Simon Clemens Wegmann, RA
Too much of a good thing? Erweiterung und Verschärfung von Cybersicherheitspflichten durch die NIS2-Richtlinie
Am 16.1.2023 ist die Richtlinie (EU) 2022/2555, besser bekannt als NIS2-Richtlinie (auch “NIS2”), in Kraft getreten. Sie erweitert den bisher auf kritische Infrastrukturen und ausgewählte Sonderfälle beschränkten Anwendungsbereich der europäischen Cybersicherheitsgesetzgebung auf große Teile der Wirtschaft. Das betrifft auch Unternehmen, deren Geschäftsmodelle nicht als solche “digital” oder datenintensiv sind. Verstöße können – wie in der europäischen Datenregulatorik inzwischen üblich – mit erheblichen Bußgeldern geahndet werden und sogar eine direkte Haftung der Geschäftsleitung ist vorgesehen. Dieser Beitrag gibt einen ersten Ausblick auf die neuen oder erweiterten Cybersicherheitspflichten, auf die sich Unternehmen einstellen müssen, die in der EU bzw. in Deutschland niedergelassen sind oder ihre Dienste dort erbringen.
I. Einleitung
Dem Thema der Cybersicherheit widmete sich die EU zum ersten Mal ernsthaft mit der NIS1-Richtlinie, die am 8.8.2016 in Kraft trat und in Deutschland im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik(“BSIG”) umgesetzt ist. In ihrer Evaluation der NIS1-Richtlinie bemängelte die Europäische Kommission jedoch, dass die Richtlinie und ihre Umsetzung in den Mitgliedstaaten nicht zu einem hinreichenden Niveau an Cybersicherheit geführt hätten. Insbesondere sei das Maß an Cybersicherheit in gesellschaftlich wichtigen Wirtschaftszweigen zu niedrig, die Umsetzung der Richtlinie in den Mitgliedstaaten divergiere z. T. dramatisch, und damit einher gehe ein Mangel an Koordinations- und Reaktionsfähigkeit. Dabei spielte auch eine Rolle, dass sich bedingt durch die Kontaktbeschränkungen im Rahmen der COVID-19-Pandemie große Teile des wirtschaftlichen und gesellschaftlichen Lebens fast über Nacht in den digitalen Raum verlagert hatten. Am 16.12.2020 schlug die Kommission daher als Teil ihrer Cybersicherheitsstrategie eine Reform der NIS1-Richtlinie vor.