JUVE: Was sind die größten Herausforderungen für Rechtsabteilungen bei der Umsetzung von NIS2?
Dr. Hans Kristoferitsch: Ich sehe zwei große Herausforderungen. Die erste: Es gibt große Überschneidungen mit anderen EU-Rechtsakten im Digitalbereich. Viele denken, bestimmte Definitionen oder Inhalte sind ähnlich geregelt wie in der DSGVO oder anderen Gesetzen – sind es dann aber nicht. Die zweite Herausforderung: NIS2 ist eine Richtlinie, die in jedem Mitgliedstaat etwas anders umgesetzt wurde. Wir haben Länder, die mit der Umsetzung schon lange fertig sind, und dann Nachzügler wie Deutschland und Österreich. Bei internationalen Projekten führt das zu massiven Problemen. Die Tochtergesellschaften in anderen Ländern haben bereits Audits vor der Tür und verlangen Nachweise – während die Zentrale in Deutschland oder Österreich gerade erst ihr NIS-2-Projekt plant.
Das klingt nach erheblichem Koordinationsaufwand.
Absolut. Und es gibt noch einen dritten Punkt, der oft unterschätzt wird: NIS2 können Sie als Rechtsabteilung nicht allein bewältigen. Anders als möglicherweise beim Datenschutz brauchen Sie hier zwingend eine enge Zusammenarbeit mit der IT-Abteilung. Denn zum ersten Mal wird mit NIS-2 der IT-Betrieb selbst gesetzlich reguliert. Die IT-Abteilungen mussten sich bisher nie an gesetzliche Vorgaben für ihren IT-Betrieb halten – das ist völlig neu.
Führt das auch zu Kompetenzgerangel zwischen Rechts- und IT-Abteilung?
Definitiv. Manche Rechtsabteilungen sehen NIS-2 nicht als juristisches, sondern als reines IT-Thema. Das ist aber falsch. Am Ende ist NIS-2 ein Gesetz mit für den Vollzug zuständigen Behörden und Verwaltungsstrafen – also eine Compliance-Materie wie jede andere auch. Es wäre so, als würde man sagen: Kartellrecht interessiert mich nicht, das betrifft ja nur die Einkäufer. Das sagt heute niemand mehr – aber bei NIS2 gibt es diese Tendenz noch.
Seit wann beraten Sie Unternehmen zu diesem Thema?
Wir haben bereits bei NIS1 beraten – das war allerdings ein Nischenthema, nur 80 bis 90 Unternehmen der kritischen Infrastruktur waren in Österreich betroffen. Mit NIS2 beschäftigen wir uns seit über zwei bis drei Jahren intensiv. Einige große Umsetzungsprojekte laufen bereits so lange. Aber es gibt auch Unternehmen, die erst jetzt auf den letzten Metern zu uns kommen.
Ist es überhaupt noch realistisch, das jetzt schnell umzusetzen?
Wenn ein Unternehmen jetzt erst auf uns zukommt, machen wir eher einen Notfallplan: Was muss ich unbedingt bis Oktober umsetzen? Der österreichische Gesetzgeber hat zum Glück großzügige Übergangsfristen vorgesehen. Die Registrierung bei der Behörde kann bis Dezember erfolgen. Aber ich bin mir sicher: Es gibt immer noch Unternehmen, die gar nicht wissen, dass sie NIS2-betroffen sind.
Woran liegt das?
Es ist extrem kompliziert zu klären, ob man NIS2-betroffen ist. Die Sektorendefinitionen sind sehr schwierig zu verstehen. Wir rechnen mit einigen tausend betroffenen Unternehmen in Österreich – da gibt es sicher einige, die noch nichts von ihrem Glück wissen.
Können Sie Beispiele nennen für Unternehmen, die überraschend betroffen sind?
Häufig sind es Unternehmen in großen Konzernverbünden, die für sich genommen klein und unbedeutend sind – aber durch die Zurechnung im Konzern plötzlich unter das Gesetz fallen. Oder Maschinenbauer: Da wird es wirklich kompliziert mit der Zuordnung der Geschäftstätigkeiten zu den sogenannten NACE-Codes, das sind statistische Einordnungen. Manchmal führt sogar eine Nebentätigkeit dazu, dass das ganze Unternehmen betroffen ist. Ein weiteres Beispiel: der Betrieb von E-Ladesäulen. Oder wenn ich IT-Dienstleistungen innerhalb des Konzerns erbringe – viele glauben nicht, dass sie dann als IT-Provider gelten.
Ist das österreichische Gesetz aus Ihrer Sicht handwerklich gelungen?
Ich bin sonst oft kritisch mit dem Gesetzgeber, aber hier hat er einen guten Job gemacht. Wir haben in Österreich aus meiner Sicht eine praktikable Umsetzung mit Augenmaß gewählt. Die Übergangsfristen sind vernünftig gestaltet. Österreich ist, wo es ging, nicht zu viel von der Richtlinie abgewichen. Bei den Risikomanagement-Maßnahmen verweisen wir auf EU-Standards, statt eigene österreichische Standards zu schaffen – das ist sehr vernünftig für internationale Konzerne.
Was ist noch positiv?
Das Innenministerium ist sehr offen für Dialog. Es gibt viele Informationsveranstaltungen, man kann Fragen einreichen und bekommt inhaltlich sinnvolle Antworten. Das ist nicht selbstverständlich – andere Behörden sagen den Unternehmen in vergleichbaren Situationen: Geh zu einem Anwalt. Ich gehe auch nicht davon aus, dass es gleich in den ersten Monaten ein massives Enforcement mit drakonischen Strafen geben wird. Da wird es noch eine Art faktischer Übergangsfrist geben.
Aber es gibt doch offizielle Fristen für das Enforcement?
Die Vorgaben für die verschiedenen Touch-Points mit der Behörde sind gestaffelt. Bis Dezember muss ich mich registrieren. Nächstes Jahr kommt die Selbstdeklaration – ein erster Fragebogen zu Risikomanagement-Maßnahmen. Ab 2028 muss ich Nachweise für operative und organisatorische Maßnahmen schicken. Und ab 2030 können die technischen Maßnahmen überprüft werden. Das klingt nach viel Zeit – aber gerade die technischen Maßnahmen brauchen Jahre. Da müssen IT-Architekturen geändert, große Beschaffungen durchgeführt, Vergabeverfahren durchlaufen werden. Das geht nicht von heute auf morgen.
Ein wichtiges Thema ist die Haftung. Wie ist da die Lage?
Da muss man differenzieren. Es gibt verschiedene Haftungsebenen. Die sehr hohen Geldbußen nach NIS2 – die gehen ja nach dem Muster des Kartellrechts oder der DSGVO in Prozentwerten des weltweiten Konzernumsatzes – sind meiner Meinung nach Unternehmensstrafen. Die zahlt nicht der Geschäftsführer persönlich, sondern das Unternehmen. Das österreichische Gesetz ist hier vom Wortlaut her leider nicht ganz eindeutig, aber zumindest in den Materialien ist das so festgehalten.
Und die zivilrechtliche Haftung?
Die Richtlinie schreibt vor, dass auch die Leitungsorgane zivilrechtlich haften sollen. Österreich hat das so umgesetzt wie im sonstigen Gesellschaftsrecht üblich: Wenn ich als Geschäftsführer Pflichtverletzungen setze und der Gesellschaft dadurch ein Schaden entsteht, kann die Gesellschaft mich verklagen. Das gilt jetzt auch für NIS2. Wenn sich ein Geschäftsführer überhaupt nicht um NIS2 kümmert – keine Strukturen aufbaut, keinen CISO bestellt, keine Berater holt – und der Gesellschaft entsteht ein Schaden, dann haftet er wie bei anderen Compliance-Themen auch.
Wie kann man diese Haftung reduzieren?
Indem man wie ein sorgfältiger Geschäftsführer handelt. Man kann einen CISO bestellen oder externe Beratung holen. Aber das ist nicht die einzige Möglichkeit – man kann es auch zur eigenen Aufgabe machen oder mit der IT-Abteilung gemeinsam angehen. Es gibt verschiedene Wege, der Sorgfaltspflicht nachzukommen.
Erwarten Sie, dass diese hohen Strafen tatsächlich verhängt werden?
Nicht im ersten Jahr. Aber langfristig ja. Im Datenschutz gab es in Österreich bereits Geldbußen im zweistelligen Millionenbereich. Die Judikatur des OGH im Kartellrecht geht in die Richtung, dass bei sehr hohen Strafrahmen Geldbußen verhängt werden sollen, die nicht am alleruntersten Rand dieses Strafrahmens liegen. Die EU-Kommission verhängt in anderen Bereichen des Digitalrechts gegen Google, Amazon und andere Strafen im Milliardenbereich. Ich glaube daher schon, dass es auch bei NIS2 Strafen im Millionenbereich geben wird.
Sie bieten sogar Schulungen mit Zertifikat an?
Ja, die Geschäftsführung und Leitungsorgane müssen Schulungen machen – das ist gesetzlich vorgeschrieben. Wir haben gemeinsam mit Austrian Standards ein eigenes Zertifikat entwickelt, mit dem die gesetzliche Schulungspflicht nachgewiesenermaßen erfüllt werden kann. So etwas habe ich noch von keiner anderen Kanzlei gesehen. Solche Schulungen werden sonst stark von IT-Sicherheitsberatern und den Big Four angeboten – weniger von Juristen.
