus dem Juli 2023 dürfen sich Geschäftsführer zukünftig eines Dritten bedienen, um die Umsetzung der Risikomanagementmaßnahmen zu überwachen. Auch die vorgesehene Klarstellung bezüglich der Geschäftsführerhaftung bei Unterlassung der Überwachungspflicht wurde aus dem Papier entfernt. Dies ändert jedoch nichts an der grundsätzlichen Haftung des Geschäftsführers gegenüber seiner Organisation, da seine Binnenhaftung auch weiterhin besteht.  

Entfernt wurde außerdem die Schulungspflicht für Mitarbeiter betroffener Einrichtungen, welche im letzten Referentenentwurf noch vorgesehen war. Die Schulungspflicht für Geschäftsleiter von besonders wichtigen und wichtigen Einrichtungen bleibt hingegen bestehen. 

V. Erste Einordnung 

Aus dem neuen Diskussionspapier gehen nochmals zahlreiche zum Teil tiefgreifende Veränderungen hervor. Einige Änderungen vereinfachen die Handhabe des neuen Gesetzes. Zugleich wurden aber auch einige Sicherheitsvorgaben maßgeblich entschärft. Ob die neuen Regelungen des Diskussionsentwurfes auch in Zukunft Bestand haben werden, wird sich in den nächsten Monaten zeigen. Die Lage bleibt dynamisch. 

Es gilt nun abzuwarten, wie die Entwürfe tatsächlich umgesetzt werden. Diese Unsicherheit bringt viele Unternehmen zu Recht in eine Zwangslage. Denn eines ist klar: Von dem neuen Gesetz werden viele große und mittelständige Unternehmen betroffen sein und es braucht einige Vorlaufzeit, um die neuen Regelungen im Unternehmen umzusetzen. Daher ist es wichtig, sich zum jetzigen Zeitpunkt schon auf die neuen Regelungen einzustellen und Vorbereitungsmaßnahmen zu treffen. 

VI. Was Sie jetzt tun können 

Sie sollten sich auf die Umsetzung der NIS-2 Richtlinie vorbereiten, da eine durchdachte Umsetzung Qualitätseinbußen verhindert, die Resilienz Ihres Unternehmens stärkt und eine schnellere Eingliederung neuer Maßnahmen in das Unternehmensumfeld ermöglicht. Ist die Lage so dynamisch wie bei der Umsetzung der NIS-2 Richtlinie, stellt sich die Frage, wie eine solche Vorbereitung aussehen kann. Um Ihnen die Antwort auf diese Frage zu erleichtern, haben wir Ihnen die wichtigsten Punkte einer guten Vorbereitung auf die Umsetzung der NIS-2 Richtlinie zusammengefasst: 

  1. Betroffenheit klären 

Zuallererst gilt es herauszufinden, ob Ihr Unternehmen in den Anwendungsbereich der neuen Regelungen fällt. Sie müssen nur dann Maßnahmen ergreifen, wenn Sie zu den betroffenen Einrichtungen gehören. Prüfen Sie, ob die Kriterien zur Einordnung auf Ihr Unternehmen oder bestimmte Anlagen Ihres Unternehmens zutreffen.  

  1. Ressourcen einplanen 

Wenn Ihr Unternehmen oder Bereiche Ihres Unternehmens in den Anwendungsbereich der neuen Regelungen fallen, sollten Sie für die Umsetzung der Anpassungen Ressourcen einplanen. Dabei sollten einerseits Budgets festgelegt und andererseits personelle Ressourcen bereitgestellt werden. 

  1. Verantwortlichkeit klären 

Für die Umsetzung der neuen Anforderungen sollten Verantwortliche bestimmt werden. Bestimmen Sie eine oder mehrere Personen, die für die Umsetzung der Regelung operativ als Hauptverantwortliche gelten. Suchen Sie Sich zudem frühzeitig kompetente externe Partner, die Sie bei der Umsetzung unterstützen. 

  1. Risikoanalyse  

Nachdem die Verantwortlichkeit geklärt wurden, sollte im nächsten Schritt eine Risikoanalyse durchgeführt werden. Ermitteln Sie die größten Risiken Ihres Unternehmens und legen Sie dabei einen besonderen Fokus auf Risiken, welche die Cybersicherheit Ihres Unternehmens betreffen. 

  1. Maßnahmen ermitteln 

Die durchgeführte Risikoanalyse gibt Ihnen Hinweise auf die zu ergreifenden Maßnahmen. Der Referentenentwurf zum Umsetzungsgesetz der NIS-2 Richtlinie kann dazu eine Hilfestellung geben. Beachten Sie bei der Auswahl der Maßnahmen stets die persönliche Risikolage Ihres Unternehmens.  

Nachdem die geeigneten Maßnahmen ausgewählt wurden, müssen diese umgesetzt werden. Dabei ist darauf zu achten, dass die Geschäftskontinuität bestehen bleibt. Ist die Umsetzung erfolgt müssen die Maßnahmen laufend auf ihre Wirksamkeit überprüft werden.  

VII. Fazit  

Die Entwicklung rund um die Umsetzung der NIS-2 Richtlinie bleibt in Bewegung. Bis zur Umsetzung der neuen Richtlinie wird es wohl immer wieder neue Veränderungen geben, die Unternehmen die Planung zur Umsetzung erschwert. Trotz dessen ist es wichtig, dass man frühzeitig beginnt, sich auf die neuen Regelungen vorzubereiten und die Betriebsstrukturen dementsprechend anzupassen. Verlieren Sie in dieser Hinsicht keine Zeit, da eine frühzeitige Umsetzung Ihr Unternehmen resilienter macht.  

Durch das Werkstattgespräch ist das Bemühen des Gesetzgebers deutlich geworden, die Schwellenwerte, Nachweis- sowie Meldefristen aus den Referentenentwürfen an die Übrigen IT-Sicherheitsgesetze anzupassen und eine Vereinheitlichung mit dem geplanten KRITIS-Dachgesetz und der EU-Verordnung „Digital Operational Resilience Act“ (DORA) zu erreichen. Eine solche Harmonisierung zwischen den IT-Sicherheitsgesetzen würde den betroffenen Unternehmen die Umsetzung der umfassenden Vorgaben zumindest ein wenig erleichtern und wäre daher zu begrüßen. 

ByteLaw – Ihr Ansprechpartner für alle Fragen rund um NIS-2 und Cybersicherheit.



ByteLaw_Neues Diskussionspapier zur NIS-2Herunterladen

Prüfungskompetenz nationaler Wettbewerbsbehörden bei DSGVO-Verstößen



Nach der Rechtsprechung des EuGH dürfen nationale Wettbewerbsbehörden im Rahmen Ihrer wettbewerbsrechtlichen Prüfung auch auf Verstöße gegen die DSGVO prüfen. 

Stellungnahme des Gerichts
Dazu führt der EuGH in einer Pressemitteilung zum Urteil in der Sache C-252/21 Tage aus:
„In seinem heute verkündeten Urteil führt der Gerichtshof aus, dass es sich für die Wettbewerbsbehörde des betreffenden Mitgliedstaats im Rahmen der Prüfung, ob ein Unternehmen eine beherrschende Stellung missbraucht, als notwendig erweisen kann, auch zu prüfen, ob das Verhalten dieses Unternehmens mit anderen als den wettbewerbsrechtlichen Vorschriften, etwa mit den Vorschriften der DSGVO, vereinbar ist.“ 

Ergänzend führt der EuGH zum Prüfungsrahmen aus:  
“Die Prüfung, ob die DSGVO eingehalten wird, erfolgt … ausschließlich, um den Missbrauch einer beherrschenden Stellung festzustellen und gemäß den wettbewerbsrechtlichen Vorschriften Maßnahmen zur Abstellung dieses Missbrauchs aufzuerlegen.” 

Damit erweitert der EuGH die Prüfungskompetenz der nationalen Wettbewerbsbehörden. Allerdings stellt diese Entscheidung für viele Unternehmen auf der zweiten Ebene eine positive Entscheidung dar, denn der EuGH erteilt damit der teilweise vertretenen Rechtsansicht, dass die DSGVO eine Wettbewerbsnorm ist, eine Absage.  

Klare Aufgabenzuordnung für Behörden
Weiterhin hat der EuGH in der Entscheidung die Kompetenz der nationalen Wettbewerbsbehörden klar umrissen, und insoweit die Prüfungshoheit der Datenschutzaufsichtsbehörden gestärkt.  
„Wenn die nationale Wettbewerbsbehörde einen Verstoß gegen die DSGVO feststellt, tritt sie allerdings nicht an die Stelle der durch diese Verordnung eingerichteten Aufsichtsbehörden.“ 

Hinsichtlich der Fragestellung, wie verhindert werden kann, dass die Kartellbehörden den Sachverhalt anders einschätzen als die Aufsichtsbehörden und es damit zu gegensätzlichen Entscheidungen kommt, hat der EuGH auch eine Feststellung pro Unternehmen getroffen:   


„Um eine kohärente Anwendung der DSGVO zu gewährleisten, sind die nationalen Wettbewerbsbehörden verpflichtet, sich abzustimmen und loyal mit den Behörden, die die Einhaltung dieser Verordnung überwachen, zusammenzuarbeiten.“ 

Fazit
Insgesamt lässt sich festhalten, dass die Entscheidung des EuGH zwar einerseits den Wettbewerbsbehörden ein Prüfungsrecht hinsichtlich potentieller DSGVO-Verstößen einräumt, andererseits die im Urteil genannten Einschränkungen für Unternehmen zur Rechtssicherheit beiträgt. 

NIS-2-Richtlinie der Europäischen Union

Das müssen Unternehmen beachten, um Cybersicherheit zu gewährleisten

In der heutigen digitalen Ära sind Unternehmen mehr denn je von den Vorteilen moderner Technologien abhängig. Doch mit dieser fortschreitenden Digitalisierung gehen auch erhöhte Risiken einher, insbesondere im Hinblick auf Cyberangriffe und Datenschutzverletzungen. Um die Sicherheit von Informationssystemen zu gewährleisten und den Schutz von Daten zu stärken, wurde die neue NIS-2-Richtlinie eingeführt.

Als Unternehmen sollten Sie die NIS-2-Richtlinie nicht unterschätzen, denn sie legt umfangreiche Pflichten fest, die Sie einhalten müssen, um den Schutz Ihrer IT-Infrastruktur und die Cybersicherheit zu gewährleisten. Damit Sie den Anforderungen dieser neuen Gesetzgebung gerecht werden, haben wir Ihnen im Folgenden die wichtigsten Punkte zusammengefasst.

Die NIS-2-Richtlinie gilt nun auch für kleinere Unternehmen als zuvor. Unternehmen mit mindestens 50 Mitarbeitern, einem Jahresumsatz von 10 Millionen Euro oder einer Jahresbilanzsumme von 10 Millionen Euro fallen unter diese Richtlinie. Bei Verstößen gegen die Richtlinie drohen ähnlich wie bei der Datenschutz-Grundverordnung (DSGVO) empfindliche Sanktionen. Die Mitgliedstaaten der Europäischen Union haben die Verpflichtung, die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Obwohl das nationale Umsetzungsgesetz noch nicht vorliegt, ist es ratsam, dass Unternehmen sich bereits jetzt mit den erweiterten Pflichten und den möglichen Sanktionen der neuen Richtlinie auseinandersetzen.

 1. Welche Unternehmen sind von der NIS-2-Richtlinie betroffen?

Die Richtlinie gilt grundsätzlich für Unternehmen, die entweder einem „Sektor mit hoher Kritikalität“ gemäß Anhang I der Richtlinie oder einem „sonstigen kritischen Sektor“ gemäß Anhang II angehören. Zusätzlich müssen diese Unternehmen als mittelgroß eingestuft werden, das bedeutet, sie beschäftigen mindestens 50 Personen oder erzielen einen Jahresumsatz von mindestens 10 Millionen Euro bzw. haben eine Jahresbilanzsumme von mindestens 10 Millionen Euro. Des Weiteren müssen sie ihre Dienste innerhalb der Europäischen Union erbringen.

Zu den „Sektoren mit hoher Kritikalität“ gehören beispielsweise Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum. Zu den „sonstigen kritischen Sektoren“ zählen unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe/Herstellung von Waren (Datenverarbeitungsgeräte, Maschinenbau, Herstellung von Kraftwagen, sonstiger Fahrzeugbau), Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Anbieter von Plattformen für Dienste sozialer Netzwerke) und Forschung.

2. Risikomanagementmaßnahmen

Die NIS-2-Richtlinie legt großen Wert auf eine effektive Risikomanagementkultur in Unternehmen. Wesentliche und wichtige Einrichtungen sind dazu verpflichtet, angemessene technische, operative und organisatorische Maßnahmen zu ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dazu gehören beispielsweise Risikoanalysen, Sicherheitskonzepte, Backup- und Krisenmanagement, Zugriffskontrollen sowie Verschlüsselungskonzepte. Es ist wichtig, dass diese Maßnahmen dem Stand der Technik entsprechen und den individuellen Risiken angemessen sind.

3. Gefahrenübergreifender Ansatz

Cyberbedrohungen können unterschiedliche Ursachen haben, daher sollten Ihre Risikomanagementmaßnahmen einen gefahrenübergreifenden Ansatz verfolgen. Dies bedeutet, dass Sie nicht nur vor Cyberangriffen, sondern auch vor physischen Gefahren wie Diebstahl, Brand oder unbefugtem Zugang zu Ihren Informationen und Datenverarbeitungsanlagen schützen müssen. Die Entscheidung über die getroffenen Risikomanagementmaßnahmen sollte auf der Risikoexposition Ihres Unternehmens basieren und in einem angemessenen Verhältnis zu den gesellschaftlichen und wirtschaftlichen Auswirkungen eines Sicherheitsvorfalls stehen.

4. Meldepflichten bei Sicherheitsvorfällen

Gemäß der NIS-2-Richtlinie sind wesentliche und wichtige Einrichtungen dazu verpflichtet, Sicherheitsvorfälle, die erhebliche Auswirkungen auf ihre Dienstleistungen haben, unverzüglich zu melden. Diese Meldungen erfolgen in einem mehrstufigen Prozess, der eine Frühwarnung, eine Meldung des Vorfalls selbst und einen Abschlussbericht umfasst. Zusätzlich können Sie verpflichtet sein, betroffene Kunden und Nutzer über erhebliche Sicherheitsvorfälle zu informieren, die Auswirkungen auf die Erbringung Ihrer Dienste haben könnten.

5. Governance und Verantwortlichkeit

Die NIS-2-Richtlinie legt großen Wert auf die Verantwortung der Leitungsorgane in Unternehmen. Sie müssen sicherstellen, dass angemessene Ressourcen für die Gewährleistung der Cybersicherheit bereitgestellt werden und dass eine klare Aufteilung der Verantwortlichkeiten innerhalb des Unternehmens erfolgt. Darüber hinaus sollten regelmäßige Bewertungen der Cybersicherheit durchgeführt und gegebenenfalls Anpassungen vorgenommen werden, um mit den sich wandelnden Bedrohungen Schritt zu halten.

6. Durchsetzung und Bußgelder

Die NIS-2-Richtlinie stattet die Aufsichtsbehörde mit weitreichenden Befugnissen aus und unterscheidet dabei zwischen wesentlichen und wichtigen Einrichtungen. Behörden haben nun die Befugnis, Vor-Ort-Kontrollen durchzuführen und bestimmte Informationen und Datenzugänge anzufordern. Wesentliche Einrichtungen unterliegen umfangreicheren Aufsichtsbefugnissen, einschließlich nicht anlassbezogener Maßnahmen wie Audits, unabhängig von der Risikobewertung.

Bei der Durchsetzung der Pflichten können den Behörden gegenüber Betreibern wichtiger Einrichtungen dieselben Maßnahmen ergriffen werden wie gegenüber Betreibern wesentlicher Einrichtungen. Die Behörden verfügen über verschiedene Instrumente, wie die Erteilung verbindlicher Anweisungen, das Setzen von Fristen und die Verhängung von Geldbußen. Bei wesentlichen Einrichtungen kann die Behörde sogar die vorübergehende Entbindung von Leitungspersonen verfügen.

Daneben drohen bei Verstößen empfindliche Geldbußen. Für Betreiber wesentlicher Einrichtungen beträgt die maximale Geldbuße entweder 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Betreiber wichtiger Einrichtungen sind es maximal 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. 

Unternehmen, die den Einrichtungen gemäß NIS-2-Richtlinie unterliegen, sollten bei einem erheblichen Sicherheitsvorfall immer auch die Bestimmungen der Datenschutz-Grundverordnung (DSGVO) beachten. Es ist möglich, dass bei einem erheblichen Sicherheitsvorfall auch personenbezogene Daten betroffen sind. Unabhängig von einer Meldung gemäß den Vorschriften der NIS-2-Richtlinie muss der Vorfall in angemessener Frist auch der Datenschutzbehörde gemäß Artikel 33 der DSGVO gemeldet werden.

Im Verhältnis zur DSGVO gibt es eine einzige Vorrangregelung in der NIS-2-Richtlinie. Wenn die Datenschutzbehörde eine Geldbuße gemäß der DSGVO verhängt, ist für denselben Verstoß eine Geldbuße gemäß Artikel 35 Absatz 2 der NIS-2-Richtlinie ausgeschlossen. Andere Durchsetzungsmaßnahmen bleiben jedoch möglich.
 

Nehmen Sie noch heute Kontakt zu uns auf und lassen Sie uns gemeinsam Ihre Cybersicherheit stärken!