Cyberresilienz – vom Faktor Mensch bis zu Audits

Frage aller Fragen: Ist mein Unternehmen betroffen?

Da sich das geplante NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) auch in Deutschland verzögert, kann die Frage, wer konkret betroffen ist, derzeit nur mit Blick auf die endgültige Fassung der NIS-2-Richtlinie beantwortet werden. Sie gibt zwar den einzelnen EU-Mitgliedsstaaten den Rahmen vor, aber es zeigt sich, dass die einzelnen Länder bei der Umsetzung Details der Richtlinie unterschiedlich interpretieren. Wie dies letztlich in Deutschland aussehen wird, ist derzeit nicht absehbar.

Dennoch zeigt ein Blick in die Anhänge 1 und 2 der Richtlinie, dass sich Unternehmen der chemischen Industrie mit NIS 2 beschäftigen müssen. Anhang 1 der Richtlinie definiert Sektoren mit hoher Kritikalität. Dort heißt es u. a.:

• Einrichtungen, die Forschung und Entwicklung im Zusammenhang mit Arzneimitteln betreiben [...],
• Einrichtungen, die pharmazeutische Produkte herstellen [...],
• Einrichtungen, die Medizinprodukte herstellen, die [...] als kritisch [...] eingestuft werden.

Unternehmen werden als „wesentliche“ Einrichtungen bezeichnet, sobald sie mindestens 250 Beschäftigte oder einen Jahresumsatz von mehr als 50 Mio. EUR sowie eine Jahresbilanzsumme von mehr als 43 Mio. EUR haben. NIS 2 verlangt von ihnen, dass sie sich bei den lokalen Cybersicherheitsbehörden registrieren lassen, ein umfassendes Risikomanagement einführen, auf Vorfälle effektiv reagieren und ihre Lieferketten sichern. Auch OT-Systeme, die z.B. für die Steuerung von Kompressoren oder die Bekämpfung von Feuer und Gasaustritten von zentraler Bedeutung sind, müssen durch spezielle Maßnahmen geschützt werden. Kritische Einrichtungen müssen zudem über Back-up-Systeme und redundante Infrastrukturen verfügen.

Darüber hinaus werden in Anhang 2 weitere kritische Sektoren als sog. „kritische Einrichtungen“ aufgeführt. Dazu gehören „Betriebe [...], die Stoffe herstellen und mit Stoffen oder Gemischen handeln, sowie Betriebe, die Erzeugnisse [...] aus Stoffen oder Gemischen herstellen“. Fallen Unternehmen mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mindestens 10 Mio. EUR in diese Kategorie, müssen auch sie eine Registrierung bei den lokalen Cybersicherheitsbehörden vornehmen.