Medienberichten zufolge hat die Anzahl und Schwere von Ran­som­wa­re-An­grif­fen – nicht zuletzt aufgrund der MO­VEit-Si­cher­heits­lü­cke – im Jahr 2023 ein neues Rekordniveau erreicht: Nie zuvor waren weltweit so viele Privatpersonen, Behörden und Unternehmen von erfolgreichen Ran­som­wa­re-At­ta­cken betroffen wie in diesem Jahr. Ebenfalls auf Rekordniveau bewegt sich die Re­gu­lie­rungs­dich­te, mit der sich Unternehmen im Bereich der Cybersicherheit gegenwärtig konfrontiert sehen. Während sich der Cyber Resilience Act noch im Ge­setz­ge­bungs­ver­fah­ren befindet (Rat und Parlament haben hier Ende November eine vorläufige Ei­ni­gung er­zielt), wurden in Gestalt der NIS2-Richtlinie – flankiert von der CER-Richtlinie – und dem Digital Operational Resilience Act (DORA) Anfang 2023 umfangreiche regulatorische Vorgaben in Kraft gesetzt, um Unternehmen in Schlüs­sel­sek­to­ren der EU zur Gewährleistung eines hohen Cy­ber­si­cher­heits­ni­veaus zu verpflichten. Viel Zeit zur Umsetzung der neuen Vorgaben bleibt nicht: Die Anforderungen der NIS2- und CER-Richtlinien sind von den Mitgliedstaaten ab dem 18. Oktober 2024 anzuwenden, die Vorgaben des DORA gelten ab dem 17. Januar 2025. Mithin gilt es, das Jahr 2024 für die Implementierung der neuen Anforderungen zu nutzen. Der Aufwand und die Kosten hierfür dürften erheblich sein: Schätzungen zufolge soll allein die Umsetzung der Anforderungen der NIS2-Richtlinie in Deutschland unternehmerische Mehrkosten in Höhe von EUR 7,3 Mrd. bedingen. Etablierung eines unionsweiten Mindestniveaus an Cybersicherheit durch die NIS2-Richtlinie Die gesetzgeberische Umsetzung der NIS2-Richtlinie in Deutschland läuft: Zuletzt hat das BMI im September 2023 ein Dis­kus­si­ons­pa­pier veröffentlicht, das eine Änderung des BSI-Gesetzes (BSIG) vorsieht und auf die Umschreibung des An­wen­dungs­be­reichs und die geplanten un­ter­neh­me­ri­schen Pflichten zugeschnitten ist. Kurz zuvor, im Juli 2023, wurde ein Re­fe­ren­ten­ent­wurf für das die CER-Richtlinie umsetzende KRI­TIS-Dach­ge­setz veröffentlicht. Von den neuen Vorgaben werden künftig neben der öffentlichen Verwaltung und digitalen Diensten insbesondere Post- und Kurierdienste, die Ab­fall­be­wirt­schaf­tung, die Chemikalien- und Le­bens­mit­tel­pro­duk­ti­on (einschließlich der Verarbeitung und des Vertriebs) und die Herstellung von medizinischen und elektronischen Produkten, Maschinen und Fahrzeugen erfasst sein. An die Stelle der bisherigen an­la­gen­spe­zi­fi­schen Schwellenwerte der BSI-KritisV werden die KMU-Schwel­len­wer­te für kleine und mittlere Unternehmen treten, d.h. im Falle der Beschäftigung von mindestens 50 Mit­ar­bei­ten­den oder eines Jahresumsatzes und einer Jah­res­bi­lanz­sum­me von jeweils über EUR 10 Mio. ist grundsätzlich von einer Anwendbarkeit der neuen Vorgaben auszugehen. Bestimmte Akteure werden darüber hinaus auch ohne Überschreitung dieser Schwellenwerte in den An­wen­dungs­be­reich des neuen BSIG fallen. Neben einer grundsätzlichen Re­gis­trie­rungs­pflicht und vor­fall­ab­hän­gi­gen Meldepflichten (mit einer Erstmeldefrist von 24 Stunden) müssen erfasste Unternehmen künftig ein umfassendes, auch die Lieferkette abdeckendes Risikomanagement betreiben, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit von IT-Systemen, Komponenten und Prozessen zu vermeiden und Auswirkungen von Si­cher­heits­vor­fäl­len gering zu halten. Die Verantwortung für die Ausgestaltung und Umsetzung der erforderlichen Maßnahmen ist zwingend auf Leitungsebene zu verorten, einschließlich einer Haftung des Leitungsorgans gegenüber dem Unternehmen für den Fall einer unzureichenden Implementierung. Die Europäische Kommission ist verpflichtet, die Anforderungen für bestimmte Bereiche in Gestalt von Durch­füh­rungs­rechts­ak­ten bis zum 17. Oktober 2024 zu konkretisieren. Im Übrigen gilt es im Laufe des kommenden Jahres die aktuellen nationalen Um­set­zungs­be­stre­bun­gen in den Blick zu nehmen, zumal diese überschießende nationale An­wen­dungs­be­rei­che und Anforderungen enthalten können (wie auch der Entwurf des deutschen Um­set­zungs­ge­set­zes). Harmonisierung der Cybersicherheit und Be­triebs­sta­bi­li­tät im Finanzsektor durch den DORA Der unmittelbar in den Mitgliedstaaten anwendbare DORA weist inhaltlich ähnliche Spezifika auf. Sein weiter An­wen­dungs­be­reich erfasst neben Fi­nanz­un­ter­neh­men aus insgesamt 20 Be­tä­ti­gungs­fel­dern (einschließlich der betrieblichen Altersvorsorge) auch Unternehmen, die den Fi­nanz­un­ter­neh­men digitale Dienste und Datendienste einschließlich Hard­ware­dienst­leis­tun­gen zur Verfügung stellen (sog. IKT-Dritt­dienst­leis­ter). Zentraler Bestandteil des DORA sind sehr dezidierte und feingliedrige Anforderungen an das IKT-Ri­si­ko­ma­nage­ment. Die Verantwortung für dessen Umsetzung trägt wiederum das Leitungsorgan des Fi­nanz­un­ter­neh­mens. Schwerwiegende IKT-bezogene Vorfälle sind der BaFin zu melden. Schwachstellen sollen durch das Testen der digitalen operationalen Resilienz erkannt werden. Darüber hinaus enthält der DORA zahlreiche Regelungen, um Risiken, die für Fi­nanz­un­ter­neh­men im Zusammenhang mit der Nutzung von IKT-Dienst­leis­tun­gen entstehen können, zu mitigieren. Bis Juli 2024 werden die Regelungen durch die Europäischen Auf­sichts­be­hör­den (European Supervisory Authorities (ESA)) noch konkretisiert. Zudem gilt es die nationalen Um­set­zungs­be­stre­bun­gen zu der flankierenden Richtlinie 2022/2556 im Auge zu behalten. Das BMF hat hierzu zuletzt am 23. Oktober 2023 einen Re­fe­ren­ten­ent­wurf veröffentlicht.

Die No­vel­lie­rungs­wel­le im europäischen Produktrecht ebbt nicht ab: Am gleichen Tag, an dem Ende Juli – gut zweieinhalb Jahre nach Ver­öf­fent­li­chung des ersten Entwurfs der EU-Kommission – die finale...

Kurz vor Jahresende informieren wir Sie in unserem Update noch einmal über Wissenswertes aus den Bereichen Produktion, Beschaffung und Vertrieb. Ein großes Thema bleibt die Reform des Kaufrechts zum...

Kurz vor Ende der Le­gis­la­tur­pe­ri­ode hat der Gesetzgeber noch mehrere Ge­setz­ge­bungs­ver­fah­ren zum Abschluss gebracht. Relevant für Unternehmen mit B2C-Geschäft ist dabei beispielsweise das in der letzten...

München – Das Stuttgarter Start-up Flip hat für seine Mitarbeiter-App im Zuge einer Seed-Fi­nan­zie­rungs­run­de rund 3,6 Millionen Euro eingeworben. Das 2018 gegründete Start-up bietet Unternehmen mit...