Mit NIS2 wird Sicherheit zu etwas, das Sie nachweisen müssen.

NIS2 ist die zweite Richtlinie zur Netz- und Informationssicherheit, die Richtlinie (EU) 2022/2555. Sie schafft einen gemeinsamen Cybersicherheitsstandard in der gesamten Europäischen Union und ersetzt die ursprüngliche NIS-Richtlinie von 2016 durch einen größeren Anwendungsbereich, strengere Anforderungen und eine echte Verantwortlichkeit der Geschäftsleitung.

Die Absicht ist eindeutig: das Niveau der Cyberresilienz für jene Organisationen anzuheben, auf die unsere Gesellschaft angewiesen ist. Wo die alten Regeln nur einen engen Kreis von Betreibern erfassten, bezieht NIS2 ganze Sektoren ein und verpflichtet jede Organisation zu einem dokumentierten Standard für Risikomanagement, Meldung von Sicherheitsvorfällen und Sicherheit der Lieferkette.

NIS2 erfasst grundsätzlich mittelgroße und große Organisationen in bestimmten Sektoren. Für einige kleinere kritische Anbieter gelten Ausnahmen von der Größenschwelle. Lieferanten können zudem Anforderungen eines erfassten Kunden erfüllen müssen. Die genauen Pflichten ergeben sich aus dem jeweils anwendbaren nationalen Recht.

Die Richtlinie unterteilt Organisationen in wesentliche Einrichtungen (Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur und öffentliche Verwaltung) und wichtige Einrichtungen (darunter Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter). Beide müssen dieselben Sicherheitspflichten erfüllen; der Unterschied liegt vor allem darin, wie streng sie beaufsichtigt werden.

NIS2 baut auf den Risikomanagementmaßnahmen aus Artikel 21, strengen Meldepflichten bei Sicherheitsvorfällen und der in Artikel 20 festgelegten Verantwortlichkeit der Geschäftsleitung auf. In der Praxis läuft es auf fünf Dinge hinaus, die Sie tun und nachweisen können müssen.

• RisikomanagementmaßnahmenErgreifen Sie technische und organisatorische Maßnahmen für Ihre Netze und Informationssysteme: Zugriffskontrolle, MFA, Verschlüsselung, Patching, Backups und Geschäftskontinuität.
• Meldung von SicherheitsvorfällenMelden Sie erhebliche Vorfälle nach einem strengen Zeitplan: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
• Sicherheit der LieferketteBewerten und steuern Sie das Cyberrisiko, das Ihre Lieferanten und Dienstleister mit sich bringen, denn ein Angreifer, der über einen Anbieter hereinkommt, bleibt Ihr meldepflichtiger Vorfall.
• Verantwortlichkeit der GeschäftsleitungDie Geschäftsleitung muss die Risikomaßnahmen genehmigen und überwachen und kann persönlich haftbar gemacht werden. Cybersicherheit wird zur Aufgabe der Leitungsebene, nicht nur der IT.
• Kontinuierliche ComplianceHalten Sie Ihre Nachweise aktuell. Aufsichtsbehörden können jederzeit nachfragen, daher müssen Sicherheitslage, Richtlinien und Vorfallsprotokolle auf Abruf bereitstehen und nicht erst nach der Anfrage zusammengestellt werden.

NIS2 trat im Januar 2023 in Kraft. Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Stand der Umsetzung und Durchsetzung unterscheiden sich je nach Land. Prüfen Sie deshalb das Gesetz und die zuständige Behörde in Ihrem Land.

Die Sanktionen haben Gewicht. Wesentlichen Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Über Geldbußen hinaus können Aufsichtsbehörden die Geschäftsleitung persönlich zur Verantwortung ziehen, weshalb NIS2 von einem IT-Thema zu einem Thema der Leitungsebene geworden ist. Für Organisationen des Finanzsektors steht NIS2 neben DORA und dessen eigenen Anforderungen an die operative Resilienz.