NIS2 und KRITIS - welche Relevanz haben diese Normen für Führungskräfte betroffener Unternehmen?
In Deutschland gibt es bei Verstößen gegen die NIS2-Richtlinie und die KRITIS-Vorgaben spezifische rechtliche Regelungen, die auch strafrechtliche Konsequenzen für Führungskräfte nach sich ziehen können. Hier sind die relevanten Details:
1. Strafen für Verstöße gegen NIS2 in Deutschland
Die NIS2-Richtlinie setzt Vorgaben zur Cybersicherheit um, die auch in deutsches Recht umgesetzt werden müssen. Die wichtigsten Aspekte der Strafen für Unternehmen und deren Führungskräfte umfassen:
- Bußgelder: Unternehmen, die gegen die Vorgaben der NIS2-Richtlinie verstoßen (z.B. unzureichende Sicherheitsvorkehrungen, verspätete Meldung von Vorfällen), können mit Bußgeldern belegt werden. In Deutschland regelt das IT-Sicherheitsgesetz 2.0 die Umsetzung der NIS2-Vorgaben. Hierbei können die Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.
- Verantwortung der Geschäftsführung: Führungskräfte können zur Verantwortung gezogen werden, wenn sie ihrer Pflicht zur Gewährleistung der Cybersicherheit nicht nachkommen. Das kann eine persönliche Haftung nach sich ziehen, insbesondere, wenn eine grobe Fahrlässigkeit oder vorsätzliches Handeln nachgewiesen wird.
- Beispiel: Wenn ein Unternehmen einen schwerwiegenden Sicherheitsvorfall nicht rechtzeitig meldet und es dadurch zu größeren Schäden kommt (z.B. Datenlecks oder Ausfälle kritischer Systeme), können die verantwortlichen Führungskräfte für den Vorfall haftbar gemacht werden.
2. Strafen für Verstöße gegen KRITIS in Deutschland
KRITIS bezieht sich auf Unternehmen und Sektoren, die für die öffentliche Sicherheit und das Funktionieren der Gesellschaft von zentraler Bedeutung sind (z. B. Energieversorgung, Gesundheitswesen, Telekommunikation). In Deutschland sind KRITIS-Vorgaben ebenfalls in das IT-Sicherheitsgesetz 2.0 integriert. Hier die relevanten Strafen:
- Bußgelder: Unternehmen, die als Betreiber kritischer Infrastrukturen gelten und gegen die KRITIS-Vorgaben verstoßen (z. B. unzureichende Sicherheitsvorkehrungen, Missachtung von Meldepflichten bei Vorfällen), können mit hohen Bußgeldern belegt werden. Diese Bußgelder können bis zu 100.000 Euro pro Verstoß betragen und in besonders schweren Fällen sogar noch höher liegen.
- Haftung der Geschäftsführung: Führungskräfte von KRITIS-Betreibern können auch strafrechtlich zur Verantwortung gezogen werden, wenn sie grob fahrlässig oder vorsätzlich gegen die Anforderungen verstoßen und dadurch Risiken für die öffentliche Sicherheit oder das Wohl der Gesellschaft entstehen. Hier kann es zu Freiheitsstrafen oder Geldstrafen kommen, wenn ein Schaden nachgewiesen wird. Bei besonders schweren Verstößen, etwa durch das Versäumnis von Sicherheitsvorkehrungen, die zu einer schwerwiegenden Störung kritischer Infrastrukturen führen, kann auch Freiheitsstrafe bis zu fünf Jahren drohen.
3. Zusätzliche Risiken für Führungskräfte
Neben Bußgeldern und strafrechtlicher Haftung können Führungskräfte auch für Schäden, die durch den Verstoß verursacht wurden, zivilrechtlich haftbar gemacht werden, insbesondere wenn ihre Entscheidungen zu einem erheblichen Sicherheitsvorfall führen. Dies könnte Schadenersatzforderungen von betroffenen Dritten nach sich ziehen, was wiederum finanzielle Folgen für die Führungskraft und das Unternehmen haben könnte.
Quintessenz und WHY:
In Deutschland können Verstöße gegen NIS2 und KRITIS für Führungskräfte zu erheblichen Strafen führen. Das umfasst hohe Bußgelder, persönliche Haftung, zivilrechtliche Ansprüche und in besonders schwerwiegenden Fällen sogar Freiheitsstrafen. Unternehmen müssen daher sicherstellen, dass sie sowohl die rechtlichen Vorgaben einhalten als auch über adäquate Sicherheitsvorkehrungen und Meldeprozesse verfügen, um diese Risiken zu vermeiden.
Siehe hierzu: NIS2-FAQ des BSI
