Rechtsanwalt für NIS2-Richtlinie: NIS2-Richtlinie & Cybersicherheitsrecht! Als zertifizierter Experte für Cybersecurity und Fachanwalt für IT-Recht stehe ich Unternehmen als juristischer Berater bei der Umsetzung der NIS2-Richtlinie zur Seite. Ob Compliance, Risikomanagement oder Incident-Response – ich unterstütze praxisnah und rechtssicher bei allen Fragen rund um das Cybersicherheitsrecht.
Die NIS2-Richtlinie ist der neue europäische Rechtsrahmen für Cybersicherheit. Sie verpflichtet Unternehmen in zahlreichen Branchen – von Energie über Gesundheit bis zur digitalen Infrastruktur – zu umfassenden technischen und organisatorischen Sicherheitsmaßnahmen. Ziel ist es, die Resilienz kritischer und wichtiger Infrastrukturen gegenüber Cyberangriffen zu stärken. Gleichzeitig verschärft NIS2 die Anforderungen an das Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und die persönliche Haftung von Geschäftsleitungen.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Die neue NIS-2-Richtlinie der EU, die in Deutschland aktuell durch das NIS2-Umsetzungsgesetz in nationales Recht umgesetzt wird, bringt umfassende Regelungen und Anforderungen für die Cybersicherheit in verschiedenen Sektoren. Besonders interessant sind hierbei die spezifischen Regelungen für den Weltraumsektor. Im Folgenden versuche ich einen Überblick über die wesentlichen Punkte zu geben, die in Bezug auf Weltrauminfrastruktur und weltraumgestützte Dienste behandelt werden.
IT-Sicherheitsdienstleistung: Die IT-Sicherheit ist heute – zu Recht – das alles beherrschende Thema und spielte sogar weiterhin eine immer noch gesteigerte Rolle im Alltag. Ein wenig noch aus dem Fokus geraten ist die Frage, wie damit umzugehen ist, wenn Unternehmen externe Dienstleister zur Absicherung ihrer Systeme engagieren.
Dieser Beitrag gibt einen verständlichen und abgekürzten Überblick darüber, was bei der Vertragsgestaltung für eine IT-Sicherheitsleistung berücksichtigt werden sollte, um beide Parteien – Anbieter und Kunde – abzusichern.
Neue Produktsicherheitsverordnung: Die kürzlich verabschiedete EU-Verordnung 2023/988 stellt einen Meilenstein in der Produktsicherheitsgesetzgebung dar. Sie zielt darauf ab, die Gesundheit und Sicherheit der Verbraucher im Binnenmarkt durch strengere Sicherheitsvorschriften und eine bessere Marktüberwachung zu verbessern.
Im Folgenden wird ein detaillierter Überblick über die Produktsicherheitsverordnung, die neuen Pflichten der Wirtschaftsakteure und die spezifischen Anforderungen für den Online-Handel geboten.
欧洲信息技术法对各国信息技术法的影响是多方面的。一方面，它要求成员国将本国法律与欧盟要求相协调。这将使整个欧盟的 IT 法协调一致，从而促进跨境贸易和数据交换。其次，它为规范信息技术服务建立了一个共同的法律框架，为供应商和用户提供了法律确定性。第三，通过鼓励成员国使其立法现代化并适应技术发展，它可以成为国家信息技术立法改革的催化剂。
一名专注于欧洲的 IT 法律师有助于认清全局，并从一开始就对国家法规进行解释，从而避免胜诉。
欧盟范围内的 IT 法–有些东西正向您走来……
IT法律，包括与数字化相关的法律问题，是欧盟在欧洲IT法律议程中的首要议题。您应该做好准备，事后清理比事前处理更耗时（因此也更昂贵）。今天，欧洲 IT 法必须成为每家数字化公司的首要议程–等待已不再是一种选择！
欧盟的数字化政策已变得极为复杂，而您在 IT 法律方面的预期可能只是间接的。我们希望并将至少简要介绍所有重要主题，当然，IT 法律专业律师延斯-费纳（Jens Ferner）将为您提供建议：
Bereits im April 2023 hat die Kommission einen Vorschlag für einen Cyber Solidarity Act („EU-Cyber-Solidaritätsakt“) zur Stärkung der Cybersicherheitskapazitäten in der EU angenommen. Er soll die Erkennung von und das Bewusstsein für Cybersicherheitsbedrohungen und -zwischenfälle fördern, die Abwehrbereitschaft kritischer Infrastrukturen stärken und die Solidarität, das konzertierte Krisenmanagement und die Reaktionsfähigkeit der Mitgliedstaaten verbessern. Hierbei geht es auch um einen „European Cyber Shield“.
Die europäische Plattformregulierung ist ein vielschichtiges Thema, das sich über mehrere Rechtsakte erstreckt. Diese Rechtsakte sind für IT-Rechtler von grundlegender Bedeutung, da sie die Grundlage für das Verständnis und die Anwendung des Rechtsrahmens in der digitalen Welt bilden. Hier zeigt sich ganz besonders, warum im IT-Recht nicht nur auf nationaler Ebene, sondern vielmehr im Bereich des europäischen IT-Rechts gedacht werden muss.
Im Folgenden geht es um einige der wichtigsten Rechtsakte, die die Regulierung von Plattformen, Websites und Daten in der EU regeln.
Die ENISA hat einen Bericht veröffentlicht, der einen Überblick über die aktuellen Cybersicherheitspraktiken in der Lieferkette gibt, die von großen Organisationen in der EU angewandt werden. Er basiert auf den Ergebnissen einer Studie der ENISA aus dem Jahr 2022, die sich auf die Investitionen der Cybersicherheitsbudgets von Organisationen in der EU konzentrierte.
Weitere Beiträge zum Thema IT-Sicherheit im Unternehmen:
Das Landgericht Tübingen (4 O 193/21) konnte zur Eintrittspflicht einer Cyber-Versicherung feststellen, dass allein der Umstand, dass nicht alle Server mit aktuellen Sicherheitsupdates ausgestattet waren, einen Leistungsanspruch gegen den Versicherer unberührt lässt. Jedenfalls dann nicht, wenn der Cyber-Angriff unter Ausnutzung einer bekannten Windows-Schwachstelle (hier: „Pass-the-Hash„) erfolgte und dadurch die Erlangung von Microsoft-Administratorenrechten für alle Server möglich war.
Denn: Die insoweit in Rede stehende Verletzung einer Anzeigepflicht ist weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht ursächlich (Ausnahme: arglistiges Verhalten des Versicherungsnehmers). Die Entscheidung verdeutlicht zugleich, wie wichtig die richtige juristische Handhabe des Schadensfalls ist. Dabei droht eine erhebliche Haftung für die Geschäftsleitung. Update: Die Entscheidung ist angeblich beim OLG Stuttgart (7 U 262/23) in der Berufung.
NIS2UmsuCG: Zur Umsetzung der NIS2-Richtlinie liegt inzwischen der Referentenentwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG) vor.
Es zeichnet sich ab, dass das BSI-Gesetz sich verändern wird: Ursprünglich angetreten, um die Kompetenzen und Maßnahmen des BSI zu regeln, wandelt es sich immer mehr zum Cybersicherheits-Regelungswerk. Dies war mit dem IT-Sicherheitsgesetz schon absehbar, wurde mit dem IT-Sicherheitsgesetz 2.0 aufgebohrt und wird nun auf ein vollkommen neues Level gehoben. Insbesondere die Privatwirtschaft muss sich warm anziehen.
Hinweis zum laufenden Stand des Gesetzgebungsverfahrens: Eigentlich muss die NIS2-Richtlinie bis Mitte Oktober umgesetzt sein. Es gibt aber erst seit Mai 2024 überhaupt Referentenentwürfe, was bereits Zweifel daran weckt, ob das rechtzeitig was wird. Mit Blick hierauf wurde ein Absatz dazu aufgenommen, was eine verspätete Umsetzung bedeutet. Der Artikel wurde auf den Stand des zweiten Referentenentwurfs (Bearbeitungsstand: 24.06.2024) gebracht.
Es ist so weit: Die NIS2-Richtlinie wird endlich kommen. Schon Ende des Jahres 2020 hatte man erkannt, dass die bisherige NIS-Richtlinie den Anforderungen nicht mehr hinreichend gewachsen ist und es wurde – entsprechend der Mitteilung über die Gestaltung der digitalen Zukunft Europas – die Überprüfung der Richtlinie bis Ende des Jahres 2020 beschleunigt, eine Folgenabschätzung durchgeführt und ein neuer Vorschlag vorgelegt.
Cyber Resilience Act, CRA: In der EU wurde ein Vorschlag für eine Verordnung über Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, das sogenannte Gesetz über Cyberresilienz, vorgelegt. Dies soll die Cybersicherheitsvorschriften stärken, um sicherere Hardware- und Softwareprodukte zu gewährleisten.
Hard- und Softwareprodukte sind aus Sicht der EU mit zwei großen Problemen konfrontiert, die die Kosten für die Nutzer und die Gesellschaft erhöhen:
ein geringes Maß an Cybersicherheit, das sich in weitverbreiteten Schwachstellen und der unzureichenden und inkohärenten Bereitstellung von Sicherheitsaktualisierungen zu deren Behebung widerspiegelt, und
unzureichendes Verständnis und unzureichender Zugang der Nutzer zu Informationen, wodurch sie daran gehindert werden, Produkte mit angemessenen Cybersicherheitseigenschaften auszuwählen oder sie auf sichere Weise zu nutzen.
Die Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vor der Nutzung von Virenschutzsoftware des Unternehmens Kaspersky ist rechtmäßig. Das hat das Oberverwaltungsgericht NRW (4 B 473/22) am 28.4.22 entschieden und in den Leitsätzen der Entscheidung ausgeführt:
Unabhängig davon, inwieweit staatliches Informationshandeln einfachgesetzlicher Normierung zugänglich ist, besteht eine Grundrechtsbindung aus Art. 12 Abs. 1 GG, wenn solches Handeln zwar die Berufstätigkeit nicht unmittelbar berührt, aber Rahmenbedingungen der Berufsausübung verändert und in Zielsetzung und mittelbar-faktischen Wirkungen einem Grundrechtseingriff als funktionales Äquivalent gleichkommt.
Die Grundrechtsbindung hindert staatliche Stellen nicht daran, sich überhaupt zu grundrechtlich geschützten Bereichen – auch kritisch – zu äußern. Grundrechte schützen nicht vor der Verbreitung von inhaltlich zutreffenden und unter Beachtung des Gebots der Sachlichkeit sowie mit angemessener Zurückhaltung formulierten Informationen durch einen Träger der Staatsgewalt.
Angesichts der Vielgestaltigkeit möglicher Risiken für die Sicherheit in der Informationstechnik ist es verfassungsrechtlich unbedenklich, dass der Gesetzgeber den Begriff der Sicherheitslücke im Sinne des § 2 Abs. 6 BSIG gerade als Tatbestandsvoraussetzung für eine amtliche Warnung weit gefasst hat, um bislang unvorhersehbare Fallgestaltungen abzudecken.
Liegen hinreichende Anhaltspunkte dafür vor, dass die Sicherheitsstandards insbesondere zum Schutz der Verfügbarkeit, Integrität und Vertraulichkeit von Informationen (§ 2 Abs. 2 Satz 4 BSIG) nicht mehr gewährleistet werden können, sind zugleich hinreichende Anhaltspunkte dafür gegeben, dass von dem betroffenen Programm oder informationstechnischen System eine Gefahr für die Sicherheit in der Informationstechnik ausgeht.
Ob hinreichende Anhaltspunkte dafür vorliegen, dass von einem Produkt aufgrund einer Sicherheitslücke Gefahren für die Sicherheit in der Informationstechnik ausgehen, ist anhand aller mit vernünftigem Aufwand feststellbaren Umstände oder Ereignisse zu beurteilen, die nachteilige Auswirkungen auf die Sicherheit von Informationssystemen haben können. Mit Blick auf das mit dem BSIG verfolgte Ziel der umfassenden Gewährleistung der Sicherheit der Informationstechnik sind sowohl technische Kriterien als auch staatliche Sicherheitsinformationen einzubeziehen.
Bitte beachten Sie: In der hier noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen. Die Entscheidung wird auch mit Blick darauf wegweisend sein, insbesondere in den umfangreichen Ausführungen zu den rechtlichen Grundlagen der BSI-Warnung findet sich sehr viel, was zu einer Ausweitung der Möglichkeit von BSI-Warnungen führt. Speziell zeigt der Beschluss auf, dass man auch über externe Begutachtungen selbst bei eigener Einsichtnahme in den Quelltext hinweggehen darf, wenn Unsicherheiten („weiße Flecken“) bei der Beurteilung verbleiben.
Grundlage der Warnung sind dabei Sicherheitslücken nicht im engeren, sondern im weitesten Sinne, sodass etwa auch die (behördliche) Einflussnahme auf den Hersteller des Produkts eine Rolle spielen darf – wobei Sicherheitspolitische Erwägungen neben tatsächlichen Bedrohungen in die Einschätzung miteinbezogen werden dürfen!
Bisher besteht die NIS-Richtlinie, die aktualisiert werden muss: Der Ausschuss für Industrie, Forschung und Energie (ITRE, „Committee on Industry, Research and Energy“) des EU-Parlaments hat nun am 28. Oktober 2021 den Vorschlag der NIS2-Richtlinie angenommen. Die NIS2-Richtlinie würde den Anwendungsbereich massiv erweitern, drastische Bußgelder einführen, Meldepflichten erhöhen und weitere Mindeststandards setzen.
