ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: IT-Sicherheit

IT-Sicherheit: Beiträge zu NIS2, Cyber Resilience Act, DORA, Meldepflichten und Cyberangriffen.

  • Cyber Resilience Act: Meldepflichten für Hersteller seit 11. September 2026

    Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Pflicht folgt aus Art. 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847). Am selben Tag hat die ENISA die zentrale Meldeplattform, die Single Reporting Platform, freigeschaltet. Die übrigen Pflichten der Verordnung, etwa CE-Kennzeichnung und Konformitätsbewertung, gelten erst ab dem 11. Dezember 2027.

    Wer muss melden?

    Meldepflichtig sind Hersteller von Hardware und Software mit digitalen Elementen im Anwendungsbereich des CRA, also etwa vernetzte Verbrauchergeräte, Industriesteuerungen, eigenständige Software und zugehörige Datenverarbeitungslösungen aus der Ferne. Entscheidend ist: Die Meldepflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Wer heute Geräte im Markt hat, ist betroffen, auch wenn die Produkte noch keine CE-Kennzeichnung nach dem CRA tragen.

    Meldefristen nach Art. 14 CRA

    StufeFrist ab Kenntnis
    Frühwarnung24 Stunden
    Meldung mit erster Bewertung72 Stunden
    Abschlussbericht bei aktiv ausgenutzter Schwachstelle14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist
    Abschlussbericht bei schwerwiegendem Vorfallein Monat nach der 72-Stunden-Meldung

    Nach den Leitlinien der Kommission vom 27. Juli 2026 beginnt die Frist, sobald der Hersteller nach einer ersten Prüfung mit hinreichender Sicherheit von einer Ausnutzung oder Kompromittierung ausgeht. Ausnutzungen, die vor dem 11. September 2026 bekannt waren, müssen nicht nachgemeldet werden. Zusätzlich sind betroffene Nutzer zu informieren, gegebenenfalls alle Nutzer.

    So funktioniert die Meldung

    Gemeldet wird einmal über die Plattform der ENISA, gleichzeitig an die ENISA und das als Koordinator benannte CSIRT, in der Regel das des Mitgliedstaats der Hauptniederlassung in der EU. Für Deutschland ist das BSI zuständig. Der Zugang läuft über EU Login mit Zwei-Faktor-Authentifizierung. Je Hersteller gibt es einen primären und bis zu 20 weitere Vertreter. Zum Start ist die Plattform nur per Webformular und in englischer Sprache nutzbar. Die Wahl eines falschen Koordinators kann eine Meldung unwirksam machen.

    Die Delegierte Verordnung (EU) 2026/881 regelt, wann ein CSIRT eine Meldung zurückhalten darf, bevor es sie weitergibt. Sie ändert nichts an den Fristen für Hersteller.

    Bußgelder

    Verstöße gegen die Meldepflichten können mit bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

    Verhältnis zu NIS2 und DSGVO

    Ein Vorfall kann gleichzeitig eine CRA-Meldung, eine Meldung nach NIS2 an das BSI und eine Datenpannenmeldung nach Art. 33 DSGVO auslösen. Die Fristen und Empfänger unterscheiden sich. Wir empfehlen ein gemeinsames Incident-Playbook mit klarer Zuordnung, wer welche Meldung entscheidet und absendet.

    Was Hersteller jetzt brauchen

    • Registrierung der Vertreter auf der Plattform, bevor der erste Fall eintritt.
    • Ein Prozess für die Bewertung eingehender Schwachstellenhinweise mit Rufbereitschaft auch am Wochenende.
    • Aktuelle Software-Stücklisten (SBOM), um betroffene Produkte schnell zu identifizieren.
    • Verträge mit Zulieferern, die Informationspflichten über Schwachstellen in Komponenten regeln.

    Quellen: Art. 14 VO (EU) 2024/2847; Leitlinien der Kommission vom 27. Juli 2026; Delegierte VO (EU) 2026/881.

    Fragen dazu? Wir richten mit Ihnen Meldeprozesse und Lieferantenverträge ein. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu Cyber Resilience Act, NIS2, Cyberangriff und Datenpanne melden.

  • NIS2: Registrierungsfrist beim BSI abgelaufen

    Die verlängerte Frist für die Registrierung beim BSI nach dem NIS2-Umsetzungsgesetz ist am 31. Juli 2026 abgelaufen. Nach Presseberichten im Vorfeld des Fristablaufs waren von geschätzt rund 29.500 betroffenen Unternehmen zu diesem Zeitpunkt erst etwa 11.500 registriert. Wer bisher nicht geprüft hat, ob sein Unternehmen unter das neue BSI-Gesetz fällt, sollte das jetzt nachholen.

    NIS2 gilt in Deutschland seit Dezember 2025

    Das Gesetz zur Umsetzung der NIS2-Richtlinie (EU) 2022/2555 ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz neu gefasst und den Kreis der regulierten Unternehmen stark erweitert. Erfasst sind „besonders wichtige“ und „wichtige“ Einrichtungen in zahlreichen Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, Managed Services, Abfallwirtschaft, Lebensmittel, Chemie und verarbeitendes Gewerbe. Maßgeblich sind in der Regel Sektor, Mitarbeiterzahl und Umsatz.

    Registrierungspflicht beim BSI

    Betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Eine Aufforderung durch die Behörde erfolgt nicht. Die Frist dafür wurde bis zum 31. Juli 2026 verlängert. Eine unterlassene Registrierung ist bußgeldbewehrt. Viele Unternehmen haben ihre Betroffenheit bislang nicht geprüft, insbesondere im Mittelstand und bei Zulieferern, die sich nicht als „kritische Infrastruktur“ verstehen.

    Pflichten neben der Registrierung

    • Risikomanagementmaßnahmen nach dem Stand der Technik, unter anderem zu Notfallmanagement, Lieferkettensicherheit, Zugriffskontrolle und Verschlüsselung.
    • Ein gestuftes Meldeverfahren bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung, Folgemeldung und Abschlussmeldung an das BSI.
    • Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung sowie regelmäßige Schulung der Geschäftsleiter. Bei Pflichtverletzungen droht eine persönliche Haftung gegenüber der Gesellschaft.

    Was bei verpasster Frist zu tun ist

    Eine verspätete Registrierung ist besser als keine. Wir empfehlen folgende Reihenfolge:

    1. Betroffenheit dokumentiert prüfen: Sektor, Unternehmensgröße, Konzernzurechnung und Sonderfälle wie DNS-, Cloud- oder Rechenzentrumsdienste.
    2. Registrierung unverzüglich nachholen und den Zeitpunkt der Prüfung festhalten.
    3. Meldewege für Sicherheitsvorfälle einrichten, abgestimmt mit Datenpannenmeldungen nach Art. 33 DSGVO und, für Hersteller, mit den Meldepflichten nach dem Cyber Resilience Act seit dem 11. September 2026.
    4. Geschäftsleitung schulen und die Billigung der Risikomanagementmaßnahmen protokollieren.
    5. Verträge mit IT-Dienstleistern um Sicherheits-, Melde- und Auditpflichten ergänzen.

    Auch Unternehmen, die selbst nicht unter NIS2 fallen, spüren die Regeln: Regulierte Kunden geben die Anforderungen an die Lieferkette über Verträge und Fragebögen weiter.

    Häufige Fragen zur NIS2-Registrierung

    Gilt NIS2 auch für kleine Unternehmen?

    In der Regel erst ab mittlerer Unternehmensgröße. Für bestimmte Dienste, etwa DNS-Dienste oder Vertrauensdienste, gilt das Gesetz aber größenunabhängig. Zudem werden Mitarbeiter und Umsatz verbundener Unternehmen nach den Regeln der KMU-Empfehlung zugerechnet.

    Wer meldet, wenn wir einen Vorfall beim IT-Dienstleister haben?

    Die Meldepflicht trifft die regulierte Einrichtung selbst. Der Dienstleister muss sie deshalb vertraglich so schnell informieren, dass die Erstmeldung fristgerecht möglich ist.

    Quellen: NIS2-Umsetzungsgesetz, in Kraft seit 6. Dezember 2025; RL (EU) 2022/2555; Presseberichte (boerse-express.com, Sommer 2026) zu Inkrafttreten, Fristverlängerung bis 31. Juli 2026 und Registrierungszahlen. Die Zahlen sind Schätzungen und nicht amtlich bestätigt.

    Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten die Umsetzung. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu NIS2, IT-Sicherheit, Cyberangriff und Cybersecurity-SLA.

  • NIS2-Umsetzungsgesetz in Kraft: Registrierung, Meldepflichten, Haftung

    Archivbeitrag – Rechtsstand Dezember 2025. Das BSI hat die Registrierungsfrist inzwischen faktisch bis 31. Juli 2026 gestreckt; Registrierung über das BSI-Portal ist weiter nachholbar. Den aktuellen Stand finden Sie auf unserer Seite NIS2.

    Seit dem 6. Dezember 2025 gilt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). Der Bundestag hatte es im November beschlossen, der Bundesrat am 20. November 2025 zugestimmt, die Verkündung erfolgte am 5. Dezember 2025. Kern ist ein grundlegend neu gefasstes BSI-Gesetz (BSIG). Eine Übergangsfrist gibt es nicht.

    Verspätete Umsetzung

    Die NIS2-Richtlinie (EU) 2022/2555 hätte bis Oktober 2024 umgesetzt sein müssen. Ein erster Regierungsentwurf scheiterte mit dem Ende der Legislaturperiode, nach der Bundestagswahl musste das Verfahren neu beginnen. Unternehmen, die sich an den früheren Entwürfen orientiert haben, sind gut vorbereitet, sollten aber die Endfassung abgleichen.

    Wer betroffen ist

    Der Kreis der Verpflichteten wächst gegenüber dem bisherigen KRITIS-Recht deutlich, nach Schätzungen auf etwa 29.500 Unternehmen in 18 Sektoren. Maßgeblich sind die Zugehörigkeit zu einem der in den Anlagen genannten Sektoren und Größenschwellen bei Beschäftigten, Umsatz und Bilanzsumme. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, daneben bleiben die Betreiber kritischer Anlagen mit zusätzlichen Pflichten. Unternehmen müssen selbst prüfen, ob sie betroffen sind. Das BSI bestätigt die Einordnung nicht. Häufig übersehen werden Konzerngesellschaften, deren Schwellenwerte unter Einbeziehung verbundener Unternehmen zu berechnen sind, sowie Anbieter von IT-Diensten, Rechenzentren und Managed Services, die unabhängig von ihrer Kundschaft erfasst sein können.

    Die wichtigsten Pflichten

    • Registrierung beim BSI innerhalb von drei Monaten, also bis Anfang März 2026
    • Risikomanagementmaßnahmen nach § 30 BSIG, unter anderem Richtlinien zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Multi-Faktor-Authentifizierung
    • gestufte Meldung erheblicher Sicherheitsvorfälle nach § 32 BSIG: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats
    • Nachweise gegenüber dem BSI, für besonders wichtige Einrichtungen in regelmäßigen Abständen

    Geschäftsleitung in der Pflicht

    § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Geschäftsleiter, die diese Pflichten verletzen, haften der Einrichtung für den entstandenen Schaden. Zudem müssen sie regelmäßig an Schulungen teilnehmen. Diese Pflichten lassen sich nicht vollständig delegieren. Wir raten dazu, die Billigung förmlich zu beschließen und die Überwachung in feste Berichtsroutinen der IT-Sicherheit an die Geschäftsleitung zu übersetzen.

    Bußgelder

    Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Auch die unterlassene Registrierung ist bußgeldbewehrt.

    Was jetzt zu tun ist

    Wir empfehlen folgende Reihenfolge:

    • Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt
    • Registrierung vorbereiten, die technischen Zugänge zum BSI-Portal früh beantragen
    • Meldeprozess mit Zuständigkeiten, Vorlagen und Erreichbarkeit rund um die Uhr aufsetzen
    • Gap-Analyse gegen § 30 BSIG, bestehende ISO-27001-Strukturen nutzen
    • Geschäftsleitung schulen und Beschlüsse zur Billigung der Maßnahmen protokollieren
    • Verträge mit IT-Dienstleistern um Sicherheits- und Meldepflichten ergänzen

    Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten Registrierung, Meldeprozess und Geschäftsleiterschulung. Nutzen Sie unsere Onlineberatung. Mehr unter NIS2, IT-Sicherheit und Cyberangriff.

  • Homeoffice und Videokonferenzen: Datenschutz in der Corona-Zeit

    Archivbeitrag – Rechtsstand 2020. Nach Schrems II (16. Juli 2020) und dem Data Privacy Framework (seit Juli 2023) hat sich die Bewertung US-amerikanischer Dienste mehrfach geändert; § 26 BDSG ist nach einer EuGH-Entscheidung aus dem Jahr 2023 nur eingeschränkt anwendbar. Mehr auf unseren Seiten Beschäftigtendatenschutz und Microsoft 365.

    Die Corona-Pandemie hat seit März 2020 zu einer Verlagerung der Arbeit ins Homeoffice geführt, die in diesem Umfang niemand geplant hatte. Videokonferenzen ersetzen Besprechungen, Mandantentermine und Schulungen. Viele Unternehmen haben dafür in kurzer Zeit Dienste eingeführt, ohne die datenschutzrechtliche Prüfung abzuschließen. Diese Prüfung sollte jetzt nachgeholt werden.

    Die Kurzprüfung der Berliner Datenschutzbeauftragten

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 3. Juli 2020 Ergebnisse einer Kurzprüfung von Videokonferenzdiensten veröffentlicht. Geprüft wurden in erster Linie die Auftragsverarbeitungsverträge der Anbieter, nur bei rechtlich einwandfreien Verträgen auch einzelne technische Aspekte. Die Ergebnisse werden in einem Ampelsystem dargestellt: Grün bedeutet, dass keine Mängel festgestellt wurden. Gelb steht für Mängel, die eine rechtskonforme Nutzung derzeit ausschließen, aber voraussichtlich ohne grundlegende Änderungen behebbar sind. Rot bedeutet Mängel, deren Beseitigung wesentliche Änderungen der Geschäftsprozesse oder der Technik erfordern würde.

    Mehrere verbreitete Dienste haben dabei nicht grün erhalten. Die Behörde betont, dass es sich nicht um eine vollständige Prüfung handelt und die Liste fortgeschrieben wird. Für Berliner Verantwortliche ist sie gleichwohl ein deutliches Signal.

    Rechtliche Anforderungen an Videokonferenzen

    • Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Weisungsbindung des Anbieters und den Umgang mit Unterauftragnehmern klar regelt.
    • Eine tragfähige Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet.
    • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transportverschlüsselung, Zugangsschutz durch Passwörter oder Warteräume und datensparsame Voreinstellungen.
    • Information der Teilnehmer nach Art. 13 DSGVO.
    • Bei Beschäftigten eine Rechtsgrundlage nach § 26 BDSG und gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.

    Aufzeichnungen von Videokonferenzen sind nur ausnahmsweise zulässig und regelmäßig nur mit Einwilligung aller Teilnehmer. Funktionen zur Aufmerksamkeitskontrolle sollten deaktiviert sein.

    Homeoffice: mehr als ein Laptop

    Beim mobilen Arbeiten bleibt der Arbeitgeber Verantwortlicher. Er muss sicherstellen, dass Daten auch außerhalb des Büros geschützt sind. Wir empfehlen eine schriftliche Homeoffice-Richtlinie, die festlegt, welche Geräte genutzt werden dürfen, wie Unterlagen aufbewahrt und entsorgt werden, dass Bildschirme gesperrt werden und dass Gespräche nicht von Haushaltsangehörigen mitgehört werden. Private Geräte sollten nur mit klaren Regeln zur Trennung dienstlicher und privater Daten eingesetzt werden. Der Zugriff auf Firmennetzwerke sollte über ein VPN mit Zwei-Faktor-Authentifizierung erfolgen.

    Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte haben zusätzlich § 203 StGB zu beachten. Die Einbeziehung von Dienstleistern ist nach § 203 Abs. 3 und 4 StGB nur unter Verpflichtung zur Verschwiegenheit zulässig.

    Unsere Empfehlung

    Prüfen Sie die in der Krise eingeführten Tools jetzt systematisch. Wo ein Dienst die Anforderungen nicht erfüllt, sollte ein Wechsel geplant werden, bevor eine Aufsichtsbehörde tätig wird oder eine Datenpanne geschieht. Halten Sie Ihre Entscheidung und die Abwägung schriftlich fest.

    Fragen dazu? Wir prüfen Videokonferenz- und Kollaborationsdienste und erstellen Homeoffice-Richtlinien und Betriebsvereinbarungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Beschäftigtendatenschutz, Auftragsverarbeitung und IT-Sicherheit.