Was ist NIS2?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine überarbeitete Version der ursprünglichen NIS-Richtlinie, die 2016 von der EU verabschiedet wurde. Ziel dieser Richtlinie ist es, die Cybersicherheit in der Europäischen Union zu optimieren, indem strengere Anforderungen und Regeln an den Schutz kritischer Infrastrukturen (KRITIS) und wichtiger Einrichtungen eingeführt werden. Die NIS2-Richtlinie geht weit über ihre Vorgängerversion aus 2016 hinaus, indem sie den Kreis der betroffenen Unternehmen und Institutionen erweitert und striktere Pflichten zur Gewährleistung der IT-Sicherheit vorschreibt. Sie wurde als Reaktion auf die steigenden Bedrohungen durch Cyberangriffe und IT-Störungen verabschiedet und zielt darauf ab, das Cybersicherheitsniveau in den EU-Mitgliedstaaten zu harmonisieren. Nicht zuletzt sorgen aktuelle geopolitische Entwicklungen dafür, dass NIS2 immer mehr Bedeutung erlangt!

Warum wurde die NIS2-Richtlinie eingeführt?

Die Einführung der NIS2-Richtlinie erfolgte aufgrund der zunehmenden Bedrohungen im Cyberraum, insbesondere für Betreiber kritischer Infrastrukturen und Unternehmen, die für die allgemeine Versorgungssicherheit in Europa von Bedeutung sind. Angesichts der globalen Zunahme von Cyberangriffen, insbesondere auf besonders wichtige Einrichtungen wie Energieversorger oder Gesundheitseinrichtungen, wurde die Notwendigkeit deutlich, die bestehende NIS-Richtlinie zu überarbeiten. Die NIS2 soll diese Schwachstellen adressieren und einen rechtlichen Rahmen schaffen, der sowohl nationale als auch grenzüberschreitende Cybersicherheitsbedrohungen effektiv abwehren kann. Neben der Verbesserung der Cybersicherheit dient die NIS2 auch der Schaffung eines einheitlichen rechtlichen Rahmens innerhalb der EU, der den unterschiedlichen Cybersicherheitsniveaus in den Mitgliedstaaten entgegenwirken soll.

Zeitlicher Ablauf und wichtige Fristen der NIS2-Richtlinie

Die NIS2-Richtlinie wurde am 14. Dezember 2022 vom Europäischen Parlament und dem Rat der Europäischen Union verabschiedet und trat am 16. Januar 2023 in Kraft. Ab diesem Zeitpunkt begann eine 21-monatige Umsetzungsfrist für die EU-Mitgliedstaaten. Bis zum 17. Oktober 2024 müssen die Mitgliedstaaten die Richtlinie in nationales Recht umsetzen und die entsprechenden Gesetze, Verordnungen und Verwaltungsvorschriften veröffentlichen. Die neuen Regelungen werden dann ab dem 18. Oktober 2024 anwendbar sein. Für Unternehmen bedeutet dies, dass sie spätestens zu diesem Stichtag die Anforderungen der NIS2-Richtlinie erfüllen müssen. Allerdings ist es ratsam, bereits frühzeitig mit den Vorbereitungen zu beginnen, da die Implementierung umfangreicher Cybersicherheitsmaßnahmen Zeit in Anspruch nehmen kann. Zudem müssen sich betroffene Unternehmen innerhalb von 12 Monaten nach Inkrafttreten der nationalen Umsetzungsgesetze bei den zuständigen Behörden registrieren. Es ist daher empfehlenswert, dass Unternehmen umgehend eine Betroffenheitsanalyse durchführen und einen detaillierten Umsetzungsplan erstellen, um die Fristen einhalten zu können.

Bedeutung der NIS1-Richtlinie

1. Einheitlicher Rechtsrahmen:
   Die NIS1-Richtlinie schuf 2016 erstmals einen einheitlichen Rechtsrahmen für die Cybersicherheit in der EU.
2. Kritische Infrastrukturen:
   Sie definierte grundlegende Sicherheitsanforderungen für Betreiber kritischer Infrastrukturen und digitale Dienste.

Erweiterung der NIS2

1. Mehr Sektoren betroffen:
   Die NIS2-Richtlinie umfasst nun mehr Branchen und Einrichtungen, darunter den Gesundheitssektor und die Energieversorgung.
2. Striktere Anforderungen:
   Unternehmen und Institutionen müssen strengere Maßnahmen zur Risikobewältigung und Cybersicherheit umsetzen.

Welche Unternehmen und Einrichtungen sind von NIS2 betroffen?

Die NIS2-Richtlinie erweitert den Kreis der betroffenen Unternehmen erheblich. Während die NIS1-Richtlinie hauptsächlich auf Betreiber kritischer Infrastrukturen wie Energieversorger, Wasser- und Verkehrsinfrastrukturen abzielte, dehnt die NIS2 ihren Anwendungsbereich auf 18 Sektoren aus. Unternehmen ab 50 Mitarbeitenden oder einem Umsatz von mindestens 10 Millionen Euro, die in diesen Sektoren tätig sind, müssen nun den Anforderungen der NIS2 entsprechen. Diese Sektoren umfassen unter anderem Energie, Gesundheitswesen, Transport, Finanzen und die Lebensmittelversorgung. Auch Unternehmen der digitalen Infrastruktur, wie Anbieter von Cloud-Diensten und Rechenzentren, fallen unter die Regelungen der NIS2.

Betroffene Sektoren

Die NIS2-Richtlinie betrifft insgesamt 18 kritische Sektoren, die als besonders anfällig für Cyberangriffe gelten. Unternehmen und Einrichtungen in diesen Sektoren müssen die in der Richtlinie festgelegten Sicherheitsanforderungen erfüllen. Zu den betroffenen Sektoren gehören nicht nur traditionelle kritische Infrastrukturen, sondern auch digitale Dienste und andere Branchen, die eine wesentliche Rolle für das gesellschaftliche und wirtschaftliche Leben in der EU spielen. Diese Sektoren sind nach Anhang I und II der NIS2-Richtlinie klar definiert und beinhalten eine Vielzahl von Akteuren, die sich sowohl in ihrer Art als auch in ihrer Größe unterscheiden. Die wichtigsten sind im Folgenden genannt:

1. Energiesektor:
   Unternehmen, die Elektrizität, Erdgas und Öl produzieren, verteilen oder speichern, einschließlich Betreibern von Ladepunkten für Elektromobilität.
2. Transportwesen:
   Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr und Betreiber intelligenter Verkehrssysteme.
3. Bankwesen und Finanzmarktinfrastrukturen:
   Kreditinstitute und Betreiber von Handelsplätzen sowie zentrale Gegenparteien.
4. Gesundheitswesen:
   Krankenhäuser, Gesundheitseinrichtungen und Einrichtungen, die kritische Arzneimittel oder Medizinprodukte herstellen.
5. Trinkwasser- und Abwasserwirtschaft:
   Unternehmen, die Trinkwasser liefern oder Abwasser behandeln und entsorgen.
6. Digitale Infrastruktur:
   Anbieter von Cloud-Diensten, DNS-Dienstanbieter, Betreiber von Rechenzentren und Internet-Knoten.
7. Öffentliche Verwaltung:
   Zentrale und regionale öffentliche Verwaltungen, die kritische Verwaltungsdienste erbringen.
8. Post- und Kurierdienste:
   Unternehmen, die Dienstleistungen im Bereich der Post- und Kurierdienste erbringen.
9. Abfallbewirtschaftung:
   Einrichtungen, die für die Sammlung, Entsorgung oder Behandlung von kommunalem oder industriellem Abwasser zuständig sind.
10. Produktion und Handel mit chemischen Stoffen:
    Unternehmen, die chemische Stoffe herstellen, verarbeiten oder damit handeln.
11. Lebensmittelproduktion und -verarbeitung:
    Großhändler und industrielle Lebensmittelhersteller, die für die Versorgung der Bevölkerung entscheidend sind.
12. Verarbeitendes Gewerbe:
    Unternehmen, die in der Herstellung von elektrischen Geräten, Fahrzeugen, Maschinenbau und medizinischen Geräten tätig sind.

Diese Sektoren spielen eine Schlüsselrolle in der europäischen Wirtschaft und Gesellschaft. Angriffe auf diese Bereiche können schwerwiegende Auswirkungen auf das tägliche Leben haben, weshalb sie besonders im Fokus der NIS2 stehen. Unternehmen aus diesen Sektoren müssen sicherstellen, dass sie die vorgeschriebenen Cybersicherheitsmaßnahmen umsetzen, um ihre Netzwerke und Informationssysteme zu schützen.

Welche Pflichten ergeben sich aus der NIS2-Richtlinie?

Die NIS2-Richtlinie führt eine Reihe von neuen und erweiterten Verpflichtungen für Unternehmen ein, die sich von der vorherigen NIS1 deutlich unterscheiden. Unternehmen, die in die betroffenen Sektoren fallen, müssen nicht nur technische und organisatorische Sicherheitsmaßnahmen umsetzen, sondern auch eine proaktive Rolle in der Meldung und Bewältigung von Sicherheitsvorfällen übernehmen. Diese Verpflichtungen betreffen sowohl die internen IT-Systeme als auch die gesamte Lieferkette. Unternehmen müssen sich selbst kategorisieren, eine Reihe von Sicherheitsmaßnahmen implementieren und eng mit den zuständigen Behörden zusammenarbeiten. Die Verantwortung der Geschäftsführung wird dabei stärker in den Fokus gerückt, da Führungskräfte persönlich für Verstöße haftbar gemacht werden können.

1. Selbsteinstufung und Registrierung:
   Unternehmen müssen sich selbst in eine von zwei Kategorien einordnen: "Wichtige Einrichtung" oder "Besonders wichtige Einrichtung". Je nach Einstufung gelten unterschiedliche Anforderungen an die Aufsicht und Meldepflichten. Die Registrierung bei der nationalen Aufsichtsbehörde, wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI), muss innerhalb von drei Monaten nach der Selbsteinstufung erfolgen.
2. Einführung eines Risikomanagements:
   Unternehmen müssen ein umfassendes Risikomanagementsystem etablieren, das auf die Sicherheit der Netz- und Informationssysteme ausgerichtet ist. Dabei müssen technische, operative und organisatorische Maßnahmen ergriffen werden, um potenzielle Sicherheitsvorfälle frühzeitig zu erkennen und angemessen darauf zu reagieren. Das Risikomanagement muss dem „Stand der Technik“ entsprechen und regelmäßig aktualisiert werden, um neuen Bedrohungen im Cyberraum gerecht zu werden.
3. Sicherheitsmaßnahmen in der Lieferkette:
   Unternehmen sind verpflichtet, die Sicherheit in ihrer gesamten Lieferkette zu gewährleisten. Das bedeutet, dass auch die IT-Sicherheitsvorkehrungen von Zulieferern und Geschäftspartnern strengeren Anforderungen unterliegen. Unternehmen müssen vertragliche Vereinbarungen treffen, um sicherzustellen, dass ihre Partner die geforderten Sicherheitsstandards einhalten.
4. Nachweis der Cybersicherheit:
   Unternehmen müssen der Aufsichtsbehörde auf Verlangen jederzeit Nachweise über ihre Cybersicherheitsmaßnahmen erbringen. Dies kann regelmäßige Audits, Sicherheitsüberprüfungen und Penetrationstests umfassen. Besonders wichtige Einrichtungen unterliegen zudem einer proaktiven Aufsicht, bei der Prüfungen ohne konkreten Anlass durchgeführt werden können.
5. Meldepflichten bei Sicherheitsvorfällen:
   Sicherheitsvorfälle, die erhebliche Auswirkungen auf die Dienste eines Unternehmens haben, müssen innerhalb von 24 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Darüber hinaus müssen die Unternehmen innerhalb von 72 Stunden nach dem Vorfall einen detaillierten Bericht über die Ursachen, Auswirkungen und Maßnahmen zur Abmilderung des Vorfalls vorlegen.
6. Haftung der Geschäftsführung:
   Die NIS2 legt besonderen Wert auf die Verantwortung der Geschäftsführung. Führungskräfte sind verpflichtet, die Einhaltung der Cybersicherheitsanforderungen zu überwachen und für die ordnungsgemäße Umsetzung der Maßnahmen zu sorgen. Im Falle eines Verstoßes können Geschäftsführer persönlich haftbar gemacht werden, was hohe finanzielle Strafen und rechtliche Konsequenzen nach sich ziehen kann.

Die neuen Verpflichtungen sind umfassend und betreffen praktisch jeden Aspekt der Unternehmensführung im Hinblick auf Cybersicherheit. Besonders kleine und mittelständische Unternehmen, die bisher weniger strenge Auflagen hatten, müssen nun erhebliche Anstrengungen unternehmen, um die Anforderungen zu erfüllen. Es ist daher essenziell, dass betroffene Unternehmen frühzeitig mit der Umsetzung der Maßnahmen beginnen und entsprechende Budgets und Ressourcen für die IT-Sicherheit bereitstellen. Der proaktive Ansatz der NIS2 soll sicherstellen, dass potenzielle Bedrohungen frühzeitig erkannt und verhindert werden können, bevor sie erheblichen Schaden anrichten.

Wie erfolgt die Umsetzung der NIS2 in nationales Recht?

Die NIS2-Richtlinie ist ein EU-weites Gesetzeswerk, das bis Oktober 2024 von den Mitgliedstaaten in nationales Recht umgesetzt werden muss. In Deutschland wird die NIS2 durch das sogenannte „NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG) in Kraft treten. Der Bundestag und das Bundeskabinett arbeiten derzeit an der finalen Fassung dieses Gesetzes, das die neuen Anforderungen der EU-Richtlinie in nationales Recht überführen soll. In der Zwischenzeit müssen Unternehmen und Einrichtungen, die von der NIS2 betroffen sind, bereits mit der Umsetzung der Sicherheitsanforderungen beginnen, da der Zeitrahmen bis zur gesetzlichen Frist sehr knapp ist.

Struktur der nationalen Umsetzung

Die Umsetzung der NIS2 in nationales Recht variiert von Land zu Land. In Deutschland liegt die Verantwortung bei der Bundesregierung, insbesondere beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Dieses wird die zentrale Aufsichtsbehörde für die NIS2 sein und die Einhaltung der neuen Anforderungen überwachen. Unternehmen müssen ihre Sicherheitsmaßnahmen entsprechend den Vorgaben des BSI nachweisen und regelmäßige Audits durchführen lassen.

Sanktionen bei Verstößen

Verstöße gegen die NIS2-Richtlinie können mit erheblichen Geldstrafen geahndet werden. Diese Strafen können je nach Schwere des Verstoßes bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Für wichtige Einrichtungen gelten geringere Strafen, jedoch sind auch hier Sanktionen in Millionenhöhe möglich. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, während wichtige Einrichtungen reaktiv überwacht werden.

Welche Rolle spielt die Cybersicherheit im Rahmen der NIS2?

Die Cybersicherheit ist das zentrale Thema der NIS2-Richtlinie. Ziel ist es, die Netz- und Informationssicherheit in der EU deutlich zu verbessern und gleichzeitig die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen. Unternehmen müssen nicht nur ihre internen IT-Systeme absichern, sondern auch die Sicherheit in der Lieferkette gewährleisten. Durch den grenzüberschreitenden Charakter von Cyberbedrohungen ist eine enge Zusammenarbeit zwischen den Mitgliedstaaten und ihren Behörden notwendig, um effektive Maßnahmen zur Abwehr von Cyberangriffen zu ergreifen.

Erhöhung des Cybersicherheitsniveaus

Die NIS2 sieht vor, dass Unternehmen ihre Cybersicherheitsmaßnahmen regelmäßig evaluieren und verbessern. Dies umfasst unter anderem die Einführung eines Informationssicherheitsmanagementsystems (ISMS) und die Durchführung von Schulungen für Mitarbeiter, um die sogenannte „Cyberhygiene“ sicherzustellen. Ziel ist es, das Cybersicherheitsniveau in der gesamten EU zu harmonisieren und zu erhöhen.

Grenzüberschreitende Zusammenarbeit

Da Cyberbedrohungen nicht an nationalen Grenzen haltmachen, fördert die NIS2 eine enge Zusammenarbeit zwischen den Mitgliedstaaten. Nationale Behörden sind dazu angehalten, Informationen über Bedrohungen auszutauschen und gemeinsame Maßnahmen zur Abwehr von Cyberangriffen zu entwickeln. Diese Zusammenarbeit soll sicherstellen, dass die EU als Ganzes gegen Bedrohungen aus dem Cyberraum gewappnet ist.

Wie wird die NIS2 in der Praxis umgesetzt?

Die praktische Umsetzung der NIS2-Richtlinie stellt für viele Unternehmen eine erhebliche Herausforderung dar und erfordert einen ganzheitlichen Ansatz zur Cybersicherheit. Hier sind die wichtigsten Schritte und Überlegungen für eine effektive Implementierung:

Wichtige Schritte zur Umsetzung

1. Betroffenheitsanalyse und Gap-Analyse:
   
   • Durchführung einer detaillierten Analyse, um festzustellen, ob das Unternehmen unter die NIS2 fällt
   • Identifizierung der relevanten Geschäftsbereiche und kritischen Dienste
   • Bewertung des aktuellen Cybersicherheitsniveaus im Vergleich zu den NIS2-Anforderungen
   • Ermittlung von Lücken und Verbesserungspotenzial
2. Entwicklung einer Cybersecurity-Strategie:
   
   • Erstellung einer umfassenden Cybersicherheitsstrategie, die auf die NIS2-Anforderungen abgestimmt ist
   • Definition von klaren Zielen, Verantwortlichkeiten und Zeitplänen
   • Einbindung der Geschäftsführung zur Sicherstellung der notwendigen Unterstützung und Ressourcen
3. Implementierung eines Informationssicherheitsmanagementsystems (ISMS):
   
   • Einführung oder Anpassung eines ISMS nach anerkannten Standards wie ISO 27001
   • Integration von Risikomanagementprozessen
   • Entwicklung und Umsetzung von Sicherheitsrichtlinien und -verfahren
4. Technische Maßnahmen:
   
   • Implementierung moderner Sicherheitstechnologien (z.B. Next-Generation Firewalls, Intrusion Detection Systems)
   • Einführung von Multi-Faktor-Authentifizierung und Verschlüsselung
   • Regelmäßige Sicherheits-Updates und Patch-Management
   • Implementierung von Backup- und Disaster-Recovery-Lösungen
5. Schulung und Sensibilisierung der Mitarbeiter:
   
   • Entwicklung und Durchführung regelmäßiger Schulungsprogramme zur Cybersicherheit
   • Sensibilisierung aller Mitarbeiter für Cybersicherheitsrisiken und Best Practices
   • Spezielle Schulungen für IT-Personal und Führungskräfte
6. Supply Chain Security:
   
   • Überprüfung und Anpassung von Verträgen mit Lieferanten und Dienstleistern
   • Durchführung von Sicherheitsaudits bei kritischen Zulieferern
   • Entwicklung von Sicherheitsstandards für die gesamte Lieferkette
7. Incident Response und Business Continuity:
   
   • Erstellung und regelmäßige Aktualisierung von Incident-Response-Plänen
   • Durchführung von Übungen zur Simulation von Cybersicherheitsvorfällen
   • Entwicklung und Test von Business-Continuity-Plänen
8. Compliance und Reporting:
   
   • Einrichtung von Prozessen zur Erfüllung der Meldepflichten bei Sicherheitsvorfällen
   • Implementierung von Systemen zur Erfassung und Dokumentation von Sicherheitsvorfällen
   • Regelmäßige interne Audits zur Überprüfung der NIS2-Konformität
9. Kontinuierliche Verbesserung:
   
   • Etablierung eines Prozesses zur regelmäßigen Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
   • Durchführung von NIS2 Penetrationstests und Schwachstellenanalysen
   • Anpassung der Sicherheitsstrategie an neue Bedrohungen und technologische Entwicklungen
10. Zusammenarbeit mit Behörden und Experten:
    
    • Aufbau von Beziehungen zu relevanten Behörden und CSIRTs
    • Teilnahme an Brancheninitiativen und Informationsaustauschplattformen
    • Bei Bedarf Hinzuziehung externer Cybersicherheitsexperten

Die Umsetzung der NIS2-Richtlinie ist ein komplexer und fortlaufender Prozess, der erhebliche Ressourcen und Engagement erfordert. Unternehmen sollten frühzeitig beginnen und einen strukturierten Ansatz verfolgen, um die Anforderungen effektiv zu erfüllen und ihre Cybersicherheit nachhaltig zu verbessern.

Nachweise und Auditierung

Betroffene Unternehmen müssen regelmäßig Nachweise über die Umsetzung der Sicherheitsmaßnahmen erbringen. Diese Nachweise werden von den nationalen Aufsichtsbehörden, wie dem BSI, geprüft. Dazu gehören sowohl interne Audits als auch Prüfungen durch externe Stellen. Unternehmen müssen sicherstellen, dass ihre Maßnahmen stets auf dem neuesten Stand der Technik sind und den gesetzlichen Anforderungen entsprechen.

Was bedeutet die NIS2-Richtlinie für die Zukunft der Cybersicherheit?

Die NIS2-Richtlinie markiert einen entscheidenden Schritt in der Stärkung der Cybersicherheit in Europa. Sie setzt einen neuen Standard für den Schutz kritischer Infrastrukturen und wichtiger Einrichtungen und stellt sicher, dass Unternehmen und Institutionen besser gegen Cyberbedrohungen gerüstet sind. Durch die Einführung strengerer Sicherheitsanforderungen, die Überwachung durch Aufsichtsbehörden und die Verpflichtung zur Meldung von Sicherheitsvorfällen wird das allgemeine Cybersicherheitsniveau in der EU deutlich verbessert. In Zukunft wird es für Unternehmen unerlässlich sein, ihre IT-Sicherheitsmaßnahmen kontinuierlich anzupassen und zu erweitern, um den immer komplexer werdenden Bedrohungen aus dem Cyberraum zu begegnen.