NIS-2-Richtlinie
Die NIS-2-Richtlinie (zweite Richtlinie zur Netzwerk- und Informationssystemsicherheit) stellt eine bedeutende Erweiterung und Überarbeitung der ursprünglichen NIS-Richtlinie dar. Sie zielt darauf ab, das Cybersicherheitsniveau in der Europäischen Union erheblich zu verbessern und die Widerstandsfähigkeit gegen Cyberbedrohungen zu stärken. In diesem Artikel werden die wichtigsten Aspekte der NIS-2-Richtlinie erläutert, einschließlich ihres Geltungsbereichs, der konkreten Anforderungen und der Meldepflichten.
Inhalt
Geltungsbereich der NIS 2
Die NIS-2-Richtlinie erweitert den Anwendungsbereich erheblich im Vergleich zu ihrer Vorgängerin. Sie umfasst nun eine breitere Palette von Sektoren und Einrichtungen:
Sektoren mit hoher Kritikalität (Anhang I)
- Energie (Strom, Fernwärme / -kälte, Öl, Gas, Wasserstoff)
- Verkehr (Luft, Schiene, Schiff, Straße)
- Banken
- Finanzmarktinfrastrukturen
- Gesundheit
- Trink- und Abwasser
- Digitale Infrastruktur
- B2B-Anbieter von IKT-Diensten
- Öffentliche Verwaltung
- Weltraum
Sonstige kritische Sektoren (Anhang II)
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemikalien (Produktion, Herstellung, Handel)
- Lebensmittel (Produktion, Verarbeitung, Vertrieb)
- Industrie (Medizinprodukte, Elektrik & Elektronik, Maschinenbau, Fahrzeugbau)
- Digitale Dienste (Marktplätze, Suchmaschinen, Social Media)
- Forschung
Die Richtlinie gilt für mittlere und große Unternehmen in diesen Sektoren, basierend auf definierten Schwellenwerten.
Konkrete Anforderungen der NIS 2
Die NIS-2-Richtlinie stellt in Artikel 21 eine Reihe spezifischer Anforderungen an die betroffenen Einrichtungen. Diese Anforderungen zielen darauf ab, ein hohes gemeinsames Niveau der Cybersicherheit in der gesamten EU zu gewährleisten. Im Folgenden die wichtigsten Anforderungen im Detail:
Risikomanagement (Artikel 21, Absatz 1 und 2(a))
Implementierung angemessener und verhältnismäßiger technischer, operativer und organisatorischer Maßnahmen zur Bewältigung von Cybersicherheitsrisiken, einschließlich Konzepten für die Risikoanalyse und Sicherheit von Informationssystemen. Beispiele: Durchführung regelmäßiger Risikoanalysen, Erstellung und Aktualisierung eines Risikoinventars, Implementierung eines formalisierten Risikomanagementprozesses.
Lieferkettensicherheit (Artikel 21, Absatz 2(d) und Absatz 3)
Berücksichtigung von Cybersicherheitsrisiken in der gesamten Lieferkette, einschließlich Sicherheitsaspekte zwischen dem Unternehmen und seinen direkten Zulieferern oder Dienstleistern. Beispiele: Durchführung von Sicherheitsaudits bei Zulieferern, Einbeziehung von Cybersicherheitsklauseln in Verträge, Implementierung eines Lieferanten-Risikomanagement-Systems.
Bewältigung von Sicherheitsvorfällen (Artikel 21, Absatz 2(b))
Implementierung von Maßnahmen zur effektiven Bewältigung von Sicherheitsvorfällen. Beispiele: Einrichtung eines Computer Emergency Response Teams (CERT), Entwicklung und regelmäßiges Testen von Incident Response Plänen, Implementierung von automatisierten Erkennungs- und Reaktionssystemen.
Aufrechterhaltung des Betriebs und Krisenmanagement (Artikel 21, Absatz 2(c))
Implementierung von Maßnahmen zur Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Beispiele: Entwicklung und regelmäßige Tests von Business Continuity und Disaster Recovery Plänen, Einrichtung eines Krisenstabs für Cybervorfälle, Implementierung redundanter Systeme und Datensicherungen.
Sicherheit bei Erwerb, Entwicklung und Wartung (Artikel 21, Absatz 2(e))
Implementierung von Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen. Beispiele: Integration von Security-by-Design-Prinzipien in den Entwicklungsprozess, regelmäßige Durchführung von Sicherheitsupdates und Patches, Implementierung eines Schwachstellen-Management-Programms.
Prüfung und Bewertung der Wirksamkeit (Artikel 21, Absatz 2(f))
Implementierung von Konzepten und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit. Beispiele: Durchführung regelmäßiger interner und externer Sicherheitsaudits, Implementierung von Key Performance Indicators (KPIs) für Cybersicherheit, Durchführung von Penetrationstests und Red-Team-Übungen.
Cyberhygiene und Schulungen (Artikel 21, Absatz 2(g))
Implementierung grundlegender Verfahren im Bereich der Cyberhygiene und Durchführung von Schulungen im Bereich der Cybersicherheit. Beispiele: Durchführung regelmäßiger Phishing-Simulationen, verpflichtende jährliche Cybersecurity-Awareness-Trainings für alle Mitarbeiter, Implementierung von Best-Practice-Richtlinien für Passwörter und Gerätenutzung.
Verschlüsselung und Kryptografie (Artikel 21, Absatz 2(h))
Implementierung von Konzepten und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung. Beispiele: Verwendung von AES-256 für die Datenverschlüsselung, Einsatz von TLS für die Verschlüsselung von Datenübertragungen, Implementierung von Ende-zu-Ende-Verschlüsselung für sensible Kommunikation.
Personalsicherheit, Zugriffskontrolle und Anlagenmanagement (Artikel 21, Absatz 2(i))
Implementierung von Maßnahmen zur Sicherheit des Personals, Konzepten für die Zugriffskontrolle und Management von Anlagen. Beispiele: Durchführung von Hintergrundüberprüfungen bei der Einstellung neuer Mitarbeiter, Implementierung eines rollenbasierten Zugriffskonzepts, Installation von Zutrittskontrollsystemen für kritische Infrastrukturen.
Multi-Faktor-Authentifizierung und sichere Kommunikation (Artikel 21, Absatz 2(j))
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Kommunikationssysteme und gegebenenfalls gesicherte Notfallkommunikationssysteme. Beispiele: Implementierung von 2-Faktor-Authentifizierung für alle kritischen Systeme, Einsatz von VPNs für Remote-Zugriffe, Einrichtung eines gesicherten Notfallkommunikationssystems.
Berücksichtigung des Stands der Technik (Artikel 21, Absatz 1, Unterabsatz 2)
Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen bei der Implementierung von Sicherheitsmaßnahmen. Beispiele: Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen basierend auf den neuesten Best Practices und Standards wie ISO/IEC 27001, NIST Cybersecurity Framework oder BSI IT-Grundschutz.
Berücksichtigung der Verhältnismäßigkeit der Maßnahmen (Artikel 21, Absatz 1, Unterabsatz 2)
Berücksichtigung der Verhältnismäßigkeit der Maßnahmen unter Einbeziehung von Faktoren wie Risikoexposition, Größe der Einrichtung und potenzielle Auswirkungen von Sicherheitsvorfällen. Beispiele: Durchführung einer Kosten-Nutzen-Analyse für Sicherheitsmaßnahmen, Anpassung der Sicherheitskontrollen basierend auf der Kritikalität der Systeme und Daten, Priorisierung von Sicherheitsinvestitionen basierend auf Risikoanalysen.
Die Umsetzung dieser Anforderungen erfordert einen ganzheitlichen Ansatz zur Cybersicherheit, der technische, operative und organisatorische Aspekte umfasst. Unternehmen müssen diese Anforderungen an ihre spezifische Situation anpassen und kontinuierlich überprüfen und verbessern.
Meldepflichten der NIS 2
Die NIS-2-Richtlinie legt in Artikel 23 klare Berichtspflichten für Cybersicherheitsvorfälle fest:
Frühwarnung
Wesentliche und wichtige Einrichtungen müssen ohne ungebührliche Verzögerung, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Cybersicherheitsvorfalls, eine Frühwarnung an die zuständigen Behörden oder das CSIRT (Computer Security Incident Response Team) übermitteln.
Meldung über den Sicherheitsvorfall
Innerhalb von 72 Stunden nach Kenntnisnahme des erheblichen Sicherheitsvorfalls muss eine Meldung über den Sicherheitsvorfall folgen. Sie aktualisiert die Frühwarnung und enthält eine erste Bewertung des Vorfalls, seiner Schwere und Auswirkungen sowie, soweit verfügbar, die Kompromittierungsindikatoren.
Abschlussbericht
Spätestens einen Monat nach der Meldung über den Sicherheitsvorfall muss ein Abschlussbericht vorgelegt werden, der Folgendes enthält:
- Eine detaillierte Beschreibung des Vorfalls, seiner Schwere und Auswirkungen
- Die Art der Bedrohung oder Ursache, die den Vorfall vermutlich ausgelöst hat
- Angewandte und laufende Abhilfemaßnahmen
- Gegebenenfalls grenzüberschreitende Auswirkungen des Vorfalls
Sanktionen und Durchsetzung
Die NIS-2-Richtlinie sieht wirksame, verhältnismäßige und abschreckende Sanktionen für Verstöße vor:
Geldbußen
Bei Verstößen gegen Artikel 21 oder 23 müssen die Mitgliedstaaten für wesentliche Einrichtungen Geldbußen mit einem Höchstbetrag von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorsehen, für wichtige Einrichtungen mindestens 7 Millionen Euro oder 1,4 %, jeweils je nachdem, welcher Betrag höher ist.
Persönliche Haftung
Leitungsorgane können für Verstöße gegen ihre Pflichten zur Überwachung und Durchsetzung der Einhaltung der NIS-2-Bestimmungen zur Verantwortung gezogen werden.
Temporäre Verbote
In wesentlichen Einrichtungen kann Personen mit Leitungsaufgaben auf Ebene der Geschäftsführung oder der rechtlichen Vertretung vorübergehend die Ausübung von Leitungsfunktionen untersagt werden.
Abgrenzung zum Cyber Resilience Act (CRA)
Während die NIS-2-Richtlinie sich auf die Sicherheit von Netzwerk- und Informationssystemen in kritischen Sektoren konzentriert, zielt der Cyber Resilience Act (CRA) speziell auf die Cybersicherheit von Produkten mit digitalen Elementen ab. Es ist wichtig, die Unterschiede und Synergien zwischen diesen beiden EU-Regulierungen zu verstehen:
| NIS 2 | CRA | |
|---|---|---|
| Fokus | Konzentriert sich auf organisatorische und prozessbezogene Aspekte der Cybersicherheit in bestimmten Sektoren. | Zielt auf die Produktsicherheit und legt den Schwerpunkt auf die gesamte Lieferkette von Produkten mit digitalen Elementen. |
| Anwendungsbereich | Gilt für Unternehmen und Organisationen in definierten kritischen Sektoren. | Betrifft Hersteller, Importeure und Vertreiber von Produkten mit digitalen Elementen, unabhängig vom Sektor. |
| Anforderungen | Fordert Risikomanagementmaßnahmen, Meldepflichten und organisatorische Sicherheitsmaßnahmen. | Verlangt die Berücksichtigung von Cybersicherheit im Produktdesign, Konformitätsbewertungen und kontinuierliches Schwachstellenmanagement über den gesamten Produktlebenszyklus. |
| Zeitlicher Rahmen | Umsetzung in nationales Recht bis Oktober 2024. | In Kraft seit 10. Dezember 2024; die Meldepflichten gelten seit 11. September 2026, die meisten übrigen Bestimmungen ab 11. Dezember 2027. |
Für viele Unternehmen, insbesondere solche, die sowohl kritische Infrastrukturen betreiben als auch Produkte mit digitalen Elementen herstellen oder vertreiben, werden beide Regulierungen relevant sein. Es ist daher wichtig, einen ganzheitlichen Ansatz zu verfolgen, der sowohl die Anforderungen der NIS-2 als auch des CRA berücksichtigt.
Für eine detailliertere Betrachtung der Auswirkungen der NIS-2-Richtlinie auf einzelne Branchen empfehlen wir unseren Beitrag „Die NIS-2-Richtlinie: Neue Herausforderungen für den Maschinenbau“, der die besonderen Folgen für den Maschinenbau beleuchtet.
Umsetzung und Zeitrahmen der NIS 2
Die EU-Mitgliedstaaten mussten die Bestimmungen der NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. In Deutschland gilt dafür seit dem 6. Dezember 2025 das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Allerdings ist zu beachten:
- Unterschiedliche Umsetzungsgeschwindigkeiten: Nicht alle Länder haben die Frist eingehalten; gegen Irland, Spanien, Frankreich und die Niederlande hat die Kommission im Juli 2026 Klage beim Gerichtshof der EU erhoben. Die Umsetzung ist deshalb uneinheitlich.
- Nationale Anpassungen: Einige Länder haben die Anforderungen der Richtlinie erweitert oder angepasst, was zu Unterschieden zwischen den Mitgliedstaaten führt.
- Schrittweise Implementierung: Unternehmen sollten mit einer schrittweisen Einführung und möglichen Anpassungen der Anforderungen im Laufe der Zeit rechnen.
Einen Überblick über den Stand der Umsetzung in den EU-Ländern zum 17. Oktober 2024 gibt unser Beitrag „NIS-2-Umsetzung in Europa“. Dieser Artikel bietet wertvolle Einblicke in die unterschiedlichen Ansätze und Fortschritte der Mitgliedstaaten bei der Implementierung der Richtlinie.
Fazit
Die NIS-2-Richtlinie stellt einen bedeutenden Schritt zur Verbesserung der Cybersicherheit in der EU dar. Sie stellt Unternehmen vor erhebliche Herausforderungen, bietet aber auch die Chance, die eigene Cybersicherheit umfassend zu verbessern und widerstandsfähiger gegen Bedrohungen zu werden. Eine proaktive Herangehensweise und die frühzeitige Auseinandersetzung mit den Anforderungen der Richtlinie sind für Unternehmen entscheidend, um gut vorbereitet zu sein und potenzielle Risiken zu minimieren.