Das heutige Thema ist die Richtlinie NIS 2, die darauf abzielt, die Cyberresilienz kritischer Infrastrukturen und essenzieller und wichtiger Einrichtungen zu verbessern. NIS 2 scheint für die Informationssicherheit in der EU das zu tun, was die DSGVO für den Datenschutz der Benutzer getan hat.
Es wird nicht lange dauern, bis die neue Richtlinie in nationales Recht umgesetzt wird. Wenn dein Unternehmen also noch nicht bereit ist, ist es jetzt an der Zeit, Schritte zu unternehmen.
Was ist NIS 2?
Die überarbeitete Richtlinie zur Netzwerk- und Informationssicherheit (NIS 2) ist die EU-weite Gesetzgebung zur Cybersicherheit. NIS 2 aktualisiert und ergänzt die ursprüngliche NIS-Richtlinie, die 2016 verabschiedet wurde, und schafft einen Rechtsrahmen, um das Gesamtniveau der Cybersicherheit in der EU zu verbessern.
Die aktualisierte NIS-2-Richtlinie konzentriert sich auf drei Hauptbereiche:
Erweiterung des Anwendungsbereichs: Die sieben Sektoren, die unter die ursprüngliche NIS-Richtlinie fallen, werden durch eine Reihe neuer Bereiche ergänzt
Neue Mechanismen für die Meldung von Vorfällen und den Informationsaustausch: NIS 2 schreibt vor, dass schwerwiegende Vorfälle zeitnah gemeldet werden
Strengere Durchsetzung der Einhaltung der Vorschriften: Die aktualisierte NIS 2 führt spezifische Sanktionen bei Verstößen ein, darunter Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes
Für welche Organisationen gilt NIS 2?
Wie bereits erwähnt, erweitert die revidierte Richtlinie den Anwendungsbereich gegenüber der ursprünglichen Version von 2016 erheblich. Darüber hinaus führt NIS 2 eine Klassifikation ein, die die abgedeckten Sektoren in zwei Kategorien unterteilt:
Sektoren mit hoher Kritikalität (Anhang I):
Energie (Strom, Fernwärme und Kühlung, Gas, Wasserstoff, Öl)
Verkehr (Luft, Schiene, Wasser, Straße)
Bankwesen
Finanzmarktinfrastruktur
Gesundheit
Trinkwasser
Abwasser
Digitale Infrastruktur
ICT-Servicemanagement (MSP, MSSP)
Einrichtungen der öffentlichen Verwaltung
Weltraum
Andere kritische Sektoren (Anhang II):
Post- und Kurierdienste
Abfallwirtschaft
Herstellung, Herstellung und Vertrieb von Chemikalien
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Herstellung (medizinische Geräte, Computer, elektronische oder optische Produkte, elektrische Geräte, Maschinen, Kraftfahrzeuge, andere Transportmittel)
Digitale Anbieter
Forschung
Neben der Klassifizierung von Sektoren führt NIS 2 eine zusätzliche Klassifizierung bestimmter Einheiten ein. Auch sie besteht aus zwei Kategorien:
Essenziell (Artikel 3.1):
Große Einheiten (Jahresumsatz über 50 Mio. €) in Sektoren hoher Kritikalität
Zertifizierungsstellen, Top-Level-Domain-Registrare und DNS-Anbieter, unabhängig von der Unternehmensgröße
Telekommunikationsanbieter ab dem Mittelstand (Umsatz über 10 Mio. €)
Institutionen der öffentlichen Verwaltung
Jede Einheit, die zu einem hochkritischen Sektor oder einem anderen kritischen Sektor gehört, der von einem EU-Mitgliedstaat als essenziell eingestuft wird
Unternehmen, die gemäß der Richtlinie (EU) 2022/2557 als kritisch eingestuft sind
Wichtig (Artikel 3.2):
Mittelständische Unternehmen (Jahresumsatz 10-50 Mio. €) in hochkritischen Sektoren
Mittlere und große Unternehmen in anderen kritischen Sektoren
Alle Entitäten, die von einem EU-Mitgliedstaat als wichtig eingestuft werden
Zu welcher Kategorie eine Entität gehört, hat erhebliche praktische Auswirkungen. Die Aktivitäten von Einrichtungen, die als essenziell eingestuft werden, unterliegen einer viel strengeren und proaktiven Kontrolle, einschließlich stichprobenartiger Razzien, besonderer Sicherheitskontrollen und Aufforderungen zum Nachweis der Konformität. Bei Nichteinhaltung von NIS 2 können essenzielle Einrichtungen mit einer Geldbuße von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes belegt werden.
Als wichtig eingestufte Einrichtungen haben mehr Luft – sie unterliegen weniger strengen Kontrollen. Für als wichtig eingestufte Entitäten sind die Strafen etwas geringer: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
Zeitleiste für NIS 2
NIS 2 ist im Gegensatz zur DSGVO eine Richtlinie und keine Verordnung der Europäischen Union. Dies bedeutet, dass die EU-Mitgliedstaaten gesetzlich verpflichtet sind, ihre nationalen Rechtsvorschriften innerhalb der festgelegten Frist zu ändern. Im Fall von NIS 2 endet die Frist am 17. Oktober 2024.
Darüber hinaus müssen die EU-Mitgliedstaaten bis zum 17. April 2025 Listen mit essenziellen und wichtigen Einrichtungen erstellen, die NIS 2 unterliegen.
Es ist sinnvoll, sich die Zeitleiste der Hauptphasen von NIS 2 noch einmal genauer anzusehen:
Juli 2016: Annahme der Richtlinie (EU) 2016/1148, der ursprünglichen NIS
Mai 2018: Frist für die Umsetzung der NIS-Richtlinie durch die EU-Mitgliedstaaten in nationales Recht
Juli 2020: Beginn der Konsultationen der Europäischen Kommission (EK) zur Überarbeitung der NIS
Dezember 2020: Veröffentlichung des Vorschlags für NIS 2 durch die Europäische Kommission
Mai 2022: Abstimmung im Europäischen Parlament über die Verabschiedung der Richtlinie NIS 2
November 2022: Verabschiedung der Richtlinie NIS 2 durch den Rat der EU
Dezember 2022: Veröffentlichung der Richtlinie NIS 2 im Amtsblatt der EU unter dem Titel Richtlinie (EU) 2022/2555
Januar 2023: Inkrafttreten der Richtlinie NIS 2
Oktober 2024: Frist für die Umsetzung der Richtlinie NIS 2 durch die EU-Mitgliedstaaten in nationales Recht
April 2025: Frist für die Erstellung von Listen der essenziellen und wichtigen Entitäten durch die EU-Mitgliedstaaten. Danach müssen diese Listen regelmäßig aktualisiert werden – mindestens alle zwei Jahre
Oktober 2027: Überprüfung der Richtlinie NIS 2
Wie bereitet man sich auf die Implementierung von NIS 2 vor?
Einstufung, ob und inwieweit die Anforderungen von NIS 2 auf dein Unternehmen zutreffen
Untersuchung, wie die NIS-Richtlinie in deinem EU-Mitgliedstaat in nationales Recht umgesetzt wurde
Befolgen der Empfehlungen der nationalen Cybersicherheitsbehörden
Bewertung und Entwicklung technischer, betrieblicher und organisatorischer Maßnahmen für die Verwaltung von Netzwerk- und Informationssystemen; Sicherheitsrisiken
Weitere Informationen über die aktualisierte EU-Richtlinie über die Netzwerk- und Informationssicherheit und darüber, wie Unternehmen sich auf ihr Inkrafttreten vorbereiten können, findest du auf unserer speziellen Webseite zu NIS 2.