Schlagwort: NIS2-Richtlinie

Rechtsanwalt für NIS2-Richtlinie: NIS2-Richtlinie & Cybersicherheitsrecht! Als zertifizierter Experte für Cybersecurity und Fachanwalt für IT-Recht stehe ich Unternehmen als juristischer Berater bei der Umsetzung der NIS2-Richtlinie zur Seite. Ob Compliance, Risikomanagement oder Incident-Response – ich unterstütze praxisnah und rechtssicher bei allen Fragen rund um das Cybersicherheitsrecht.

Die NIS2-Richtlinie ist der neue europäische Rechtsrahmen für Cybersicherheit. Sie verpflichtet Unternehmen in zahlreichen Branchen – von Energie über Gesundheit bis zur digitalen Infrastruktur – zu umfassenden technischen und organisatorischen Sicherheitsmaßnahmen. Ziel ist es, die Resilienz kritischer und wichtiger Infrastrukturen gegenüber Cyberangriffen zu stärken. Gleichzeitig verschärft NIS2 die Anforderungen an das Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und die persönliche Haftung von Geschäftsleitungen.

Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen

Rechtsanwalt Ferner in Alsdorf, Aachen; Fachanwalt für Strafrecht und Fachanwalt für IT-Recht in der Städteregion Aachen, leicht verfügbar für Betroffene in Alsdorf, Aachen, Würselen, Baesweiler, Herzogenrath, Eschweiler, Übach-Palenberg, Geilenkirchen und Aldenhoven
  • Wenn der eigene Mitarbeiter eine Sicherheitslücke findet: Rechtliche Risiken für Unternehmen

    Wenn der eigene Mitarbeiter eine Sicherheitslücke findet: Rechtliche Risiken für Unternehmen

    Ein Mitarbeiter Ihrer IT-Abteilung bemerkt bei der Nutzung einer eingekauften Softwarelösung, dass die Anwendung Datenbankzugangsdaten im Klartext übermittelt und der Zugriff auf deutlich mehr Datensätze möglich ist, als der eigene Account eigentlich erlaubt. Er dokumentiert den Fund, greift kurz auf eine der fremden Kundendaten zu, um die Lücke zu belegen – und meldet den Vorfall intern.

    Was harmlos klingt und gutgläubig gemeint war, kann erhebliche strafrechtliche und zivilrechtliche Konsequenzen haben. Für das Unternehmen selbst, für den Mitarbeiter – und im schlimmsten Fall für beide.

    (mehr …)
  • KI und Cybersicherheit

    KI und Cybersicherheit

    Im Frühjahr 2026 hat sich im Verhältnis von Künstlicher Intelligenz und IT-Sicherheit etwas verschoben, das über den üblichen Takt technischer Innovation hinausgeht. Anthropic stellte mit „Claude Mythos Preview“ ein Modell vor, das in OpenBSD eine 27 Jahre alte Schwachstelle aufspürte, in FFmpeg eine seit 16 Jahren schlummernde Lücke fand und insgesamt Tausende Schwachstellen in Betriebssystemen und Browsern identifizierte.

    Das Modell wird nicht öffentlich angeboten, sondern nur rund vierzig Unternehmen – darunter Apple, Amazon, Microsoft, Cisco, Crowdstrike und Palo Alto Networks – im Rahmen von „Project Glasswing“ zugänglich gemacht. US-Finanzminister Scott Bessent und Notenbankchef Jerome Powell beriefen eine Dringlichkeitssitzung mit den Chefs der systemrelevanten Wall-Street-Banken ein, das BSI spricht von einer „Verschiebung der Angriffsvektoren“ und einem „Paradigmenwechsel“ in der Cyberbedrohungslage.

    Der IWF hat wenige Tage später, am 7. Mai 2026, in einem Blogbeitrag festgehalten, dass KI-getriebene Cyberrisiken zu einem makro-finanziellen Schock eskalieren können, wenn Entdeckung und Ausnutzung von Schwachstellen in Maschinentempo parallel in vielen Instituten erfolgen.

    Für den juristischen Beobachter ist das keine schlichte Randnotiz der Technikgeschichte: Der europäische Regulierungsrahmen für KI und Cybersicherheit wird nun an einer Realität gemessen, die schneller ist als der Gesetzgebungsprozess.

    (mehr …)
  • NIS2-Umsetzung in Deutschland 2026

    NIS2-Umsetzung in Deutschland 2026

    Die EU‑Richtlinie (EU) 2022/2555 („NIS2-Richtlinie“) ist seit Ende 2022 in Kraft und soll in allen Mitgliedstaaten ein hohes, einheitliches Niveau der Cybersicherheit etablieren. Deutschland hat lange gezögert – nun ist zum Jahreswechsel 2025/2026 mit dem Gesetz zur Umsetzung der NIS‑2‑Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2‑RLUG) der große Wurf erfolgt: Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten.

    Damit endet eine lang anhaltende Phase von Entwürfen und politischen Manövern, inklusive des gescheiterten NIS2UmsuCG, und beginnt eine Phase verbindlicher Pflichten mit spürbaren Aufsichts‑ und Sanktionsrisiken. Für das Management bedeutet dies: NIS2 ist kein Zukunftsthema mehr, sondern ein geltender Rechtsrahmen, der unmittelbar in Strategie, Governance und Budgetplanung abgebildet werden muss.

    Hinweis: Der Beitrag stammt ursprünglich aus dem Juni 2025 und wurde zuletzt im Februar 2026 aktualisiert.

    (mehr …)
  • Zulässigkeit behördlicher Warnungen vor Software

    Zulässigkeit behördlicher Warnungen vor Software

    Die Veröffentlichung behördlicher Sicherheitsbewertungen kann für Softwareanbieter existenzbedrohend sein – damit stellt sich die Frage der rechtlichen Zulässigkeit von behördlichen Warnungen vor Softwareprodukten. Doch auch wenn es ein kitisches Gebiet ist: nicht jede Warnung rechtfertigt einen vorbeugenden gerichtlichen Eingriff – das zeigt ein aktueller Beschluss des Verwaltungsgerichts Köln (1 L 3105/25) vom 2. Dezember 2025, den ich auch hier auf LinkedIn thematisiere.

    Das Verwaltungsgericht entschied, dass ein Softwarehersteller nicht ohne Weiteres die Unterlassung einer geplanten behördlichen Produktbewertung verlangen kann, auch wenn diese negative Auswirkungen auf den Markt haben könnte. Der Fall wirft mal wieder grundsätzliche Fragen zum Thema auf: Wann ist vorbeugender Rechtsschutz gegen staatliches Informationshandeln zulässig? Und wo liegen die Grenzen zwischen legitimer Verbraucheraufklärung und unzumutbaren wirtschaftlichen Nachteilen für Unternehmen?

    Bitte beachten Sie: In der hier noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen. Der Beitrag wurde im Februar 2026 aktualisiert.

    Beachten Sie auch, dass die Entscheidung – unter Bezug auf meine Besprechung – bei „heise online“ aufgegriffen wurde.

    (mehr …)
  • Medizinstrafrecht: Compliance und Strafbarkeitsrisiken in Kliniken

    Medizinstrafrecht: Compliance und Strafbarkeitsrisiken in Kliniken

    Vorstandshaftung und Strafbarkeitsrisiken in Krankenhäusern: Die laut Presse nun laufenden Ermittlungen gegen mehrere Beschäftigte eines lokalen Klinikums sind mehr als ein lokaler Skandal. Sie offenbaren die Frage danach, ob ein strukturelles Problem vorliegt, das weit über den Einzelfall hinausgeht: Wird Compliance in deutschen Kliniken sträflich vernachlässigt? Der Fall eines Pflegers, dem inzwischen neun Morde und 34 Mordversuche vorgeworfen werden, zeigt auf erschreckende Weise, was passiert, wenn Kontrollen versagen und Warnsignale ignoriert werden.

    Über Jahre hinweg sollen auf einer Palliativstation mit nur neun Betten auffällig hohe Mengen des Narkosemittels Midazolam verabreicht worden sein. Kollegen berichteten laut Presse von Patienten, die nach den Nachtdiensten des angeklagten Pflgers morgens kaum noch bei Bewusstsein gewesen sein sollen. Doch erst als eine nicht verordnete Midazolam-Spritze bei einem Patienten gefunden wurde, begann man, genauer hinzuschauen. Die Frage, die sich nun stellt, ist nicht nur, warum niemand früher eingriff, sondern auch, warum ein System, das solche Auffälligkeiten hätte erkennen müssen, offenkundig nicht funktionierte.

    Die Staatsanwaltschaft ermittelt mittlerweile wohl gegen mehrere Mitarbeiter des Klinikums – unter anderem wegen fahrlässiger Tötung, Unterlassung und Verstößen gegen die Betäubungsmittelvergabeverordnung. Intern gab es zwar Abmahnungen, doch das nicht ausreichen. Der Fall wirft grundsätzliche Fragen auf und gibt Anlass für einige Erklärungen: Wer trägt die Verantwortung für solche Versäumnisse? Warum wurden offensichtliche Risiken nicht rechtzeitig erkannt? Und wie kann ein Krankenhaus, das der öffentlichen Daseinsvorsorge verpflichtet ist, derartige Mängel in der Überwachung zulassen?

    (mehr …)
  • Strafbarkeit von Spionage: Geheimdienstliche Agententätigkeit gemäß § 99 StGB

    Strafbarkeit von Spionage: Geheimdienstliche Agententätigkeit gemäß § 99 StGB

    Geheimdienstliche Agententätigkeit und Spionage: Der Straftatbestand der geheimdienstlichen Agententätigkeit, geregelt in § 99 des Strafgesetzbuches (StGB), adressiert spezifische Formen der Spionage, die sich gegen die Bundesrepublik Deutschland richten. Im Folgenden geht es um einen Überblick über die wesentlichen Aspekte dieses Tatbestands und wie das Gesetz durch Gerichte interpretiert und angewendet wird.

    Achtung: Wir übernehmen nur Strafverteidigungen in diesem Bereich und vertreten niemanden, der sich verfolgt, gestalkt oder überwacht fühlt!

    (mehr …)
  • Bedrohungslage von kommerziellen Satelliten

    Bedrohungslage von kommerziellen Satelliten

    Die Raumfahrtinfrastruktur ist längst nicht mehr nur ein Prestigeprojekt staatlicher Großprogramme – sie ist zum Rückgrat unserer modernen Informations- und Wirtschaftsgesellschaft geworden. In ihrem im März 2025 veröffentlichten Bericht „Space Threat Landscape“ analysiert die EU-Agentur für Cybersicherheit (ENISA) die Bedrohungslage kommerzieller Satellitensysteme. Dabei wird wiedermal deutlich: Der Orbit ist längst ein sicherheitsrelevanter Raum.

    (mehr …)
  • Die CVE-Krise und Europas Stunde der digitalen

    Die CVE-Krise und Europas Stunde der digitalen

    Am Morgen des 16. April 2025 hielten viele Sicherheitsforscher, CERT-Mitarbeitende und Compliance-Verantwortliche weltweit den Atem an. Was nach Jahren als selbstverständlich galt, drohte plötzlich zu verschwinden: Die zentrale Schwachstellendatenbank der westlichen Welt, das CVE-System, stand vor dem Aus. Was nunmehr temporär abgewendet ist.

    Ohne CVEs kein koordinierter Patch Tuesday, keine verbindliche Zuweisung von Schwachstellen, keine Grundlage für SIEMs, keine Warnungen in Echtzeit – und keine Klarheit darüber, ob verschiedene Sicherheitsmeldungen überhaupt vom gleichen Problem sprechen. Mitten in einer Zeit geopolitischer Spannungen, von KI-getriebenen Exploits und wachsender Systemkomplexität wackelte plötzlich das Fundament.

    Genau an diesem Punkt beginnt Europas Chance – und Verantwortung.

    (mehr …)
  • Cyberspionage

    Cyberspionage

    Cyberspionage als unterschätzte Gefahr für Unternehmen begreifen: Cyberspionage ist längst nicht mehr nur ein Problem staatlicher Akteure oder militärischer Einrichtungen – sie betrifft zunehmend Unternehmen aller Branchen. Der gezielte digitale Diebstahl von Geschäftsgeheimnissen, sensiblen Daten oder strategischen Informationen kann Unternehmen wirtschaftlich ruinieren oder ihnen einen irreparablen Wettbewerbsschaden zufügen.

    Zugleich ist Cyberspionage oft eng mit staatlich motivierten Cyberangriffen verknüpft, die sich gegen die Wirtschaft eines Landes als Ganzes richten. Für das Management von Unternehmen ist es essenziell, diese Gefahren zu verstehen, um geeignete Schutzmaßnahmen zu implementieren.

    (mehr …)
  • Europäisches IT-Recht

    Europäisches IT-Recht

    Ihr Rechtsanwalt für europäisches IT-Recht: Das europäische IT-Recht ist ein komplexes und dynamisches Rechtsgebiet, das sich mit der Regulierung der Informationstechnologie in der Europäischen Union (EU) befasst. Es umfasst eine Vielzahl von Themen, darunter Datenschutz, Cybersicherheit, elektronischer Handel, geistiges Eigentum und Telekommunikation.

    Das europäische IT-Recht hat erhebliche Auswirkungen auf das nationale IT-Recht der Mitgliedstaaten, da es einen gemeinsamen Rechtsrahmen für den digitalen Binnenmarkt in der EU schafft. So kann man grundsätzliche rechtliche Einschätzung für sämtliche EU-Mitgliedsstaaten in ausgewählten Bereichen des IT-Rechts auf europäischer Ebene erarbeiten.

    Fachanwalt für IT-Recht Jens Ferner ist im europäischen IT-Recht beratend für Unternehmen tätig: Durch die Europäisierung des IT-Rechts bietet sich für Unternehmen außerhalb Europas die Möglichkeit, elementare Rechtsfragen für den umfangreichen, wirtschaftsstarken EU-Raum vorab zu klären. Gerade die eklatant wichtigen Bereiche wie Datenrecht, Datenschutzrecht und IT-Sicherheitsrecht unterliegen europaweiten Regelungen!

    (mehr …)
  • DORA und die Auswirkungen auf IT-Unternehmen

    DORA und die Auswirkungen auf IT-Unternehmen

    Die EU-Verordnung Digital Operational Resilience Act (DORA) stellt einen Meilenstein in der Regulierung digitaler Resilienz dar und wird ab Januar 2025 für Unternehmen des Finanzsektors verbindlich. Dabei beschränkt sich ihre Wirkung keinesfalls auf Banken, Versicherer oder Zahlungsdienstleister. Auch IT-Unternehmen, die Softwarelösungen, Cloud-Dienste oder IT-Support für DORA-betroffene Organisationen bereitstellen, sind indirekt von den Anforderungen betroffen – mit weitreichenden vertraglichen, organisatorischen und operativen Implikationen.

    (mehr …)
  • Wirtschaftsspionage

    Wirtschaftsspionage

    Wirtschaftsspionage bezeichnet den Prozess, bei dem vertrauliche Informationen, Technologien oder Geschäftsgeheimnisse eines Unternehmens oder einer Organisation illegal erlangt werden. Dies kann durch Hacking, Bestechung von Mitarbeitern, Unterwanderung oder andere unethische Methoden geschehen.

    Die Wirtschaftsspionage zielt darauf ab, einem Konkurrenten oder einem fremden Staat wirtschaftliche Vorteile zu verschaffen. Doch was bedeutet das in der Praxis für Unternehmen? (Hinweis: Der Beitrag wurde im September 2024 nochmals vollständig überarbeitet)

    (mehr …)
  • Vertragliche Auswirkungen behördlicher Warnung vor Virenschutzsoftware

    Vertragliche Auswirkungen behördlicher Warnung vor Virenschutzsoftware

    Das BSI warnte vor dem Einsatz von Kaspersky-Virenschutz-Software – doch welche vertraglichen Auswirkungen hat diese Warnung auf laufende Verträge? Eine Antwort liegt nun bei

    Das Landgericht München I hat am 13. Dezember 2023 im Urteil (Az. 29 O 1152/23) zentrale Fragen zur mietvertraglichen Überlassung von Software, zur Definition von Mängeln bei Software, zur Auswirkung von öffentlich-rechtlichen Sanktionen auf die Nutzung von Software und zum Wegfall der Geschäftsgrundlage behandelt. Das Urteil bietet eine erstmalige umfassende rechtliche Analyse und Argumentation zu diesen komplexen Themen.

    Bitte beachten Sie: In der zum Thema behördliche Warnung noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen.

    (mehr …)
  • Durchführungsverordnung zur Cybersicherheits-Risikomanagement bei IT-Infrastruktur-Anbieter

    Durchführungsverordnung zur Cybersicherheits-Risikomanagement bei IT-Infrastruktur-Anbieter

    Eine geplante Durchführungsverordnung der Europäischen Kommission zielt darauf ab, technische und methodologische Anforderungen für Cybersicherheits-Risikomanagementmaßnahmen festzulegen.

    Die Durchführungsverordnung spezifiziert zudem die Fälle, in denen ein Vorfall als signifikant betrachtet wird, hier für Anbieter von DNS-Diensten, TLD-Name-Registrierungen, Cloud-Computing-Diensten, Datenzentren, Content-Delivery-Netzwerken, Managed Services und Sicherheitsdiensten, Online-Marktplätzen, Suchmaschinen, sozialen Netzwerken und Vertrauensdienste.

    (mehr …)
  • NIS2-Umsetzung: Zugriffe auf Daten bei Providern

    NIS2-Umsetzung: Zugriffe auf Daten bei Providern

    Im NIS2-Umsetzungsgesetz sind Regelungen vorgesehen, die gewährleisten sollen, dass das BSI in Fällen erheblicher Gefahren für die IT- und Kommunikationssicherheit auf die erforderlichen Daten zugreifen kann, um die Integrität, Verfügbarkeit und Vertraulichkeit der Kommunikationsdienste zu schützen.

    Die Zugriffsrechte sind dabei durch strenge Bedingungen und Abstimmungsverfahren geregelt, um den Datenschutz und die Verhältnismäßigkeit der Maßnahmen sicherzustellen. Im Folgenden ein kurzer Überblick zur Orientierung.

    (mehr …)