NIS2 in der Automobilbranche – Pflichten, Haftungsrisiken und Konzernherausforderungen

Ein in der Fachzeitschrift RAW (Recht | Automobil | Wirtschaft) erschienener Aufsatz zeigt die wesentlichen Anforderungen der Umsetzung der NIS2-Richtlinie im Automobilsektor auf. Die Autoren ordnen die Vorgaben des novellierten BSI-Gesetzes (BSIG) ein und richten sich dabei sowohl an OEMs als auch Zulieferer.

NIS2 ist im Automobilsektor der Regelfall

Aufgrund der umfassenden sektoralen Zuordnung nach NACE Rev. 2, Abteilung 29 (Herstellung von Kraftwagen und Kraftwagenteilen) und der niedrigen Schwellenwerte der Size-Cap-Rule fallen sowohl OEMs als auch ein erheblicher Teil der Zulieferer in den Anwendungsbereich des BSIG. Fälle der Nichtanwendbarkeit dürften die Ausnahme bleiben. Zulieferer, die nicht unmittelbar erfasst sind, werden zudem über die Lieferkette mittelbar betroffen: OEMs sind gesetzlich verpflichtet, angemessene Sicherheitsmaßnahmen entlang ihrer Lieferkette zu ergreifen, und werden entsprechende Anforderungen vertraglich an ihre Partner weitergeben.

Cybersicherheit als originäre Leitungsverantwortung

Das BSIG verankert Cybersicherheit als originäre Aufgabe der Geschäftsleitung. Der Vorstand bzw. die Geschäftsführung ist verpflichtet, die Risikomanagementmaßnahmen umzusetzen, deren Einhaltung zu überwachen und sich regelmäßig zu Fragen der Cybersicherheit fortbilden zu lassen. Bei Pflichtverletzungen droht eine persönliche Haftung gegenüber dem Unternehmen. Unternehmen müssen daher klare Governance-Strukturen und belastbare Berichtslinien schaffen, um dieser Verantwortung gerecht zu werden.

Das Gesetz denkt in Einzelunternehmen – Konzernrealitäten bleiben ungelöst

Das BSIG ist konsequent unternehmensscharf ausgestaltet und bildet die organisatorischen Realitäten großer, grenzüberschreitend agierender Konzerne nur unzureichend ab. Insbesondere bei konzernweiten Cybervorfällen müssen Unternehmen parallel laufende Meldepflichten in unterschiedlichen Mitgliedstaaten einhalten. Eine zentrale Registrierung an einem einzigen Ort ist nicht vorgesehen. Die kurzen Meldefristen von 24 Stunden für eine Erstmeldung erfordern eine entsprechende organisatorische und personelle Infrastruktur, die in internationalen Konzernstrukturen besondere Herausforderungen mit sich bringt.

Den vollständigen Artikel können Sie hier abrufen.