NIS2-Richtlinie
Richtlinie über die Sicherheit von Netz- und Informationssystemen
Überblick
NIS2 ersetzt die ursprüngliche NIS-Richtlinie und erweitert sie erheblich, um ein hohes gemeinsames Cybersicherheitsniveau in der EU zu etablieren. Sie gilt für eine viel breitere Palette von Sektoren und Einrichtungen, führt strengere Aufsichtsmaßnahmen ein und harmonisiert Sanktionen in den Mitgliedstaaten.[1]
Als Richtlinie musste NIS2 bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Die Umsetzung variiert je nach Mitgliedstaat.
Geltungsbereich: Wesentliche vs. Wichtige Einrichtungen
Wesentliche Einrichtungen (höhere Prüfung)[2]
| Sektor | Beispiele |
|---|---|
| Energie | Strom, Öl, Gas, Wasserstoff, Fernwärme |
| Verkehr | Luft, Schiene, Wasser, Straße |
| Bankwesen | Kreditinstitute |
| Finanzmärkte | Handelsplätze, zentrale Gegenparteien |
| Gesundheit | Gesundheitsdienstleister, Labore, Pharma, Medizinprodukte |
| Trinkwasser | Wasserversorger |
| Abwasser | Abwasserbehandlung |
| Digitale Infrastruktur | IXPs, DNS, TLD-Register, Cloud, Rechenzentren, CDNs, TSPs |
| ICT-Dienstleistungsmanagement | Managed Service Provider, Managed Security Service Provider |
| Öffentliche Verwaltung | Zentrale Regierungsstellen |
| Weltraum | Bodeninfrastrukturbetreiber |
Wichtige Einrichtungen (geringere Prüfung)
| Sektor | Beispiele |
|---|---|
| Postdienste | Post- und Kurierdienste |
| Abfallwirtschaft | Abfallsammlung und -behandlung |
| Chemie | Herstellung und Vertrieb |
| Lebensmittel | Produktion und Vertrieb |
| Fertigung | Medizinprodukte, Elektronik, Maschinen, Fahrzeuge |
| Digitale Anbieter | Online-Marktplätze, Suchmaschinen, soziale Netzwerke |
| Forschung | Forschungsorganisationen |
Größenschwellen
NIS2 gilt im Allgemeinen für mittlere und große Einrichtungen:
- Mittel: 50+ Mitarbeiter ODER €10 Mio.+ Umsatz/Bilanzsumme
- Groß: 250+ Mitarbeiter ODER €50 Mio.+ Umsatz ODER €43 Mio.+ Bilanzsumme
Einige Einrichtungen gelten unabhängig von der Größe (DNS, TLD-Register, Cloud-Anbieter, Rechenzentren usw.).
Wesentliche Anforderungen
Risikomanagementmaßnahmen (Artikel 21)[3]
Einrichtungen müssen geeignete technische, operative und organisatorische Maßnahmen umsetzen:
- Richtlinien: Risikoanalyse und Informationssicherheitssystem-Richtlinien
- Vorfallbehandlung: Erkennungs-, Reaktions- und Wiederherstellungsverfahren
- Geschäftskontinuität: Backup, Notfallwiederherstellung, Krisenmanagement
- Lieferkettensicherheit: Sicherheitsanforderungen für Lieferanten
- Netzwerksicherheit: Sicherheit bei Erwerb, Entwicklung und Wartung
- Wirksamkeitsbewertung: Richtlinien zur Bewertung der Effektivität von Sicherheitsmaßnahmen
- Grundlegende Cyberhygiene: Schulungs- und Sensibilisierungsprogramme
- Kryptographie: Richtlinien zu kryptographischen Kontrollen und Verschlüsselung
- Personalwesen: Personalsicherheit und Zugangskontrollen
- Mehrfaktor-Authentifizierung: MFA und sichere Kommunikationssysteme
Vorfallmeldung (Artikel 23)[4]
| Frist | Anforderung |
|---|---|
| 24 Stunden | Frühwarnung an CSIRT/zuständige Behörde |
| 72 Stunden | Vorfallmeldung mit erster Bewertung |
| 1 Monat | Abschlussbericht mit Ursachenanalyse und Gegenmaßnahmen |
Signifikante Vorfälle müssen gemeldet werden, wenn sie erhebliche Betriebsstörungen oder finanzielle Verluste verursachen oder verursachen können oder andere natürliche oder juristische Personen betreffen.
Verantwortlichkeit der Geschäftsführung
Leitungsgremien müssen:
- Cybersicherheits-Risikomanagementmaßnahmen genehmigen
- Umsetzung der Sicherheitsmaßnahmen überwachen
- Für Nicht-Einhaltung persönlich haftbar sein
- Cybersicherheitsschulungen absolvieren
Sanktionen
- Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes
- Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes[5]
Mitgliedstaaten können zusätzliche Sanktionen verhängen, einschließlich vorübergehender Managementverbote.
Pflichten von Entwicklern und ICT-Dienstleistern
Wenn Sie ICT-Dienste oder -Produkte bereitstellen:
- Managed Service Provider: Direkt als wesentliche Einrichtungen im Geltungsbereich
- Cloud-Anbieter: Direkt als wesentliche Einrichtungen im Geltungsbereich
- Softwareentwickler: Lieferkettenpflichten von Kunden-Einrichtungen
- Sicherheitsanbieter: Können als wichtige Einrichtungen eingestuft werden