NIS2 (Network and Information Security 2)
Die NIS2-Richtlinie (EU 2022/2555) ist die umfassende Überarbeitung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016 und bildet den zentralen Rechtsrahmen der Europäischen Union für Cybersicherheit. Sie wurde am 14. Dezember 2022 im Amtsblatt der EU veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten waren verpflichtet, die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. In Deutschland erfolgt die Umsetzung durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG).
Was ist NIS2?
NIS2 steht für die zweite Fassung der Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union. Ziel der Richtlinie ist es, die Cyberresilienz kritischer und wichtiger Einrichtungen in der EU signifikant zu stärken und ein einheitliches Schutzniveau zu etablieren. Gegenüber der ursprünglichen NIS-Richtlinie erweitert NIS2 den Anwendungsbereich erheblich, verschärft die Sicherheitsanforderungen und führt deutlich strengere Durchsetzungsmechanismen ein.
Wen betrifft NIS2?
Die Richtlinie unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) und erfasst insgesamt 18 Sektoren:
Sektoren mit hoher Kritikalität (Anhang I): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Service-Management (B2B), öffentliche Verwaltung und Weltraum.
Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.
Die Einordnung erfolgt primär nach Unternehmensgröße: Mittlere Unternehmen (ab 50 Mitarbeiter oder 10 Mio. EUR Jahresumsatz) und große Unternehmen fallen automatisch in den Anwendungsbereich, sofern sie in einem der genannten Sektoren tätig sind. Bestimmte Einrichtungen unterliegen unabhängig von ihrer Größe der Regulierung.
Kernforderungen
NIS2 definiert zehn zentrale Risikomanagementmaßnahmen, die alle betroffenen Einrichtungen umsetzen müssen:
- Risikoanalyse und Sicherheitskonzepte: Umfassende Strategien für die Informationssicherheit, einschließlich regelmäßiger Risikoanalysen und -bewertungen.
- Bewältigung von Sicherheitsvorfällen: Strukturierte Prozesse für Erkennung, Analyse, Eindämmung und Meldung von Cybersicherheitsvorfällen.
- Betriebskontinuität und Krisenmanagement: Business-Continuity-Pläne, Backup-Management und Disaster Recovery zur Sicherstellung der Aufrechterhaltung des Betriebs.
- Sicherheit der Lieferkette: Bewertung und Management von Cybersicherheitsrisiken in der gesamten Lieferkette, einschließlich direkter Zulieferer und Dienstleister.
- Sicherheit bei Erwerb, Entwicklung und Wartung: Sicherheitsanforderungen für Netz- und Informationssysteme über den gesamten Lebenszyklus, einschließlich Schwachstellenmanagement.
- Bewertung der Wirksamkeit: Regelmäßige Überprüfung und Evaluierung der Cybersicherheitsmaßnahmen durch Audits und Penetrationstests.
- Cyberhygiene und Schulungen: Grundlegende Cyberhygiene-Praktiken und regelmäßige Cybersicherheitsschulungen für alle Mitarbeiter und die Geschäftsleitung.
- Kryptografie und Verschlüsselung: Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung zum Schutz sensibler Daten.
- Personalsicherheit und Zugriffskontrolle: Sicherheitsüberprüfungen, Zugangssteuerung und Asset-Management für kritische Systeme und Daten.
- Multi-Faktor-Authentifizierung: Einsatz von MFA, gesicherten Kommunikationssystemen und Notfallkommunikation.
Meldepflichten
NIS2 führt ein dreistufiges Meldesystem für erhebliche Sicherheitsvorfälle ein: Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine ausführliche Meldung innerhalb von 72 Stunden mit einer ersten Bewertung des Vorfalls, sowie einen Abschlussbericht spätestens einen Monat nach der Meldung. Die Meldung erfolgt an das jeweils zuständige nationale CSIRT oder die zuständige Behörde.
Sanktionen und Geschäftsleiterhaftung
Die Richtlinie sieht erhebliche Bußgelder vor: Für wesentliche Einrichtungen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes. Besonders bedeutsam ist die ausdrückliche Verantwortung der Geschäftsleitung: Leitungsorgane müssen die Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und können bei Pflichtverletzungen persönlich haftbar gemacht werden.