Auf dieser Seite finden Sie alles, was Sie rund um NIS-2 wissen müssen.
Was ist die NIS-2-Richtlinie?
Die EU-Richtlinie NIS-2 („The Network and Information Security Directive“) zielt darauf ab, die Widerstandsfähigkeit von Kritischen Infrastrukturen (KRITIS) gegenüber Cyberbedrohungen zu stärken und das Cybersicherheitsniveau innerhalb der EU zu erhöhen.
Mit NIS-2 kommen auf viele Unternehmen und Organisationen neue Verpflichtungen sowie umfangreiche Sicherheitsmaßnahmen zu. Betroffen sind in erster Linie kritische Infrastrukturen und digitale Dienste in der EU, die eine Reihe an Mindestanforderungen erfüllen müssen, um die eigenen Systeme und Netzwerke gegen Cyberangriffe abzusichern.
Wann tritt NIS-2 in Kraft?
Stichtag 17. Oktober 2024
Die neue EU-Richtlinie trat am 16. Januar 2023 in Kraft. Spätestens bis zum 17. Oktober 2024 ist sie ohne Übergangsfristen von den Mitgliedsstaaten in nationales Recht zu überführen. Hierfür liegt mit dem NIS-2- Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ein Referentenentwurf des Bundesinnenministeriums vor.
Das NIS2UmsuCG dient Unternehmen als Leitfaden, an dem sie sich im Rahmen der Umsetzung orientieren können. Es enthält explizite Angaben dazu, welche Anforderungen wie und von wem umzusetzen sind.
NIS-2: Wesentliche & wichtige Einrichtungen
NIS-2 definiert in Anhang I und II der EU-Direktive 18 betroffene Sektoren, die sich wie folgt in wichtige und besonders wichtige bzw. wesentliche Einrichtungen unterteilen lassen:
Wesentliche Einrichtungen
– Unternehmen ab 250 Mitarbeitenden oder
– Unternehmen über 50 Mio. EUR Umsatz und Bilanz über 43 Mio. EUR
– Betreiber Kritischer Infrastrukturen (KRITIS-Betreiber)
– Sonderfälle, z.B. qualifizierte Vertrauensdienste, DNS oder TK-Anbieter
Betroffene Sektoren:
■ Energie
■ Verkehr
■ Bankwesen
■ Finanzmarktinfrastrukturen
■ Gesundheitswesen
■ Trinkwasser
■ Abwasser
■ Digitale Infrastruktur
■ Verwaltung von ITK-Diensten (B2B)
■ Öffentliche Verwaltung
■ Weltraum
Wichtige Einrichtungen
– Unternehmen ab 50 Mitarbeitenden oder
– Unternehmen über 10 Mio. EUR Umsatz und Bilanz über 10 Mio. EUR
– Spezielle Einrichtungen, z.B. Vertrauensdienste
Betroffene Sektoren:
■ Post- & Kurierdienste
■ Abfallbewirtschaftung
■ Chemikalien (Produktion, Herstellung und Handel)
■ Lebensmittel (Produktion, Verarbeitung und Vertrieb)
■ Verarbeitendes Gewerbe/Herstellung von Waren
■ Anbieter digitaler Dienste
■ Forschung
Anforderungen nach NIS-2, die betroffene Unternehmen umsetzen müssen
Gemäß NIS-2-Richtlinie müssen betroffene Unternehmen mindestens die folgenden Maßnahmen umsetzen, um ihre Widerstandsfähigkeit gegenüber Angriffen zu erhöhen und Sicherheitsvorfälle möglichst zu verhindern bzw. deren Auswirkungen gering zu halten.
Risikomanagement
Überwachung von Maßnahmen zur Minimierung von Cyberrisiken
Wirksamkeit
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
Verantwortlichkeit des Managements
Sicherstellung der Umsetzung von rechtlichen Anforderungen
Supply Chain
Ausfallsicherheit der Lieferkette
Policies
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
Schulungen
Cyberhygiene und Schulungen im Bereich der Cybersicherheit
Vorfallbewältigung
Prävention, Detektion und Bewältigung von Sicherheitsvorfällen
Kryptografie
Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
Einkauf
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
Personal, Zugriff & Asset-Management
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Assets
Business Continuity
Aufrechterhaltung des Betriebs (wie Backup-Management und Wiederherstellung nach einem Notfall) und Krisenmanagement
Authentifizierung & Kommunikation
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme
Mit diesen Leistungen unterstützen wir Sie, die NIS-2-Anforderungen zu erfüllen
Ist Ihr Unternehmen NIS-2 betroffen?
Brüssel stärkt die Resilienz gegen Cyberangriffe – und das mit einer komplexen und anspruchsvollen Agenda in der Regulierung. Die Anforderungen wachsen und ebenso die Strafen bei Missachtung. Aber ist Ihr Unternehmen wirklich betroffen. Wir klären auf.
- Online: NIS-2 Betroffenheits-Check
- Erstberatung
Von NIS-1 auf NIS-2
Als bereits NIS-1 betroffenes KRITIS-Unternehmen sind Sie schon gut in Fragen IT-Sicherheit aufgestellt. Ab Oktober 2024 gelten jedoch die teils deutlich erhöhten Anforderungen der NIS-2. Was steht auf der Habenseite und was gilt es noch zu tun? Wir bringen Licht ins Dunkel.
-
Deltaprüfungen
-
Voraudits
Langstreckenqualtäten gefragt
Je nach Umsetzung der NIS-2 Direktive in nationale Gesetzgebung können sich die Fristen zum Nachweis der Umsetzung der Mindestanforderungen von EU-Land zu EU-Land unterscheiden. Doch eines gilt für alle: die Maßnahmenimplementierung benötigt Zeit und viel Eigenengagement. Wir bringen Sie auf den richtigen Umsetzungspfad in diesen Themenbereichen:
- §8a Audits/§10 Audits
- ISO 27001, auch auf Basis von IT-Grundschutz
- Business Continuity Management (ISO 22301)
- EUCS/ISO 27001 für Cloud
- Vorfallbewältigung
- NESAS
Nur die halbe Miete
Betreiber einer KRITIS-Infrastruktur sind nach der NIS-2 verpflichtet, für die Ausfallsicherheit ihrer Lieferketten zu sorgen. Auf Lieferantenseite bedeutet das: IT-Systeme, Devices und Komponenten so zu entwickeln und zu fertigen, dass sie die hohen Anforderungen an IT-Sicherheit erfüllen – und ganz besonders bei deren Einsatz in einer kritischen Infrastruktur. Wir erbringen den Nachweis für die in der NIS-2 geforderten Pflichten.
- Beschleunigte Sicherheitszertifizierung (BSZ)
- Audits nach IEC 62443-X
- SQ (EN303645 od. harmonisierter Standard)
- Common Criteria (EU CC)
- „CSC“ (EN303645 + Cloud)
- GSMA NESAS
Verschärfung der Sanktionen
Die NIS-2-Richtlinie bringt verschärfte Strafen und Sanktionen mit sich. Diese orientieren sich an der EU-Datenschutz-Grundverordnung (EU-DSGVO).
- Für wesentliche Einrichtungen können die Bußgelder bis zu 10 Millionen EUR oder 2 Prozent des weltweiten Jahresumsatzes betragen (abhängig davon, welcher Betrag höher ist)
- Bei wichtigen Einrichtungen liegt das maximale Bußgeld bei 7 Millionen EUR oder 1,4 Prozent des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
Geschäftsleitungen müssen die Einhaltung der IT-Sicherheitsmaßnahmen überwachen. Werden Pflichten verletzt, droht eine Binnenhaftung der Geschäftsleitung gegenüber der Einrichtung.
Zudem sind staatliche Kontrollen vorgesehen, um die Einhaltung zu überprüfen.
Meldepflicht von Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Es gelten folgende Fristen:
- Innerhalb von 24 Stunden: Erstmeldung des Sicherheitsvorfalls mit der Angabe, ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
- Innerhalb von 72 Stunden: Bestätigung bzw. Aktualisierung der Erstmeldung, inklusive einer Bewertung des Vorfalls (Schweregrad, Auswirkungen, Kompromittierung)
- Innerhalb eines Monats: Abschlussbericht mit ausführlicher Beschreibung sowie Angaben zu Ursachen, Maßnahmen und grenzüberschreitenden Auswirkungen
– Axel Lange, Leiter Marketing & Sales bei TÜVIT
NIS-2: Stand der Umsetzung
Status der nationalen Umsetzung in den Staaten der Europäischen Union
Madrid: Ausarbeitung der NIS-2-Richtlinie
