Alle Informationen auf der Internetseite "www.steffers.de" und deren Unterseiten dienen der allgemeinen Information.
Sie stellen keine Rechtsberatung dar und ersetzen nicht die Einholung eines Rechtsrates.
Alle Angaben erfolgen nach sorgfältiger Prüfung, jedoch ohne Gewähr für die Richtigkeit, Vollständigkeit und Aktualität.
Die Liste beruht hauptsächlich auf den Fragen und Antworten zu NIS-2 des Bundesamt für Sicherheit in der Informationstechnik.
Die NIS2 ist eine Richtlinie, die die Sicherheit und Integrität von Netzwerken und Informationssystemen in der Europäischen Union (EU) stärken soll. Sie betrifft eine breite Palette von Organisationen und Unternehmen.
Die Hauptabsicht der NIS2-Richtlinie besteht darin, die Widerstandsfähigkeit von Netz- und Informationssystemen in der Europäischen Union gegenüber Cyberbedrohungen zu erhöhen. Sie fokussiert sich auf kritische Sektoren wie Energie, Gesundheitswesen, Verkehr und digitale Infrastruktur. Das Ziel ist es, EU-Länder dabei zu unterstützen, effektive Maßnahmen zur Erkennung, Prävention und Bewältigung von Cyberangriffen zu entwickeln und umzusetzen.
1. Allgemeines
Die EU hat mit der Richtlinie (EU) 2022/2555 vom 14. Dezember 2022, genannt NIS-2-Richtlinie, Cybersicherheitsanforderungen für Organisationen, die wesentliche Dienste erbringen oder Tätigkeiten ausüben, festgelegt. Die EU-Richtlinie ist bis zum 17. Oktober 2024 in nationales Recht zu überführen.
Zur nationalen Umsetzung in Deutschland wurde das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“, kurz „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG), entwickelt. Der Entwurf wurde am 24.07.2024 vom Kabinett beschlossen und geht nun ins parlamentarische Gesetzgebungsverfahren.
Durch das NIS2UmsuCG wird das BSI-Gesetz erheblich überarbeitet, hier im Folgenden als BSIG-E bezeichnet.
Da bislang nur ein Entwurf des Gesetzestextes vorliegt, werden die Inhalte bis zum rechtskräftigen Gesetz vermutlich noch Änderungen unterworfen sein. Eine Umsetzung der Aktivitäten ist erst nach Inkrafttreten des Gesetzes vorgeschrieben. Eine frühere Umsetzung oder zumindest Vorbereitung auf eine zeitnahe Umsetzung nach Inkrafttreten ist aus unserer Sicht jedoch sinnvoll.
§ 28 BSIG-E benennt zwei Kategorien von Einrichtungen, für die Anforderungen zu erfüllen sind: „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“.
Damit eine Einrichtung eine besonders wichtige Einrichtung ist, muss ihre Einrichtungsart in Anlage 1 aufgeführt sein. Die Anlage ist umfangreich, aber folgende Sparten gehören u.a. dazu :
Energie, Transport und Verkehr Finanz- und Versicherungswesen, Gesundheit, Wasser, Informationstechnik und Telekommunikation, Weltraum.
Zusätzlich muss die Organisation entweder
Betreiber kritischer Anlagen gemäß BSI-KritisV sind unabhängig von diesen Kriterien immer besonders wichtige Einrichtungen.
Damit eine Einrichtung eine wichtige Einrichtung ist, muss ihre Einrichtungsart in Anlage 1 oder Anlage 2 BSIG-neu aufgeführt sein.
Zusätzlich muss die Organisation entweder
mindestens 50 Mitarbeitende beschäftigen oder
einen Jahresumsatz und eine Jahresbilanzsumme von über 10 Mio. Euro aufweisen.
Bin ich betroffen?
Ob Ihr Unternehmen voraussichtlich unter den Anwendungsbereich der NIS-2-Richtlinie der EU fallen wird, können Sie mit der NIS-2-Betroffenheitsprüfung (Bundesamt für Sicherheit in der Informationstechnik) unverbindlich und selbständig prüfen. Zusätzlich veröffentlicht ist der Entscheidungsbaum, der der NIS-2-Betroffenheitsprüfung zugrunde liegt.
Die im BSIG-E aufgestellten Anforderungen sind grundsätzlich von besonders wichtigen Einrichtungen und wichtigen Einrichtungen gleichermaßen zu erfüllen. Unterschiede ergeben sich in der Bewertung der zu bestimmenden Sicherheitsmaßnahmen.
Betreiber kritischer Anlagen müssen – wie auch bisher im § 8a BSIG-alt – Maßnahmen für Systeme, Komponenten und Prozesse umsetzen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen bzw. Anlagen maßgeblich sind.
Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen Maßnahmen für Systeme, Komponenten und Prozesse umsetzen, die zur Erbringung ihrer Dienste verwendet werden. Eine Einschränkung auf bestimmte Dienste ist nicht erkennbar, daher gehen wir davon aus, dass die Maßnahmen für die gesamte Einrichtung umzusetzen sind.
Die umzusetzenden Sicherheitsmaßnahmen richten sich nach einer Risikoanalyse durch die Einrichtung. „Dabei sind das Ausmaß der Risikoexposition[,] die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.“ (§ 30 Abs. 1 Satz 2 BSIG-E)
Um diese Frage beantworten zu können, sollten Sie sich vorerst folgende Fragen stellen:
Was passiert, wenn vertrauliche Dateien / Dokumente meiner Kunden durch eine Schwachstelle auf meinen Systemen veröffentlicht bzw. gehackt wurden? (Zugangs- und Zugriffskontrolle)
Wie lange kann ich auf die wichtigsten Dateien / Programme / Webseiten / Datenbanken / Server verzichten? (Verfügbarkeitskontrolle)
Bin ich vor einer Infektion mit einem Verschlüsselungstrojaner/Ransomware optimal geschützt?
Falls Sie noch nicht mit den Fragen bezüglich des Schutzwertes Ihrer Daten und möglichen Gefährdungen auseinandergesetzt haben, sollten Sie dies dringend nachholen.
Im Rahmen einer Risikoanalyse werden die relevanten Gefährdungen (z. B. Brand, Wassereinbruch, Diebstahl der Server, Hackerangriffe) ermittelt und bewertet. Zu diesem Zweck werden in einer Strukturanalyse u. a.
die Infrastruktur (Gebäude, Serverräume),
die Netzkomponenten (Firewall, Switches, Router) und Verbindungen (Ethernet, Backbone-Technik, Internet- und Remote-Anbindung),
die IT-Systeme (Client, Server, Laptop, Smartphones) und die Anwendungen erfasst.
Auf Grundlage dieser Aufstellung werden dann die relevanten Gefährdungen festgestellt und die Relevanz für das Unternehmen ermittelt.
Gemäß § 30 Abs. 1 BSIG-E müssen die aus der Risikoanalyse erfolgenden Maßnahmen „geeignet, verhältnismäßig und wirksam“ sein. Maßnahmen können technischer oder organisatorischer Art sein. Die Auswahl der Maßnahmen anhand der Risikobetrachtung und ihre Umsetzung muss dokumentiert werden.
Gemäß § 30 Abs. 2 BSIG-E „sollen [sie] den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.“
§ 30 Abs. 2 BSIG-E benennt zehn Themen, die mindestens in Maßnahmen umgesetzt werden müssen. In eigenen Worten sind diese:
Aus der Risikoanalyse sollte sich ergeben, in welchem Umfang die Maßnahmen durchzuführen sind. Diese werden sich nach Wichtigkeit Ihrer Einrichtung und der „Risikoexposition“ unterscheiden.
1. Benennen Sie zuständige Personen
Suchen, benennen und befähigen Sie mindestens zwei Personen Ihres Unternehmens, eine koordinierende Rolle für die Informationssicherheit zu übernehmen
2. Übernehmen Sie als Leitung die Verantwortung
Bereiten Sie sich als Unternehmensleitung darauf vor, Verantwortung im Bereich Risikomanagement übernehmen zu können und informieren Sie sich über entsprechende Schulungsangebote
Auf der Webseite Management von Cyber-Risiken der Allianz für Cyber-Sicherheit finden Sie ein Handbuch und ein Toolkit für Unternehmensleitungen.
3. Machen Sie eine (erste) Bestandsaufnahme Ihrer Informationssicherheit
Als KMU führen Sie einen CyberRisikoCheck durch.
Informationen finden Sie unter www.cyberrisikocheck.de.
Einen Einstieg bietet der NIS-2 CyberRisikoCheck nach DIN SPEC 27076.
Als großes Unternehmen nehmen Sie bitte professionelle Hilfe in Anspruch.
4. Verbessern Sie Ihre Informationssicherheit kontinuierlich
Beziehen Sie sich dabei auf die unter Welche Maßnahmen müssen mindestens umgesetzt werden? genannten Themen.
5. Bereiten Sie sich auf die Meldepflicht und den Empfang von Warnungen / Lageberichten vor
Eine Meldepflicht für Sicherheitsvorfälle wird kommen. Legen Sie Prozesse und Rollen fest, damit es im Fall der Fälle dann schnell geht.
Vor diesem Hintergrund müssen Unternehmen
Für einen adäquaten Schutz ist zu erörtern, welche Risiken es gibt, welche Bereiche besonders gefährdet sind und wie diese sich bestmöglich schützen lassen. So setzen medizinische Unternehmen die NIS2 zuverlässig um.
Eine E-Rechnung ist eine elektronische Rechnung, die in einem standardisierten Format nach den Vorgaben der europäischen Norm EN 16931 erstellt und versendet wird, um eine effiziente Verarbeitung zu ermöglichen. E-Rechnungen können in verschiedenen Formaten wie PDF, XML, EDI etc. vorliegen.
Die XRechnung ist eine spezielle Form der E-Rechnung, die in Deutschland für den Austausch von Rechnungen mit öffentlichen Auftraggebern vorgeschrieben ist. Sie basiert ausschließlich auf dem XML-Format.
Ab 01.01.2025 unterscheidet der Gesetzgeber nur noch zwischen E-Rechnung und sonstiger Rechnung. Eine E-Rechnung wird dabei in einem strukturiertem elektronischen Format ausgestellt, übermittelt und empfangen. Die E-Rechnung muss dann vom Empfänger elektronisch zu verarbeiten sein. Diese elektronische Verarbeitung trifft auf ein PDF nicht zu.
Somit gilt ab 01.01.2025 eine per E-Mail verschickte PDF-Rechnung nicht mehr als E-Rechnung.
Um den gesetzlichen Bestimmungen zu entsprechen muss die E-Rechnung automatisiert vom Empfänger ausgelesen, freigegeben, zur Zahlung angewiesen und archiviert werden. Durch die Integration ins DMS können Sie die Compliance sicherstellen und den Rechnungsverarbeitungsprozess optimieren.
Für Fragen stehen wir Ihnen gerne telefonisch unter 0251/53560-0 oder per Mail unter DMS-Team@steffers.de
Der Empfang und die Verarbeitung einer E-Rechnung im B2B-Geschäftsverkehr ist ohne vorherige Zustimmung bereits ab 1. Januar 2025 im Unternehmen zu ermöglichen.
Im Gegensatz zu früher ist für die Ausstellung der "neuen" E-Rechnung keine Zustimmung des Rechnungsempfängers mehr notwendig. Diese Zustimmung ist nur noch für elektronische Rechnungen erforderlich, die nicht den neuen Anforderungen entsprechen (wie z.B. PDF-Dateien), oder in Situationen, in denen keine E-Rechnungspflicht besteht (wie bei bestimmten steuerfreien Umsätzen oder Kleinbetragsrechnungen).
Beachten Sie: bei Rechnungen an Endverbraucher (B2C) ist deren Zustimmung weiterhin eine Voraussetzung für die elektronische Rechnungsstellung. Weiterhin ist das Versenden der E-Rechnung ab 01.01.2025 für alle Unternehmen zulässig. Eine PDF-Datei ist keine E-Rechnung und gilt als "sonstige Rechnung", die spätestens ab 2028 nicht mehr zulässig ist.
