IT-Sicherheitsrecht 3.0 nach NIS-2-Richtlinie, NIS2UmsuCG und Cyber Resilience Act

IT-Sicherheit schützt die Assets eines Unternehmens. Zudem hat der Gesetzgeber mit dem IT- Sicherheitsgesetz und dem IT-Sicherheitsgesetz 2.0, sowie der KRITIS-VO, den Kritischen Infrastrukturbetreibern (und mittlerweile auch Softwareherstellern) bereits in der Vergangenheit weitgehende Verpflichtungen im Bereich der IT-Sicherheit auferlegt, die eingehalten werden müssen.

Mit der NIS-2-Richtlinie verfolgt die EU das Ziel, ein europaweites Cybersicherheits-Niveau für bestimmte „Sektoren“ zu schaffen. Betroffen sind Tausende von Unternehmen, die Risikomanagementmaßnahmen einführen und künftig Berichts- und Meldepflichten nachkommen müssen. Die Richtlinie ist bis zum 17.10.2024 von den Mitgliedsstaaten der EU in das jeweilige nationale Recht umzusetzen.

Der deutsche Gesetzgeber hat hierzu bereits einen ersten Entwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG)“ vorgelegt. Wie in der Richtinline bereits vorgegeben, bestimmen dabei die Sektoren und die Größe der Unternehmen, welche grundsätzlichen Sicherheitsmaßnahmen eingeführt werden müssen. In manchen Bereichen sind dies bereits mittlere Unternehmen, die mehr als 50 Mitarbeiter oder einen Umsatz von mehr als 10 Millionen Euro jährlich haben.

Zusätzlich befindet sich die EU in der Abstimmungsphase zum Cyber Resilience Act, der ebenfalls noch im Jahr 2023 verabschiedet werden soll und dann innerhalb von 24 Monaten von den Mitgliedsstaaten der Europäischen Union Geltung erlangen wird. Mit dieser Verordnung werden dann Hersteller und Vertriebsunternehmen in die Pflicht genommen, die Sicherheit von Produkten mit digitalen Elementen von der Entwurfs- und Entwicklungsphase an – und während des gesamten Lebenszyklus – zu verbessern.