Alles zur NIS2-Richtlinie

Was ist NIS2 und ab wann gilt die Richtlinie?

Die NIS2-Richtlinie, auch bekannt als Richtlinie über Netz- und Informationssicherheit, handelt von Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Europäischen Union.

Die NIS2-Richtlinie ist eine Überarbeitung der ursprünglichen NIS-Richtlinie (NIS1) und wurde entwickelt, um auf die sich verändernde Bedrohungslandschaft und die neuen Herausforderungen im Bereich der Cybersicherheit zu reagieren.

Sie zielt darauf ab, die Cybersicherheit in Europa weiter zu stärken, indem sie Unternehmen und Organisationen strengere Anforderungen auferlegt, insbesondere in Bezug auf die Meldung von Sicherheitsvorfällen und die Einhaltung von Sicherheitsmaßnahmen.

Was sind die Hauptziele der NIS2-Richtlinie?

• Verbesserung der Zusammenarbeit zwischen den Mitgliedstaaten

• Förderung eines kohärenten Cybersicherheitsansatzes in der gesamten EU

• Gewährleistung eines angemessenen Schutzniveaus für kritische Infrastrukturen und Anbieter digitaler Dienste

Bis wann muss die NIS2 Richtlinie in nationales Recht übergehen?

Die NIS2-Richtlinie ist am 16. Januar 2023 in Kraft getreten und muss von den EU-Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.

Welche Unternehmen sind von NIS2 betroffen?

Große und mittlere Unternehmen aus Sektoren mit hoher Kritikalität

• Energie: Unternehmen, die Strom- und Gasversorgung, einschließlich Stromnetze und Gaspipelines, betreiben

• Verkehr: Unternehmen im Luftverkehr, Schienenverkehr, Straßenverkehr, Seeverkehr und Binnenschifffahrt

• Banken: Finanzinstitute, einschließlich Banken, Börsen und Zahlungsdienstleister

• Gesundheitswesen: Krankenhäuser, medizinische Einrichtungen und Dienstleister im Gesundheitswesen

• Wasser: Wasserversorger und Unternehmen im Bereich der Wasseraufbereitung

• Digitale Dienste: Plattformen, Marktplätze, Cloud-Service-Anbieter und sonstige digitale Dienstleister

• Verwaltung von IKT (Informations- und Kommunikationstechnik) Diensten im B2B Bereich

• Öffentliche Verwaltung

• Weltraum

Große und mittlere Unternehmen aus sonstigen kritischen Sektoren

• Post- und Kurierdienste

• Abfallbewirtschaftung

• Chemie

• Lebensmittel

• Verarbeitendes/herstellendes Gewerbe

• Anbieter digitaler Dienste und Forschung

Welche Unternehmen gelten als größere und mittlere Unternehmen?

Sind auch kleine Unternehmen betroffen?

Kleine Unternehmen sind grundsätzlich nicht von der NIS2 betroffen. Es gibt jedoch folgende Ausnahmen:

• Vertrauensdienstanbieter

• Anbieter öffentlicher elektronischer Kommunikationsnetze

• TLD Namenregister und DNS Dienstanbieter

Wie unterscheiden sich wesentliche und wichtige Einrichtungen?

Auswirkungen für die Unternehmen

Bei der Umsetzung der NIS2-Richtlinie gibt es aus sicherheitstechnischer Sicht keine gravierenden Unterschiede. Lediglich bei der Überwachung und den Sanktionen gibt es Abweichungen. Diese sehen wie folgt aus:

Welche Anforderungen stellt NIS2 an Unternehmen?

Ist ein Unternehmen von NIS2 betroffen, ergeben sich neben der Registrierung bei der zuständigen Behörde folgende Anforderungsbereiche, in denen Maßnahmen zur Verbesserung der Cybersicherheit umgesetzt werden müssen:

• Implementierung eines umfassenden Risikomanagements

• Sicherheit in der Lieferkette, sprich im Umgang mit Geschäftspartnern, Zulieferern etc.

• Vorfalls- und Krisenmanagement

• Grundlegende Cyberhygiene

• Melde- und Berichtspflichten

Welche Sicherheitsziele müssen bei der NIS2-Richtlinie erfüllt werden?

Betroffene Unternehmen sind durch die NIS2 Richtlinie dahingehend verpflichtet, “geeignete und verhältnismäßige technische operative und organisatorische Maßnahmen [zu] ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme […] zu beherrschen und die Auswirkungen von Sicherheitsvorfällen […] zu verhindern oder möglichst gering zu halten.”

Amtsblatt der Europäischen Union L, 2022/2555, 14. Dezember 2022

Gemäß NIS2 sind Unternehmen verpflichtet, ihre Sicherheitsmaßnahmen dem aktuellen Stand der Technik und den individuellen Bedrohungsszenarien anzupassen. Diese Schutzmaßnahmen müssen einem ganzheitlichen Ansatz folgen, der nicht nur Cyberangriffe, sondern auch andere potenzielle Vorfälle berücksichtigt, die die eigene IT-Infrastruktur und damit die Bereitstellung wesentlicher Dienstleistungen beeinträchtigen könnten.

Folgende Sicherheitsziele sollten mindestens erfüllt sein:

Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme

Bewältigung von Sicherheitsvorfällen und Krisenmanagement

Sicherheit in der Lieferkette

Management und Offenlegung von Schwachstellen

Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit

Allgemeine Cyberhygiene und Awareness Schulungen

Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung

Sicherheit des Personals und Zugriffsmanagement

Sichere Kommunikation und Multi-Faktor Authentifizierung

Weitere Informationen finden Sie im Amtsblatt der Europäischen Union.