NIS 2-Richtlinie und NIS2UmsuCG: IT-sicherheitsrechtliche Pflichten, ihre Umsetzung und das Haftungsregime für NIS-2-Organisationen

NIS-2-Richtlinie der EU

• Zielsetzung, Struktur und Anwendungsbereich der NIS-2-Richtlinie.
• Kategorien betroffener Einrichtungen: Betreiber kritischer Anlagen, „besonders wichtige“ und „wichtige“ Einrichtungen – Sektoren und Tätigkeiten im Überblick.
• Pflichten zum Risikomanagement, zu technischen und organisatorischen Maßnahmen sowie zur Dokumentation und Meldung von Sicherheitsvorfällen.
• Persönliche Verantwortlichkeit und Haftungsrisiken der Unternehmensleitung bei Verstößen gegen Cybersicherheitspflichten.
• Zeitlicher Rahmen auf EU-Ebene und Zusammenspiel mit nationalen Umsetzungsakten.

Deutsches Umsetzungsgesetz zu NIS-2

• Rolle des NIS2UmsuCG als zentrales Umsetzungsgesetz der NIS-2-Richtlinie in Deutschland.
• Cybersicherheitsstrategie des Bundes, zentrale Anlaufstellen für Cybersicherheit, CSIRTs und erweiterte Aufgaben des BSI.
• Einordnung von Unternehmen als Betreiber kritischer Anlagen, „besonders wichtige“ und „wichtige“ Einrichtungen; Kriterien (u. a. Größe, Umsatz, Sektoren).
• Risikomanagementmaßnahmen, Berichtspflichten, Meldeprozesse und Aufsichtsbefugnisse der Behörden.
• Haftungstatbestände mit Fokus auf persönliche Haftung und Schulungspflichten der Geschäftsleitung.
• Erste Geltungszeitpunkte und Fristen (z. B. Registrierungs- und Nachweispflichten).

Praktische Anwendung und Umsetzung im Unternehmen

• Vorgehen zur NIS-2-Gap-Analyse: Wo gibt es neue gesetzliche Anforderungen im Vergleich zu den bisherigen Vorgaben?
• Verzahnung mit bestehendem ISMS und Datenschutzmanagement.
• Beispiele für geeignete technische und organisatorische Maßnahmen (TOM) im Lichte von NIS-2.

Verbesserung der IT-Sicherheitsstrategie

• Unterstützung bei der Entwicklung oder Verbesserung einer unternehmensweiten Cybersicherheits- und Risikostrategie im Einklang mit den gesetzlichen Anforderungen.
• Einbindung der Unternehmensleitung und Verzahnung mit Compliance-Strukturen.

Netzwerkbildung und Erfahrungsaustausch

• Austausch mit Fachexpert:innen und Teilnehmenden aus verschiedenen Branchen zu Herausforderungen und Best Practices.

Vorbereitung auf zukünftige Entwicklungen

• Einordnung von NIS-2 in weitere europäische und nationale Vorhaben zur Cybersicherheit.
• Ausblick auf mögliche Konkretisierungen durch Verordnungen, Aufsichtsbehörden und Standards.

Aktualisiertes Wissen:

• Verständnis der Anforderungen der NIS-2-Richtlinie und des deutschen Umsetzungsgesetzes zu NIS-2 und den vom BSI geforderten praktisch umzusetzenden Maßnahmen in der eigenen Organisation.

Compliance-Erfüllung:

• Klarheit darüber, ob und in welcher Kategorie (Betreiber kritischer Anlagen, „besonders wichtige“ oder „wichtige“ Einrichtung) das eigene Unternehmen fällt und welche Pflichten zu Risikomanagement, Melde- und Nachweisprozessen sich daraus ergeben – einschließlich der von der Geschäftsleitung zu erfüllenden Umsetzungs-, Überwachungs- und Schulungspflichten.

Praktische Umsetzungsstrategien:

• Konkrete Ansätze, um NIS-2-Vorgaben praxisnah umzusetzen – von der Gap-Analyse über die Definition von Maßnahmen bis zur Integration in bestehende Managementsysteme und Meldeprozesse.

Netzwerkerweiterung:

• Austausch mit Branchenexpert:innen und Praktiker:innen, um eigene Fragestellungen zu spiegeln, Lösungsansätze zu diskutieren und Impulse für die weitere Projektplanung mitzunehmen. 

Das Seminar richtet sich an IT-Sicherheitsexpert:innen und -beauftragte, Informationssicherheits- und Compliance-Beauftragte, Risikomanager:innen sowie Führungskräfte (auch aus KRITIS-Bereichen) aus Unternehmen mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro, die als „wichtige“ oder „besonders wichtige“ Einrichtungen im Sinne von NIS-2/NIS2UmsuCG in Betracht kommen.