28.02.2023

NIS2 – Was Sie beachten müssen

Bereits 2016 legte die EU die Cybersecurity-Richtlinie NIS (Network and Information Security) fest. Weil die Richtlinie sehr abstrakt war, in den EU-Ländern nicht einheitlich umgesetzt wurde und zusätzlich die Corona-Pandemie als zusätzlicher Verstärker der Cyberangriffe fungierte, entschied sich die Europäische Kommission die Richtlinie zu überarbeiten. Seit Mitte Januar liegt nun die überarbeitete Version NIS2 vor; sie ersetzt NIS und definiert neue EU-Mindeststandards für die Cybersicherheit kritischer Infrastrukturen. Die Pflichten der Richtlinie sollen bis Ende 2024 in nationales Recht umgesetzt werden.

Was ist neu an NIS2?

Die überarbeitete Richtlinie NIS2 erweitert die Sektoren, die den kritischen Diensten zugeordnet werden, deutlich. Während es in NIS nur acht waren, erweitert NIS2 die Sektoren auf 18 und unterscheidet dabei in wesentlich („essential“) und wichtig („important“). Hier der Scope von NIS und NIS2 im Vergleich:

Scope von NIS

• Energie (Strom, Öl, Gas, Wärme)
• Gesundheit (Versorger, Pharma)
• Transport (Luft, Schiene, Wasser, Straße)
• Banken und Finanzmärkte
• Wasser
• Digital (Anbieter von Internet Exchange Points (IXP), DNS-Dienstanbieter, TLD-Namensregistrierungen, ICT-Dienstleistungsverwaltung)
• Industrie (Technik und Ingenieurwesen)
• Digitale Dienste (Online-Marktplätzen, Online-Suchmaschinen, soziale Netzwerke)

Scope von NIS2: Wesentlich („Essential“)

• Energie (Strom, Öl, Gas, Wärme, Wasserstoff)
• Gesundheit (Versorger, Labore, Pharma)
• Transport (Luft, Schiene, Wasser, Straße)
• Banken und Finanzmärkte
• Wasser und Abwasser
• Digital (Anbieter von Internet Exchange Points (IXP), DNS-Dienstanbieter, TLD-Namensregistrierungen, Anbieter von Rechenzentrumsdiensten, Anbieter von Cloud-Computing-Diensten, Anbieter von Inhaltsbereitstellungsnetzwerken, Anbieter von Vertrauensdiensten)
• ICT-Dienstleistungsverwaltung, Raumfahrt, öffentliche Verwaltung

Scope von NIS2: Wichtig („Important“)

• Post und Kurier
• Abfallwirtschaft
• Chemie
• Ernährung
• Industrie (Technik und Ingenieurwesen)
• Digitale Dienste (Online-Marktplätzen, Online-Suchmaschinen, sozialer Netzwerke
• Forschung

NIS2 betrifft also mehr Unternehmen, schreibt einen verbesserten Risikomanagementansatz vor und sieht mehr Pflichten und strengere Sanktionen vor. Es ist jetzt klar festgelegt, wie die Verfahren, Inhalte und Fristen zur Meldung von Sicherheitsvorfällen aussehen und wie die Umsetzung in nationales Recht und die Durchsetzung zu erfolgen hat. Weitere neue Maßnahmen der Richtlinie sind:

• der Aufbau nationaler Computer-Emergency-Response-Teams
• die Erstellung eines mit den Plänen der Mitgliedstaaten koordinierten Incident-Response-Plans
• die Verbesserung der Zusammenarbeit privater und öffentlicher Einrichtungen
• eine sektorübergreifende Sicherheitskultur, die für Wirtschaft und Gesellschaft von entscheidender Bedeutung ist und in hohem Maße auf IKT wie Energie, Verkehr, Wasser, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen und digitale Infrastruktur angewiesen ist

Als Schwellwerte werden in der Richtlinie mindestens 50 Mitarbeitende und 10 Millionen Euro Jahresumsatz festgelegt. Aber Vorsicht: Einige Unternehmen zählen unabhängig von ihrer Größe zu den von NIS2 betroffenen kritischen Diensten, wenn sie alleiniger Anbieter eines Dienstes in einem Land sind, der wesentlich zur Aufrechterhaltung kritischer Aktivitäten der Gesellschaft oder Wirtschaft beiträgt.

Umsetzung von NIS2 – jetzt handeln

Die Bundesregierung in Deutschland plant NIS2 bis Oktober 2024 in nationales Recht umzuwandeln. Wer nun neu unter die Richtlinie fällt, sollte schnell handeln. Denn Beratung, die Auswahl passender Technologien und deren Implementierung brauchen Zeit. Mit den proaktiven Sicherheitslösungen von Rohde & Schwarz Cybersecurity können Sie die Anforderungen der NIS2 erfüllen, wählen den bestmöglichen Schutz für Ihre sensiblen Daten und erhöhen Ihre digitale Souveränität.

Gerne beraten und unterstützen wir Sie bei der Umsetzung der NIS2-Richtlinie – nehmen Sie dazu gerne Kontakt mit uns auf.