NIS-2-Richtlinie
Anforderungen an IT-Sicherheit
Die NIS-2-Richtlinie bildet den europäischen Rechtsrahmen für Unternehmen und Organisationen, die wesentliche Dienste erbringen, einschließlich Betreibern kritischer Infrastrukturen. Sie legt Mindeststandards für die Cybersicherheit innerhalb der EU fest. Auf dieser Seite finden Sie alles, was Sie rund um NIS-2 wissen müssen.
Zu unseren Leistungen
Die EU-Richtlinie NIS-2 („Network and Information Security Directive“) zielt darauf ab, die Widerstandsfähigkeit von Unternehmen und Organisationen, die wesentliche Dienste erbringen, gegenüber Cyberbedrohungen zu stärken und das Cybersicherheitsniveau innerhalb der EU insgesamt zu erhöhen.
Mit NIS-2 kommen auf viele Unternehmen und Organisationen neue Verpflichtungen sowie umfangreiche Sicherheitsmaßnahmen zu. Betroffen sind in erster Linie kritische Infrastrukturen und digitale Dienste in der EU, die eine Reihe an Mindestanforderungen erfüllen müssen, um die eigenen Systeme und Netzwerke gegen Cyberangriffe abzusichern.
Die besonders wichtigen Einrichtungen im Rahmen von NIS-2, auch als "Essential Entities" bezeichnet, umfassen große Unternehmen aus den Sektoren gemäß Anhang 1, bestimmte Unternehmen unabhängig von ihrer Größe sowie Betreiber kritischer Infrastrukturen (KRITIS). Ausschlaggebend für ihre Einstufung sind die Anzahl der Mitarbeiter (FTE) sowie der jährliche Umsatz und die Bilanzsumme, wie in §28 (1) festgelegt.
Nachfolgende Sektoren sind in Annex 1 des NIS-2-Umsetzungsgesetzes definiert:
Die wichtigen Einrichtungen (Important Entities) im Rahmen von NIS-2 umfassen große und mittlere Unternehmen aus den Sektoren, die in den Anhängen 1 und 2 von NIS-2 aufgeführt sind. Ausschlaggebend für ihre Einstufung sind die Anzahl der Mitarbeiter als Vollzeitäquivalente (FTE) sowie der jährliche Umsatz und die Bilanzsumme.
Nachfolgende Sektoren sind in Annex 1 und 2 des NIS-2-Umsetzungsgesetzes definiert:
In NIS-2 werden die bisherigen KRITIS-Betreiber als Betreiber kritischer Anlagen bezeichnet. Die bestehende KRITIS-Logik, die sich auf KRITIS-Sektoren, kritische Dienstleistungen und KRITIS-Anlagen mit festgelegten Schwellenwerten (mindestens 500.000 versorgte Personen) stützt, bleibt dabei unverändert. Dies ist in § 28 (2) und § 2 Nr. 22 festgelegt. Die Betreiber werden neben KRITIS automatisch zu besonders wichtigen Einrichtungen.
Gemäß NIS-2-Richtlinie müssen betroffene Unternehmen mindestens die folgenden Maßnahmen umsetzen, um ihre Widerstandsfähigkeit gegenüber Angriffen zu erhöhen und Sicherheitsvorfälle möglichst zu verhindern bzw. deren Auswirkungen gering zu halten.
Das NIS-2-Umsetzungsgesetz legt keine Übergangsfristen für die Umsetzung der Sicherheitsmaßnahmen fest. Sanktionen und Bußgelder können ab Inkrafttreten verhängt werden, insbesondere bei Verstößen gegen Registrierungs- oder Meldepflichten.
Bußgeldvorschriften (§ 65):
Verantwortung der Gschäftsleitung (§ 38:)
Im Rahmen der NIS-2-Umsetzung sind folgende Meldepflichten vorgesehen:
Betreiber kritischer Anlagen müssen zusätzlich Angaben zur Art der betroffenen Anlage, der kritischen Dienstleistung und den Auswirkungen auf die Dienstleistung machen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Befugnis, bei erheblichen Sicherheitsvorfällen besonders wichtige Einrichtungen anzuweisen, ihre Kunden unverzüglich zu informieren, wenn deren Dienste beeinträchtigt werden könnten. Einrichtungen aus den Sektoren Finanz- und Versicherungswesen, IT und Telekommunikation sowie digitale Dienste müssen ihre Kunden bei erheblichen Cyberbedrohungen schnellstmöglich informieren und mögliche Gegenmaßnahmen mitteilen. Das BSI bemüht sich, innerhalb von 24 Stunden nach Eingang einer Meldung bei Unternehmen zu reagieren, um Unterstützung und Informationen zu bieten. Bei Bedarf kann das BSI die Betreiber auffordern, die Öffentlichkeit zu sensibilisieren, wenn dies im öffentlichen Interesse liegt.
Die Umsetzung der neuen NIS-2-Richtlinie bietet KRITIS-Betreibern und der öffentlichen Hand die Chance, sich in Fragen IT-Sicherheit robust aufzustellen. TÜV NORD GROUP begleitet sie auf diesem Weg. Europaweit!
Axel Lange
Leiter Marketing & Sales bei TÜVIT
