Verlagsbeilage, April 2025 Special NIS-2 Sanktionen und Lösungen NIS-2: Härtere Vorgaben, strengere Regeln – auch für IT-Dienstleister Vertrauenswürdige IT-Sicherheit: Schlüssel zur digitalen Souveränität Datenwäsche: Cyberangriffe stoppen, bevor sie starten Seite 2 Seite 5 Seite 8 Wer erst reagiert, hat schon verloren Seite 11 Automatisierte Bedrohungs erkennung mit ScanBox Sanktionen nach NIS-2 Seite 14 Seite 17 Mitherausgeber Impressum GmbH Augustinusstraße 11 A 50226 Frechen (DE) Tel.: +49 2234 98949 – 30, redaktion@datakontext.com, www.datakontext.com Geschäftsführer: Dr. Karl Ulrich Handelsregister: Amtsgericht Köln, HRB 82299 Anzeigenleitung: Birgit Eckert (verantwortlich für den Anzeigenteil) Tel.: +49 6728 289003, anzeigen@kes.de Satz: Dirk Hemke (SatzPro), Krefeld; Markus Miller (Satz + Bild), München Druck: QUBUS media GmbH, Beckstraße 10, 30457 Hannover Bild: Adobe Stock/ImageKing

l a i c e 2 p - S I S N Anforderungen der Europäischen Bankenaufsicht (EBA) gebunden; sie verzahnt NIS2-konforme Sicherheits- maßnahmen eng mit den bestehenden IT-Governance- Richtlinien. NIS-2 umfasst neue Branchen NIS-2 teilt jetzt auch kleinere Unternehmen in „sehr kritische“ sowie „kritische Sektoren“ ein. Be- troff en sind jetzt auch neue Branchensegmente wie Hersteller chemischer Stoff e, Produzenten medizini- scher Geräte, Betriebe aus dem Segment der Lebens- mittelverarbeitung und Organisationen, die Dienste für soziale Netzwerke bereitstellen. Allerdings gilt die NIS-2-Richtlinie vorerst nur für Einrichtungen, die wesentliche oder wichtige Dienste anbieten, besonders jene mit mindestens 50 Mitarbeitenden beziehungs- weise einem Jahresumsatz ab zehn Millionen Euro. Verschärfte Meldepfl ichten bei Sicherheitsvorfällen Im Rahmen der Meldepfl ichten stehen Unterneh- men laut NIS-2 in der Pfl icht, „erhebliche Sicherheitsvor- fälle“ innerhalb von 24 Stunden an das zuständige Com- puter-Security-Incident-Response-Team (CSIRT) oder eine nationale Behörde zu melden. Zusätzliche Berichte sind innerhalb von 72 Stunden sowie nach maximal einem Monat erforderlich. Ein erheblicher Sicherheitsvorfall liegt vor, wenn kritische Systeme betroff en, fi nanzielle oder be- triebliche Auswirkungen erheblich sind oder Datenlecks beziehungsweise Datenschutzverstöße eintreten. Die früh- zeitige Identifi kation von Bedrohungen durch umfassende Monitoring-Systeme ist daher essenziell. matisierung und Netzwerkverbindungen redundant und hochverfügbar zur Verfügung stehen. Finanzdienstleister und Betreiber kritischer Infrastrukturen profi tieren von der Implementierung dieser Standards, da sie nicht nur Compliance-Anforderungen erfüllen, sondern auch das Vertrauen von Kunden und Partnern stärken. Vor allem für Banken und deren IT-Dienstleister haben sich Zertifi - zierungen längst zum entscheidenden Wettbewerbsfaktor entwickelt, da sie ihre Fähigkeit zur sicheren Verarbeitung sensibler Finanzdaten belegen. NIS-2 setzt neue Standards in der Cybersicherheit Klar ist: Mit der NIS-2-Richtlinie verschärft die EU die Anforderungen an Cybersicherheit erheblich. Be- sonders betroff en sind die Finanzbranche und KRITIS- Unternehmen – sowie ihre IT-Dienstleister und Rechen- zentrumsbetreiber –, die umfassende Sicherheitskonzepte umsetzen, strenge Audit-Anforderungen erfüllen und an- erkannte Zertifi zierungen nachweisen müssen. Unterneh- men, die sich rechtzeitig auf die neuen Vorgaben einstel- len, sichern nicht nur ihre Compliance, sondern stärken auch ihre Widerstandsfähigkeit gegen Cyberangriff e. Un- bestritten ist damit aber auch: Der Weg zur erfolgreichen Umsetzung von NIS-2 erfordert eine enge Zusammen- arbeit zwischen IT-Sicherheitsverantwortlichen, Behörden und unabhängigen Prüfi nstanzen, um höchste Sicher- heitsstandards zu gewährleisten. Damit profi tieren alle Be- teiligten von der erhöhten Cybersicherheit, während das vorausschauende Sicherheitsmanagement zum Schlüssel für eine nachhaltige Resilienz gegenüber den Bedrohun- gen der digitalen Welt wird. ■ Zertifi zierungen als Nachweis der IT-Sicherheit NIS-2 kompakt: Ein zentraler Aspekt der NIS-2-Umsetzung ist der Nachweis durch anerkannte Zertifi zierungen. Sie bestäti- gen, dass Unternehmen die notwendigen Sicherheitsstan- dards einhalten. Besonders für KRITIS-Unternehmen und Finanzdienstleister spielen Standards wie ISO 27001, der BSI-Grundschutz sowie TÜViT TSI Level 4 eine wich- tige Rolle. ISO 27001 bildet die Basis für ein wirksames Informationssicherheits-Managementsystem, während der BSI-Grundschutz als umfassendes Framework für IT- Sicherheit in Deutschland dient. Das TÜViT TSI Level 4-Zertifi kat richtet sich besonders an Rechenzentren und bestätigt, dass höchste Sicherheitsanforderungen erfüllt werden. Dazu gehören unter anderem der Brandschutz und das Notfallmanagement für den Katastrophenfall. Außerdem stellen Zertifi zierungen sicher, dass kritische Infrastrukturkomponenten wie Stromversorgung, Kli- Erweiterter Geltungsbereich: Gilt für mehr Sektoren und Unternehmen, darunter kritische und wichtige Einrichtungen. Strengere Cybersicherheitsmaßnahmen: Einführung von Risikomanagementmaßnahmen wie Incident Response, Verschlüsselung und Zugangs- kontrollen. Meldepfl ichten: Verpfl ichtung zur Meldung schwerwiegender Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständige Behörde. Haftung und Sanktionen: Geschäftsleitung ist für Cybersicherheitsmaßnahmen verantwortlich; hohe Bußgelder bei Verstößen. Erhöhte Zusammenarbeit: Verbesserte Kom- munikation und Informationsaustausch zwischen EU-Mitgliedstaaten und Unternehmen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 3

Verlagsbeilage Vertrauenswürdige IT-Sicherheit: Schlüssel zur digitalen Souveränität Aktuelle geopolitische Entwicklungen machen klar: Nie war der Schutz digitaler Infrastrukturen und sensibler Daten wichtiger als heute. IT-Sicherheitsprodukte „Made in Germany“ sind das Mittel der Wahl, um regulatorische Anforderungen zu erfüllen, Abhängigkeiten von ausländi- schen Anbietern zu reduzieren und die eigene digitale Souveränität zu stärken. l a i c e 2 p - S I S N Von Arnold Krille, genua GmbH Für Unternehmen und Behörden öff net die fort- schreitende Digitalisierung viele Chancen, gleichzeitig stresst sie die IT-Sicherheit: Mit jedem neuen Netzwerk- anschluss wächst die potenzielle Angriff sfl äche. Nicht zu- letzt aufgrund aktueller geo- und sicherheitspolitischer Entwicklungen gewinnt daher das Th ema digitale Souve- ränität schnell an Bedeutung. Digitale Souveränität beschreibt die Fähigkeit von Organisationen, ihre digitalen Infrastrukturen und sensib- len Daten eigenständig zu kontrollieren, uneingeschränkt darüber verfügen zu können und sie vor externen Einfl üs- sen und Bedrohungen zu schützen. Digitale Souveränität ist die Grundlage für die souveräne Erfüllung des Auftrags einer Organisation, sowohl bei Wirtschaftsunternehmen als auch bei staatlichen Institutionen. Abhängigkeiten von ausländischen IT-Anbietern können dabei zum Problem werden. Das ist besonders relevant angesichts zunehmen- der staatlicher und wirtschaftlicher Spionage. Auch die sich ändernden geopolitischen Bündnisse sorgen hier für Unsicherheiten und Risiken. Vertrauenswürdige IT-Sicherheitsprodukte spie- len in diesem Zusammenhang eine Schlüsselrolle. Die genua GmbH als deutscher Hersteller bietet mit ihren vom Bundesamt für Sicherheit in der Informationstech- nik (BSI) zugelassenen IT-Sicherheitslösungen essenzielle Bausteine, um regulatorische Anforderungen zu erfüllen und die eigene digitale Souveränität zu stärken. NIS-2: Kritische Infrastrukturen schützen Eine leistungsfähige, resiliente Cybersicherheit ist nicht nur für Einzelunternehmen wichtig. Sie ist ebenso unverzichtbar für das Funktionieren staatlicher und ge- sellschaftlicher Strukturen. Ein besonderes Augenmerk hat die Europäische Kommission daher auf kritische Inf- rastrukturen (KRITIS) gerichtet, die verbindliche Cyber- sicherheitsrichtlinie NIS-2 defi niert und 2023 in Kraft ge- setzt wurde. Die Mitgliedstaaten müssen diese Richtlinie in nationale Gesetze umsetzen. Auch in Deutschland wird es im Jahr 2025 zur verspäteten Umsetzung kommen. Die Vorgaben betreff en Unternehmen mit mindestens 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz. In Deutschland fallen darunter somit schätzungsweise 30 000 Unternehmen aus den 18 KRITIS-Sektoren. Die NIS- 2-Richtlinie verpfl ichtet diese Unternehmen, nachweis- lich angemessene Maßnahmen umzusetzen, welche die Sicherheit und Widerstandsfähigkeit der Netzwerke und Informationssysteme gewährleisten. Diese Maßnahmen umfassen Risikomanagement, technische und organisato- rische Maßnahmen der Informationssicherheit, Meldung von Vorfällen sowie die Umsetzung von Business-Conti- nuity-Maßnahmen. Die genua GmbH bietet eine Reihe von Lösungen an, welche die Organisationen und Unternehmen bei der Umsetzung der NIS-2-Vorgaben unterstützen. Eine der Vorgaben ist, ein System zur Angriff s- erkennung umzusetzen. Dafür eignet sich der cognitix Th reat Defender: Er kombiniert ein Intrusion-Detection- System (IDS) mit einem Intrusion-Prevention-System (IPS) zu einer Komplettlösung, die den Datenverkehr und die Assets im Netzwerk nichtinvasiv analysiert, schnell Anomalien erkennt und dynamische gezielte Gegenmaß- nahmen ermöglicht. Ferner beherrscht die intelligente IDS/IPS-Lösung die Mikrosegmentierung bis auf Anwen- dungsebene (Layer 7) und liefert wertvolle Netzwerkin- formationen für forensische Analysen. Das Lösungs- und © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 5

Ihr Premium-IT-Dienstleister für zukunftssichere Cloud-Lösungen • Maximale Sicherheit und Vertrauen: Hochsichere, zertifizierte Rechenzentren in Deutschland • Flexibilität nach Maß: Private, Public oder Hybrid Cloud – individuell anpassbar und hochverfügbar • Passgenaue Lösungen: Vielfältige Cloud-Services für Ihre individuellen Anforderungen • Regelkonform und zuverlässig: Expertenwissen für Governance, Compliance und Datenschutz • Transparente Kosten: Keine versteckten Gebühren Jetzt informieren

l a i c e 2 p - S I S N und Workfl ow nach einem patentierten Verfahren gelöst (itWash.de). Diese netztrennende Datenschleuse ist auch gegenüber dem Internet bezüglich E-Mails aus unsicheren Domänen, Downloads oder Datentransportverfahren wie OneDrive, WeTransfer, S-FTP nutzbar. Jeder unbekannte Code im Datenzufl uss von ex- tern nach intern wird identifi ziert. Datenobjekte dürfen nur bekannte oder vertrauenswürdige Codeelemente ent- halten – signierte Skripte, Makros oder solche, die in einer Whitelist mit ihren authentisierenden Eigenschaften hin- terlegt sind. Eingehender Code, also neue Software, Patches et cetera, wird nur von einem vertrauenswürdigen Kanal übernommen und in seine Bestandteile zerlegt, indem eine Software Bill of Material (SBOM) erstellt wird. Zu jedem Element werden die Verletzbarkeiten (Common Vulnerabi- lities and Exposures, CVE) ermittelt und für das Lifecycle- management hinterlegt. Die Betriebssystemhärtung durch die itWatch Enterprise Security Suite (itWESS.de) über- nimmt die freigegebenen Softwareelemente in ihre White- list. Die CVEs werden zyklisch neu geprüft und bei defi - nierten Schwellwerten geeignet reagiert (Alert oder Sperre). Datenwäsche mit passendem Waschpulver Die Datenwäsche besteht darin, die Daten in ihre Einzelteile zu zerlegen und jedes einzelne Element rekursiv einzeln erneut der Wäsche zuzuführen. Für jeden Daten- typ wird automatisch das richtige Waschprogramm und Waschpulver gewählt. Danach werden die sauberen, also von allem Schmutz befreiten Daten, wieder zusammenge- setzt und der Anwender erhält einen Bericht, ob und was verändert wurde. Schmutzige Elemente werden zur Be- weissicherung gespeichert – natürlich verschlüsselt, damit sie nicht „ausbrechen“ können. Die Voraussetzung für eine Wäsche ist, dass die Daten im Klartext vorliegen – denn eine Wäsche in einer wasserdicht verschlossenen Verpackung würde auch in der analogen Welt keinen Sinn ergeben. itWash verfügt des- halb über eine Erkennung von verschlüsselten Objekten und führt diese vor der Wäsche der Entschlüsselung durch den Anwender zu, ohne dass dessen Betriebssystem auf die Daten zugreifen kann. Ein wesentlicher Vorteil gegenüber anderen Ver- fahren ist, dass jeder Bestandteil rekursiv zerlegt wird und jedes einzelne entstehende Objekt erneut allen Prüfun- gen – Verschlüsselung, Antivirus, Dateitypenauthentisie- rung, Inhaltsprüfung et cetera – unterzogen wird. Hier- bei werden Verschlüsselungen und Modifi kationen sicher erkannt und berücksichtigt. Insofern sind die in itWash angewendeten Verfahren deutlich mächtiger als die unter Content Disarm and Recover (CDR) vermarkteten Lö- sungen und können genauso auf dem Weg „nach drau- ßen“ als Data Loss Prevention (DLP) eingesetzt werden. Während der Wäsche werden automatisch In- formationen zur richtigen Behandlung gewonnen – da- runter der Einlieferer, die Herkunft sowie enthaltene Metadaten wie Geolokationen, Zeitstempel, erkannte Objekte in Bildern oder transkribierter Text aus Sprach- dateien ( Voice2Text). Diese Daten bestimmen das passen- de „Waschmittel“, die gewünschte Standardisierung (z. B. Konvertierung von Mediendaten in MP3 oder MP4) und das Ziel, an das die bereinigten Daten weitergeleitet wer- den sollen. Ein Algorithmus ermittelt das Übertragungs- ziel, setzt dort die passenden Zugriff srechte und wendet bei Bedarf die geeignete Verschlüsselung an. Wenn die eigene IT nicht verändert werden soll oder darf, ist eine Wäsche auch als Service in der Cloud oder in einem Rechenzentrum möglich (siehe Testbeispiel unten). Datenwäsche als mandantenfähiger Managed Service, der sowohl die Datenschutz-Grundverordnung (DSGVO) als auch branchenspezifi sche Regulierungen er- füllt, kann ganze Unternehmensverbünde und Lieferket- ten absichern. Weitere Informationen dazu fi nden Sie im Artikel „Datenwäsche als Cloud-Service“ im <kes>-Special 06/2024. Security „Made in Germany“ itWatch ist einer der wenigen inhabergeführten Cybersecurity-Hersteller in Deutschland und entwickelt patentierte IT-Sicherheitslösungen „Made in Germany“. Die Enterprise Security Suite (itWESS) und die Daten- schleuse (itWash) schützen Tausende als GEHEIM klassi- fi zierte IT-Umgebungen, die auf der Skala der Common- Criteria-Prüfungen höher als eine CC EAL 4+-Prüfung zu bewerten sind, da nicht nur anhand eines hersteller- defi nierten Protection-Profi les geprüft wird. Stattdessen werden alle Facetten der Produkte in realen, vernetzten Einsatzumgebungen getestet und durch professionelle Pentester verschiedenen Angriff sszenarien ausgesetzt. ■ Jetzt Datenwäsche testen! QR Code scannen Zu waschende Dateien an die Mail anhängen (max 2 MB) Mail absenden Dateien werden gewaschen Ergebnis und Report erhalten Sie per Mail Bitte beachten: Keine vertraulichen oder personenbezogenen Inhalte oder Inhalte mit anderweitigen Regulierungen in Bezug auf ihre Vertraulichkeit verwenden. Datenschutzhinweise unter https://www.itwash.de/de/datenschutz. www.itWash.de © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 9

l a i c e 2 p - S I S N Verlagsbeilage Sicherheitsstrategie im Wandel: Wer erst reagiert, hat schon verloren Durchdachte Sicherheitskonzepte und innovative Ansätze erhöhen die Widerstandsfähigkeit von Unternehmen gegenüber Cyberbedrohungen. Der entscheidende Fortschritt liegt in der Ab- kehr von rein reaktiven Maßnahmen hin zu einer proaktiven Strategie, die Angriffe erkennt und abwehrt, bevor sie Schaden anrichten können. Von diesem Wandel profi tieren alle, nicht nur NIS-2-Organisationen. Von Michael Klatte, ESET Deutschland GmbH Unternehmen investieren weltweit massiv in Cy- bersecurity – und doch steigen die Schäden durch Cyber- angriff e weiter. Laut der Studie „Wirtschaftsschutz 2024“ des Digitalverbands Bitkom beliefen sich die fi nanziellen Verluste durch Cyberkriminalität im vergangenen Jahr auf 267 Milliarden Euro, ein Anstieg von 29 Prozent. 81 Pro- zent der Unternehmen berichteten von Angriff en in Form von Diebstahl, Industriespionage oder Sabotage. Diese Zahlen werfen eine entscheidende Frage auf: Warum füh- ren höhere Investitionen nicht zu besserem Schutz? Ist so- gar die NIS-2-Compliance in Gefahr? Der Grund liegt in veralteten Sicherheitsansät- zen. Viele Unternehmen setzen immer noch auf reaktive Schutzmaßnahmen, die erst eingreifen, wenn der Schaden bereits entstanden ist. Gleichzeitig sind Cyberkriminel- le schneller, professioneller und nutzen zunehmend auf künstliche Intelligenz (KI) basierte Angriff smethoden. Die Konsequenz? Unternehmen müssen ihre Strategie über- denken und den Fokus auf proaktive Sicherheitskonzepte legen, um Bedrohungen bereits im Vorfeld abzuwehren. Warum klassische Sicherheitslösungen nicht mehr ausreichen Die IT-Sicherheit vieler Unternehmen basiert auf traditionellen Maßnahmen wie Firewalls oder Antiviren- programmen. Diese Werkzeuge sind zwar wichtig, aber sie allein reichen längst nicht mehr aus. Ein wesentlicher Schwachpunkt ist die fehlende frühzeitige Bedrohungser- kennung. Angreifer können unbemerkt monatelang Netz- werke infi ltrieren, bevor der eigentliche Angriff erfolgt. Zudem spielen die Herkunft und die Vertrauenswürdig- keit der eingesetzten Sicherheitssoftware eine entscheiden- de Rolle. Ein oft übersehenes Risiko ist die Abhängigkeit von Anbietern, die aus Ländern mit fragwürdigen Da- tenschutzrichtlinien stammen. Die Diskussion um den sogenannten „Kill Switch“ – also die Möglichkeit, dass Hersteller aus Drittstaaten ihre Sicherheitslösungen aus der Ferne deaktivieren können – zeigt die Dringlichkeit, auf vertrauenswürdige europäische Anbieter zu setzen. Si- cherheitsunternehmen aus der Europäischen Union, wie ESET, garantieren hohe Datenschutzstandards und ent- sprechen strengsten Compliance-Anforderungen. Sie bie- ten transparente, technologisch führende Lösungen ohne versteckte Hintertüren, gewährleisten den Stand der Tech- nik und verhelfen zur NIS-2-Compliance. „Prevention First“ Vorbeugen statt heilen – was in der Medizin gilt, muss auch für Cybersecurity zum Standard werden. Pro- aktive Sicherheitsstrategien setzen genau hier an: Bedro- hungen frühzeitig erkennen, Sicherheitslücken schließen und Angriff e verhindern, bevor sie entstehen. Dazu gehö- ren essenzielle Maßnahmen: Patch-Management: Software-Schwachstellen schnell schließen, bevor Angreifer sie ausnutzen können. Multi-Faktor-Authentifi zierung (MFA): Eff ekti- ver Schutz vor unbefugtem Zugriff durch zusätzliche Si- cherheitsebenen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 11

EU-Sicherheitsrichtlinie NIS-2: Verpfl ich- tungen, Fristen und Risiken im Überblick Die NIS-2-Richtlinie ist seit Januar 2025 für viele Unternehmen in Europa eine verbindliche Vor- gabe. Die nationale Umsetzung in Deutschland verzögert sich jedoch. Das NIS2-Umsetzungsge- setz (NIS2UmsuCG) sollte ursprünglich bis zum 17. Oktober 2024 in Kraft treten, wurde jedoch aufgrund der politischen Lage und der anstehenden Regierungsbildung verschoben. Eine Verabschiedung wird frühestens im Sommer 2025 erwartet. Trotz dieser Verzögerung soll- ten Unternehmen bereits jetzt Maßnahmen ergreifen, da es keine Übergangsfrist gibt und die Anforderungen unmittelbar gelten, sobald das Gesetz verabschiedet wird. l a i c e 2 p - S I S N 1. Bestehende Sicherheitsstrukturen überprüfen und optimieren, um den gestiegenen Anforderungen ge- recht zu werden. 2. Interne Meldeprozesse anpassen, um sicherzustellen, dass Sicherheitsvorfälle fristgerecht gemeldet werden. 3. Mitarbeitende und Geschäftsführungen sensibilisie- ren, um ein besseres Verständnis für die neuen Pfl ich- ten und Maßnahmen zu schaff en. 4. Lieferketten und Dienstleister einbeziehen, da auch Drittanbieter höhere Sicherheitsstandards erfüllen müssen. Fachliche Weiterbildung als zentrale Maßnahme Eine erfolgreiche Umsetzung der NIS-2-Richtlinie erfordert umfassendes Fachwissen. Die Bitkom Akademie bietet spezialisierte Seminare zur NIS-2-Richtlinie an, die IT-Sicherheitsverantwortlichen, Datenschutzbeauftragten und Entscheidungsträgern praxisnahe und rechtssichere Handlungsempfehlungen vermitteln. Haben Sie Fra- gen zu unseren Seminaren und dem Inhouse-Angebot im Bereich IT-Sicherheit? Dann kontaktieren Sie Vin- cent Bergner. ■ v.bergner@bitkom-service.de Aktueller Stand der NIS-2-Umsetzung Die NIS-2-Richtlinie bringt wesentliche Än- derungen im Bereich der Cybersicherheit mit sich. Der Anwendungsbereich wurde erheblich ausgeweitet und umfasst neben den bisherigen KRITIS-Sektoren auch IT-Dienstleister, digitale Plattformen, Cloud-Anbieter, Rechenzentren und Teile der Lieferkette. Unternehmen müssen strengere Sicherheitsvorgaben umsetzen und ihre Cyber-Resilienz verbessern. Eine zentrale Neuerung ist die persönliche Haftung der Geschäftsführung, die für die Einhaltung der Vorgaben verantwortlich ist. Darüber hinaus sieht die Richtlinie verschärfte Meldepfl ichten vor. Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet und anschließend detaillierte Berichte vorgelegt werden. Zudem sind umfassende Ri- sikomanagementmaßnahmen erforderlich, um Schwach- stellen in der IT-Infrastruktur zu identifi zieren und pro- aktiv zu minimieren. Konsequenzen bei Nichteinhaltung Die Einhaltung der NIS-2-Richtlinie ist nicht nur eine rechtliche Verpfl ichtung, sondern entscheidend für die langfristige Sicherheit von Unternehmen. Verstöße gegen die Vorschriften können mit erheblichen Sanktio- nen geahndet werden. Vorgesehen sind Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahres- umsatzes. Empfohlene Maßnahmen zur Vorbereitung Auch wenn das nationale Umsetzungsgesetz noch aussteht, sind die Kernanforderungen bereits bekannt und sollten frühzeitig umgesetzt werden. Unternehmen sollten daher: © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 13

IT-Sicherheit ist Vertrauenssache Machen Sie Ihr Unternehmen NIS2-Ready mit ESET Technologien aus der Europäischen Union eset.de/nis2

§ l a i t c h e 2 c p - e S I S R N Recht EU-Regularien Sanktionen nach NIS-2 Bußgelder und Prozessorientierung im neuen IT-Sicherheitsrecht „Wer nicht hören will, muss fühlen“ gilt auch bei Regularien für Unternehmen. Allerdings sind Bußgelder bei Verstößen bei Weitem kein Automatismus – vielmehr gilt es, die genaueren Um- stände zu beachten. Unsere Autoren erklären, wo man besonders aufpassen muss, aber auch, wann und weswegen eine Angst vor Sanktionen unbegründet ist. Von Dennis-Kenji Kipker, Frankfurt/Main, und Julian Zaudig, Köln Die effektive Durchsetzung des neuen BSI-Geset- zes (BSIG) gleicht der sprichwörtlichen Kunst des Mögli- chen: Es gilt, anspruchsvolle Sicherheitsstandards flächen- deckend umzusetzen, ohne Unmögliches zu fordern oder den Innovationsgeist von Unternehmen zu ersticken. Das BSIG verpflichtet Unternehmen zu erhebli- chen Investitionen in ihre IT-Sicherheit, oft jenseits des unmittelbaren betriebswirtschaftlichen Nutzens. Der Auf- wand für die gesetzlich erforderlichen Sicherheitsmaßnah- men muss jetzt und in Zukunft nicht betriebswirtschaft- lich durch einen „Sicherheitsgewinn“ amortisiert werden. Vielmehr ist das Gemeinwohl entscheidend: Der Aufwand ist immer dann gerechtfertigt und verpflichtend, wenn er im angemessenen Verhältnis zu den wirtschaftlichen und gesellschaftlichen Folgen eines Ausfalls steht. Unternehmen profitieren zwar im Ergebnis, wenn das Sicherheitsniveau in der deutschen Wirtschaft steigt, denn dies fördert eine sichere und resiliente Digitalisie- rung – erforderlich ist hierfür aber, dass das Sicherheits- niveau flächendeckend steigt. Diese Anforderung wirft die Frage auf, wie Maßnahmen durchgesetzt werden können, die sich für einzelne Betriebe – allen voran die vorbildli- chen „First Mover“ – möglicherweise nicht sofort rechnen. An dieser Stelle offenbart sich die oft übersehe- ne Doppelrolle von Bußgeldern im Wirtschaftsrecht: Sie fungieren nicht nur als Sanktionsinstrument, sondern auch als Garant der Wettbewerbsgerechtigkeit, weil sie ermöglichen, bei unrechtmäßig handelnden Unterneh- men und Personen unrechtmäßige Vorteile abzuschöpfen (§ 17 Abs. 4 OWiG). Im IT-Sicherheitsrecht betrifft dies besonders Fälle, in denen Unternehmen das BSIG nicht oder nur unzureichend umsetzen, und dadurch gegenüber ihren rechtmäßig handelnden Mitbewerbern Kosten spa- ren. Bußgelder sollen die vermeintlichen Einsparungen in dem Fall nicht nur wettmachen (sog. Abschöpfungsteil), sondern sogar übersteigen (sog. Ahndungsteil). Bußgelder für fairen Wettbewerb? Die Europäische Kommission hatte bei Erarbei- tung der NIS-2-Richtlinie eine klare Vorstellung und rügte ausdrücklich die mangelhafte Vollstreckung der IT-Sicherheitspflichten aus der NIS-1-Richtlinie in den Mitgliedstaaten: Insbesondere seien zu wenig Bußgelder verhängt worden – die NIS-2-Richtlinie solle dies ändern (siehe Ex-post-Bewertung in [1]). IT-Sicherheitspflichten sollen zwar nach Art. 31 Abs. 2 der NIS-2-Richtlinie [2] risikobasiert beaufsichtigt und staatlich durchgesetzt werden können, um Aufsichts- behörden die Fokussierung von Ressourcen zu ermögli- chen. Allerdings war zentral, auch ein einheitliches und wirksames Aufsichtsniveau zu schaffen: Unternehmen sollen sich also im positiven wie im negativen Sinne dar- auf verlassen können, dass IT-Sicherheitspflichten durch- gesetzt werden. Gerade Letzteres wird häufig übersehen, denn die gleichmäßige Durchsetzung von IT-Sicherheits- pflichten war für die Europäische Kommission von vorn- herein auch eine Frage der Wettbewerbsgerechtigkeit (sie- he Folgenabschätzung in [1]). Aus Sicht eines CISO leuchtet das sofort ein: Ein Informationssicherheits-Managementsystem (ISMS) ent- sprechend dem BSIG, nimmt nicht nur den eigenen Be- trieb in den Blick, sondern auch das Gemeinwohl. Wie soll man diese Aufwendungen gegenüber den eigenen Stakeholdern rechtfertigen, wenn direkte Konkurrenten die gesetzlichen Vorgaben ohne Konsequenzen ignorie- ren? Erschwert die IT-Sicherheitsabteilung dem eigenen Unternehmen dann nicht sogar, sich im Wettbewerb zu behaupten? Die Kommission trifft einen praktischen Punkt: Ein Gesetz, das flächendeckend verpflichtet, aber nur die Willigen zwingt, leidet an einem grundlegenden Mangel – es ist nicht nur unzweckmäßig, sondern auch noch ungerecht. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 17

l a i c e 2 p - S I S N Hier muss man sich ins Gedächtnis rufen, woraus diese gesetzliche Unschärfe methodisch folgt: Ein ISMS ist hochgradig individuell. Im Kern stehen Prognoseent- scheidungen: Welches Risiko verwirklicht sich und welche Gegenmaßnahmen sind in einem konkreten Betrieb auch wirksam? Diese Prognoseentscheidungen stellen sich erst im Nachhinein als „richtig“ oder „falsch“ heraus. Im Mo- ment ihrer Vornahmen sind sie aber nur sorgfältig begrün- det oder gerade unbegründet. Der Praktiker weiß: Mehr als sorgfältig arbeiten kann man nicht – und auch wenn man sorgfältig arbeitet, kann man keine absolute Sicher- heit erreichen oder versprechen. Technische Normen reagieren darauf mit einer iterativen Selbstüberprüfung und Selbstkorrektur. Nur zu diesem sorgfältigen Prozess, nicht aber zur „richtigen“ Ri- sikoentscheidung, einem „richtigen“ ISMS oder gar zum „Zustand der IT-Sicherheit“ kann das BSIG zwingen (vgl. EuGH-Urteil [7] sowie [8] und [6], S. 292 ff.). Juristen haben auch hierfür schon seit langem einen Begriff: „Ul- tra posse nemo obligatur“ – zu Unmöglichem ist niemand verpflichtet. Verfassungskonforme Unschärfe? Sprechen bereits Juristen von einer Pattsituation, erscheint fragwürdig, ob eine solche Regelung überhaupt zulässig ist. Rechtlich stellt sich die Frage nach der „hin- reichenden Bestimmtheit“ einer Vorschrift: Diese ist auch für den Gesetzgeber nicht beliebig, vielmehr setzt die Ver- fassung der Unbestimmtheit von Gesetzen Grenzen. Die Prüfung dieser Grenzen stellt jedoch selbst eine Herausfor- derung dar, denn offensichtlich kann man die „Bestimmt- heit“ eines Gesetzes nicht quantitativ bemessen: Gesetze bestehen aus Sprache und Sprache kann per se nicht ein- deutig sein. Die Rechtsprechung prüft die hinreichende Bestimmtheit einer Norm deshalb anhand einer Abwä- gung und beurteilt, ob bestehende Unklarheiten einer ge- setzlichen Regelung – in Form einer Negativabgrenzung – noch hinnehmbar sind. Aus dieser Abwägung ergibt sich im IT-Sicher- heitsrecht eine ganz wesentliche Unterscheidung: Was im Allgemeinen gilt, muss nicht für die Bußnormen gelten. Denn auch ein Bußgeld stellt verfassungsrechtlich eine Strafe dar – und Strafvorschriften sind an strengeren Maß- stäben zu messen als Rechtsvorschriften im Allgemeinen. Auch hierfür haben Juristen einen seit langem festste- henden Begriff: „Nulla poena, nullum crimen sine lege certa“ – keine Strafe ohne bestimmtes Gesetz. abgestimmte Lösungen erlaubt. Gerade im technischen Bereich arbeitet man deshalb bewusst mit Frameworks statt starrer Pflichtenkataloge. Anders ist dies jedoch, wenn jemandem Fehlverhalten vorgeworfen werden soll: Ein Vorwurf muss konkret sein, sonst kann sich der Be- troffene weder angemessen verteidigen, noch kann er sich verbessern – schon weil er sonst gar nicht konkret wüsste, was er falsch gemacht haben soll. Dieser im Kern sehr praktischen Einsicht folgt auch die Rechtsprechung des Bundesverfassungsgerichts. Zwar ist grundsätzlich stets zu fordern, dass jedermann vorhersehen kann, was von ihm gefordert wird, um sich rechtmäßig zu verhalten. Auch wenn dies im Einzelfall nicht möglich ist, bleibt der Gesetzgeber allerdings befugt, dennoch Regelungen zu erlassen. Die Unbestimmtheit folgt dann aus der „Natur der Sache“ – im IT-Sicherheits- recht zum Beispiel aus der Dynamik der Bedrohungslage, die statisch zu beschreiben – und rechtfertigt eine Unbestimmtheit von Vorschriften, die etwa Sicherheitsmaßnahmen nach dem „Stand der Technik“ fordern. Sicherheitsmaßnahmen mit dem „Stand der Wissenschaft und Technik“ zu um- schreiben, wurde deshalb auch hinsichtlich der Sicherung von Kernkraftwerken für zulässig gehalten (BVerfG-Urteil vom 8. August 1978, Az. 2 BvL 8/77 „Schneller Brüter“). Sicherheitsmaßnahmen es verbietet, Hinsichtlich der Bußgelder gelten jedoch ande- re Maßstäbe, denn hier gilt das spezielle strafrechtliche Bestimmtheitsgebot nach Art. 103 Abs. 2 des Grundge- setzes (GG – vgl. BVerfG-Urteil vom 11. Januar 1995, Az. 2 BvR 1473/89). Und dieses spezielle Bestimmtheits- gebot fokussiert auf den Schutz des Einzelnen: Jeder muss vorhersehen können, was mit Strafe bedroht ist. Erlaubt sind allenfalls „Randunschärfen“ (vgl. BVerfG-Urteil vom 23. Juni 2010, Az. 2 BvR 2559/08). Diese strafrechtliche Bestimmtheit lässt sich nach der Rechtsprechung des Bundesverfassungsgerichts (BVerfG) auf zwei Arten herstellen: Entweder die Sank- tionsvorschrift kann selbst konkret darstellen, was mit Bußgeld bedroht ist, oder die zu dieser Vorschrift ergan- gene Rechtsprechung muss dies erkennen lassen (BVerfG- Urteile vom 28. Juni 2015, Az. 2 BvR 2558/14, 2 BvR 2571/14 und 2 BvR 2573/14). Diese Konkretisierung von Rechtsvorschriften soll im Bereich des Straf- und Bußgeld- rechts sogar Aufgabe der Rechtsprechung sein (BVerfG a. a. O.). Fehlt eine solche Konkretisierung (noch), erlaubt das Grundgesetz aber keine für den Bürger unvorhersehba- re Strafe – und damit auch kein entsprechendes Bußgeld. Auch dieser Grundsatz ist für den Praktiker ohne Weiteres verständlich: Selbstverständlich ist es häufig hilf- reich, Regelungen nicht allzu detailliert zu fassen, sondern Umsetzungsspielräume zu belassen. Nur so bleiben auf der Arbeitsebene passende, auf den einzelnen Anwendungsfall Deshalb gilt aktuell noch für § 14 Abs. 2 Nr. 2 BSIG beziehungsweise künftig für § 65 Abs. 2 Nr. 2 BSIG: Der Tatbestand dieser Sanktionsvorschriften reicht nicht so weit, wie er sich liest. Niemand darf „raten“ müs- sen, wann er mit einem Bußgeld belegt werden kann – von © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 19

Im Verhältnis zur Aufsichtsbehörde kann für die Arbeit der IT-Sicherheitsabteilung deshalb als klare Ziel- setzung definiert werden, dass sie in der Lage sein muss, jederzeit darzulegen, dass und wie man sich auch ohne Ein- schreiten des BSI an Recht und Gesetz hält. Hierfür ist die rechtliche Ebene in die technischen Standards zu inte- grieren: Sicherheitsmaßnahmen sind nicht nur sorgfältig auszuwählen und zu dokumentieren, vielmehr muss man auch festhalten, weswegen man sie für rechtmäßig hält. Das wird leider zu häufig übersehen. Und diese Prägung erfasst auch den PDCA-Kreislauf: Maßnahmen sind nicht nur daraufhin zu überprüfen, ob sie wirksam sind – zu- sätzlich ist darauf zu achten, ob ihre rechtliche Begrün- dung (weiterhin) trägt und ein rechtmäßiger Betrieb si- chergestellt ist. CISOs, die diese interdisziplinäre Arbeit meistern, werden sich der Aufsichtsbehörde als integrer und vertrau- enswürdiger Partner präsentieren können. In Krisensitua- tionen kann das Gold wert sein – nach § 65 Abs. 5 Nr. 1 Lit. a BSIG bis zu 10.000.000 €. All das bedeutet im Ergebnis: Man kann gegen- über betroffenen Stakeholdern durchaus auch mit dro- henden Bußgeldern argumentieren, damit die Wirksam- keit des NIS2UmsuCG nicht infrage gestellt wird. Aber dann sollte man richtiger- und fairerweise auch betonen: Sicherheitslücken ziehen nicht automatisch Bußgelder nach sich. Bußgelder sind nicht der „Preis“ für Sicherheits- lücken oder Abweichungen vom Stand der Technik – sie sind vielmehr der Preis dafür, wenn das NIS2UmsuCG insgesamt nicht ernst genommen wird. ■ Prof. Dr. Dennis-Kenji Kipker ist wissenschaftlicher Direk- tor des cyberintelligence.institute in Frankfurt am Main. Dr. Julian Zaudig ist Volljurist und wurde von der Universi- tät zu Köln zum IT-Sicherheitsrecht promoviert. Er forscht an der Schnittstelle von Recht und Technik – neben seiner juristischen Ausbildung in Stellen wie der Zentral- und An- sprechstelle Cybercrime NRW sowie der Stiftung Familien- unternehmen und Politik war er auch technisch und unter- nehmerisch tätig. 2 - S I N Literatur für eine [1] Europäische Kommission, Vorschlag Richtlinie des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersi- cherheitsniveau in der Union und zur Aufhebung der Richtlinie (EU) 2016/1148, Dezember 2020, https:// eur-lex.europa.eu/legal-content/DE/TXT/?uri=CE- LEX:52020PC0823 [2] Europäische Union, Richtlinie (EU) 2022/2555 Des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes ge- meinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), in: Amtsblatt der Europäischen Union L 333, S. 80, De- zember 2022, berichtigt im Dezember 2023, konsoli- dierte Fassung: https://eur-lex.europa.eu/legal-content/ DE/TXT/?uri=CELEX:02022L2555-20221227 [5] Denis-Kenji Kipker, Auf der Suche nach dem Hei- ligen Gral der Cybersicherheit?, <kes>2024#3, S. 13 [6] Julian Zaudig, Die Regulierung von Risiken durch den Einsatz von Informationstechnik nach dem BSIG, Der rechtmäßige Umgang mit ungewissen Entwicklun- gen durch Unternehmen und Geschäftsleiter im Bereich der IT-Sicherheit, Nomos, August 2024, ISBN 978-3- 7560-1612-9 [7] Europäische Union, Urteil des Gerichtshofs (Dritte Kammer) vom 14. Dezember 2023, VB gegen Natsio- nalna agentsia za prihodite, Rechtssache C-340/21, De- zember 2023, https://eur-lex.europa.eu/legal-content/ DE/TXT/?uri=CELEX:62021CJ0340 [8] Dennis-Kenji Kipker, Julian Zaudig, Schutzschild gegen Haftungsrisiken, Wie die Rolle des CISO unter NIS-2 neu gedacht werden muss, <kes> 2024#5, S. 32 [3] Dario Scholz, Dennis-Kenji Kipker, EU-Cyberse- curity Version 2.0, Bringt NIS-2 das lang ersehnte Up- date für wesentliche und wichtige Einrichtungen?, <kes> 2023#1, S. 19 [4] Dennis-Kenji Kipker, NIS2UmsuCG: Das NIS- 2-Umsetzungs- und Cybersicherheitsstärkungs-Gesetz kommt – ein Überblick über den Status quo, <kes> 2023#4, S. 70 [9] Bundesministerium des Innern und für Heimat (BMI), Entwurf eines Gesetzes zur Umsetzung der NIS- 2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundes- verwaltung (NIS-2-Umsetzungs- und Cybersicherheits- stärkungsgesetz), Gesetzentwurf der Bundesregierung, Juli 2024, www.bmi.bund.de/SharedDocs/gesetzge- bungsverfahren/DE/Downloads/kabinettsfassung/CI1/ nis2-regierungsentwurf.pdf?__blob=publicationFile © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special NIS-2Sanktionen und Lösungen, April 2025 21