News
Umsetzung von Risikomanagementmaßnahmen im Zusammenhang mit der NIS-2-Richtlinie und Rückgriff auf Maßnahmen nach Art. 32 DSGVO
Die Umsetzung der Risikomanagementmaßnahmen nach der NIS-2-Richtlinie und dem BSIG als Umsetzungsgesetz scheint für viele betroffene Organisationen im ersten Moment herausfordernd. Dies liegt häufig daran, dass die eher abstrakt wirkenden Vorgaben wie z.B. „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ Organisationen abschrecken, da nicht auf Anhieb erkennbar ist, was konkret zu tun ist.
Allerdings kann bei der Umsetzung oftmals auf bereits bestehende Konzepte zurückgegriffen werden. Viele Organisationen haben beispielsweise technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO oder IT-Sicherheitsmaßnahmen in Bezug auf Unternehmensdaten und IT-Strukturen bereits umgesetzt, um ihre Pflichten nach der DSGVO und anderen Gesetzen zu erfüllen. Auch wenn die NIS-2-Richtlinie und die DSGVO unterschiedliche Schutzzwecke verfolgen, kann in der Praxis zu einem gewissen Grad auf die bereits nach Art. 32 DSGVO implementierten Vorkehrungen aufgebaut werden. NIS-2 und das BSIG verlangen also gerade nicht, dass Organisationen alles „neu“ erstellen und aufbauen. Vielmehr sollten Synergien genutzt werden, um den Umsetzungsaufwand zu reduzieren.
Dies betrifft z.B. die Verschlüsselung und Kryptographie. Nach § 30 Abs. 2 Nr. 8 BSIG müssen besonders wichtige und wichtige Einrichtungen Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren haben. Die Verschlüsselung ist auch nach Art. 32 Abs. 1 lit. a Alt. 2 DSGVO zu berücksichtigen, indem personenbezogene Daten z.B. bei der Speicherung und der Übermittlung angemessen zu verschlüsseln sind, um das Gewährleistungsziel der Vertraulichkeit zu erfüllen. Dabei sind z.B. die technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu berücksichtigen, die ebenso für § 30 Abs. 2 Nr. 8 BSIG gelten. Denn auch diese Vorschrift bezweckt den Schutz von sensiblen Daten vor unbefugtem Zugriff.
Auch bei der Anforderung, nach § 30 Abs. 2 Nr. 3 BSIG den Betrieb durch Maßnahmen aufrechtzuerhalten, wie Backup-Management und die Wiederherstellung nach einem Notfall und Krisenmanagement, gibt es Ähnlichkeiten zu Maßnahmen nach der DSGVO. Zum einen ist nach Art. 32 Abs. 1 lit. b Var. 3 DSGVO die Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen. Damit ist vor allem die Resilienz der zur Verarbeitung personenbezogener verwendeten Systeme gemeint. Zum anderen nennt Art. 32 Abs. 1 lit. c DSGVO die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Insgesamt lässt sich auch hier auf bereits vorhandene Konzepte aufbauen, die schon im Rahmen von Art. 32 DSGVO umzusetzen sind: Für die Verfügbarkeit personenbezogener Daten ist eine kontinuierliche Sicherung im Rahmen eines Informationssicherheits-Managementsystems (ISMS) sowie ein Notfallplan erforderlich. Auch hierzu gibt es Empfehlungen des BSI.
Zwar enthält § 30 Abs. 2 BSIG auch Vorgaben, die sich in der DSGVO nicht wiederfinden. Dazu gehören etwa Maßnahmen zur Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG). Allerdings ist auch die Umsetzung dieser Vorgabe handhabbar. Die Gesetzesbegründung zum BSIG weist hierfür u.a. auf den Abschluss vertraglicher Vereinbarungen mit Zulieferern und Dienstleistern im Hinblick auf Risikomanagementmaßnahmen hin und empfiehlt zudem die Durchführung von External Attack Surface (EAS) Scans. Ein weiteres Beispiel sind grundlegende Schulungen und Sensibilisierungsmaßnahmen zur IT-Sicherheit (§ 30 Abs. 2 Nr. 7 BSIG). Diese unterscheiden sich zwar inhaltlich von Schulungen zur DSGVO (nach Art. 39 Abs. 1 lit. b DSGVO soll der Datenschutzbeauftragte Mitarbeiter schulen). Allerdings kann auch hier auf bestehende unternehmerische Prozesse für die Umsetzung aufgesetzt werden.
Fazit
Viele Organisationen schrecken derzeit vor der Umsetzung der Vorgaben aus der NIS-2-Richtlinie und dem BSIG zurück, ohne konkret geprüft zu haben, ob sie ggf. mit bestehenden TOM aus der DSGVO schon einige Anforderungen erfüllen – und wie groß der Umsetzungsaufwand überhaupt wäre. Unsere Beispiele zeigen, dass nicht alle Risikomanagementmaßnahmen neu gedacht werden müssen, sondern dass einiges schon aufgrund der Erfüllung von Art. 32 DSGVO vorhanden sein wird oder zumindest in Ansätzen vorliegt. Ein Rückgriff auf die nach Art. 32 getroffenen TOM allein reicht zwar nicht aus, da die Maßnahmen des BSIG deutlich umfangreicher sind. Die TOM nach der DSGVO können jedoch als Grundstein für die weiteren Maßnahmen genutzt werden. Vor dem Hintergrund, dass die in § 30 Abs. 2 BSIG genannten zehn Mindestmaßnahmen zum Risikomanagement bereits seit dem 6. Dezember 2025 gelten, sollte die Umsetzung schnellstmöglich sichergestellt werden, um die Compliance im Hinblick auf das Thema NIS-2 ausreichend umzusetzen. Wie die Maßnahmen im Einzelnen erfüllt werden können und wo sich auf bereits getroffene Maßnahmen nach der DSGVO oder anderen Gesetzen aufbauen lässt, haben wir bereits evaluiert. Bei Interesse melden Sie sich bitte gern bei uns unter info@piltz.legal.
News
Wer ist „Geschäftsleitung“ nach dem BSIG? Prokurist, CIO, Komplementär im Fokus
Das durch die europäische NIS-2-Richtlinie geänderte Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) bringt eine ganze Reihe an Neuerungen im Bereich der IT-Sicherheit. Im Gegensatz zu sonstigen Rechtsakten der europäischen Digitalgesetzgebung enthalten die Änderungen des BSIG durch die NIS-2-Richtlinie eine neue Vorgabe, die explizit Geschäftsleitungen von BSIG-relevanten Unternehmen und sonstigen Stellen besonders interessieren dürfte.
Vom Abwasser bis zur IT — Eigenbetriebe als potenziell wichtige oder besonders wichtige Einrichtungen nach dem BSIG
Hinsichtlich öffentlicher Stellen der Länder verhält sich das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) sehr zurückhaltend. Nicht zuletzt aufgrund der Verteilung der Gesetzgebungskompetenzen zwischen Bund und Ländern finden sich zwar insbesondere in § 29 und Teil 3 Kapitel 3 BSIG Regelungen betreffend die Bundesverwaltung. Entsprechende Regelungen in Bezug auf Verwaltungen der Länder fehlen indes, sodass man auf die Idee kommen könnte, dass insbesondere Einrichtungen außerhalb der Bundes- und Landesverwaltung nicht vom BSIG adressiert werden.
Konzern-IT-Gesellschaften unter der NIS-2-Richtlinie – Neue Herausforderungen für Managed Service Provider und Managed Security Service Provider?
Viele Konzerne oder Unternehmensgruppen betreiben eine eigene IT-(Service) Gesellschaft, die bspw. ERP, MS 365 & Co. ausschließlich für andere Konzerngesellschaften bereitstellt. Mit Geltung der neuen Vorgaben der NIS-2-Richtlinie stellt sich die Frage, ob diese eigene interne IT nach dem deutschen NIS-2-Umsetzungsgesetz (= § 2 Nr. 26 BSIG) als „Managed Service Provider“ (MSP) einzuordnen ist – und sich daher spezifische Pflichten ergeben.
Blackout in Berlin – Meldepflichten für Unternehmen?
Von dem großflächigen Stromausfall im Berliner Südwesten sind etwa 2.200 Unternehmen betroffen. Viele davon müssen wohl leider damit rechnen, noch bis Donnerstag nicht wieder an das Stromnetz angeschlossen zu werden. Der Blackout hat für Unternehmen auch eine (datenschutz- und IT-Sicherheits-)rechtliche Dimension. Die Datenschutz-Grundverordnung sowie das BSI-Gesetz sehen für relevante Sicherheitsvorfälle Meldepflichten vor.
Private Nutzung betrieblicher E-Mail-Postfächer
Für die Zulässigkeit von Zugriffen auf Mitarbeiter-E-Mails ist die Anwendbarkeit des Fernmeldegeheimnisses höchst relevant. In der Vergangenheit wurden Arbeitgeber oft als Telekommunikationsanbieter eingestuft, wenn eine private Nutzung erlaubt war. Seit der Neuregelung der relevanten Vorschriften im Jahr 2021 vertreten die Aufsichtsbehörden zunehmend, dass das Fernmeldegeheimnis nicht greift. Auch die Bundesnetzagentur lehnt diese Einordnung in einem neuen Papier mit überzeugenden Argumenten ab. Aber welche Folgen hat das für die Unternehmen?
Mit dieser Frage befasst sich der aktuelle Beitrag von Dr. Carlo Piltz und Ilia Kukin in der K&R. Der Volltext ist hier abrufbar.
Handelsblatt-Ranking - Deutschlands „Beste Arbeitgeber“ – Platz 11 von 312 Arbeitgebern
Wir freuen uns sehr, in diesem Ranking Platz 11 von über 300 teilnehmenden Kanzleien erreicht zu haben und dafür vom Handelsblatt mit dem Siegel „Beste Arbeitgeber“ ausgezeichnet worden zu sein. Diese Auszeichnung bestätigt unseren Anspruch, ein Arbeitsumfeld zu schaffen, in dem sich alle Kolleginnen und Kollegen wohlfühlen und ihre Stärken entfalten können.
Geführt wird unsere Kanzlei von Prof. Burghard Piltz und Dr. Carlo Piltz, die sich seit vielen Jahren für eine moderne, wertschätzende und zukunftsorientierte Arbeitskultur einsetzen.
Wir danken allen Mitarbeitenden für ihr Engagement und ihr Vertrauen.