Am 13. Mai 2022 haben sich die EU-Mitgliedstaaten und das EU-Parlament nach langen Verhandlungen auf die NIS-2-Richtlinie verständigt. Dabei wird gegenüber der NIS-Direktive von 2016 der Anwendungsbereich der Richtlinie erheblich ausgeweitet. Zukünftig sollen schon Unternehmen erfasst sein, die mehr als 50 Personen beschäftigen, einen Jahresumsatz bzw. eine Jahresbilanz von über 10 Millionen Euro haben und zu einem kritischen oder wichtigen Sektor gehören. Auch die Liste der betroffenen Sektoren wird deutlich erweitert. Außerdem soll es neue Pflichten in Bezug auf das Risikomanagement und Meldungen geben sowie deutlich erhöhte Bußgelder, nun etwa halb so hoch wie jene aus der DSGVO.
Die politische Einigung, die das Europäische Parlament und der Rat erzielt haben, muss nun von den beiden Gesetzgebungsorganen noch förmlich bestätigt werden. Die Richtlinie tritt 20 Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft, und die Mitgliedstaaten müssen dann die neuen Elemente der Richtlinie innerhalb von 18 oder von 24 Monaten in nationales Recht umsetzen.
Inhalt der NIS-2-Richtlinie: https://www.openkritis.de/it-sicherheitsgesetz/eu-nis-2-direktive-kritis.html