Die NIS-2-Richtlinie – Alles, was du wissen musst

Die NIS-2-Richtlinie („Network and Information Security Directive“) regelt die Cyber- und Informationssicherheit von Institutionen und Unternehmen. Sie ist am 16. Januar 2023 in Kraft getreten und wurde am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht. Bis zum 17. Oktober 2024 müssen die EU-Länder diese in nationales Recht umsetzen. Das Bundesministerium des Innern hat ab Juli 2023 einen Gesetzentwurf vorgelegt, der als NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2UmsuCG) bezeichnet wird.

Zur Harmonisierung und Verbesserung des Sicherheitsniveaus in den Mitgliedstaaten erweitert die NIS-2-Richtlinie die Anforderungen und Sanktionen im Bereich der Cybersicherheit und enthält strengere Anforderungen für bestimmte Sektoren. Cyber-Risikomanagement, Kontrolle und Überwachung, Vorfallsmanagement und Geschäftskontinuität sind einige der Aufgaben, die Unternehmen und Organisationen zu bewältigen haben. Außerdem erhöht die Richtlinie die Anzahl der in ihren Anwendungsbereich fallenden Branchen. Das Management dieser Organisationen unterliegt strengeren Rechenschaftspflichtvorschriften.

Die NIS-2-Richtlinie gilt für Unternehmen mit mehr als 50 Beschäftigten oder einem Jahresumsatz von mehr als 10 Millionen Euro und einer Bilanz von weniger als 43 Millionen Euro. Laut dem letzten NIS-2UmsuCG reicht es bereits, wenn eine der beiden Bedingungen erfüllt ist. Besonders betroffen sind große Unternehmen mit mehr als 250 Beschäftigten, einem Jahresumsatz von mehr als 50 Millionen Euro. 

Wichtig für Konzernunternehmen: Wenn du die IT-Infrastruktur innerhalb deiner Gruppe teilst, werden deine Beschäftigten und dein Umsatz zusammengerechnet!

Die NIS-2-Richtlinie gilt für Unternehmen und öffentliche Einrichtungen, die den obengenannten Schwellenwerten entsprechen und in einem der betroffenen Sektoren aktiv sind.
Zu den betroffenen Sektoren gehören

• Energie (Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff)
• Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
• Bankwesen (Kreditinstitute)
• Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
• Gesundheitswesen (Gesundheitsdienstleister, EU-Referenzlaboratorien, Forschung im Bereich Arzneimittel, Pharmaunternehmen, Hersteller kritischer Medizinprodukte)
• Trinkwasser (Wasserversorgung)
• Abwasser (Kommunales, häusliches, industrielles Abwasser)
• Digitale Infrastruktur (Internetknoten, DNS-Dienste, TLD-Namenregister, Cloud-Computing, Rechenzentren, Inhaltszustellnetze, elektronische Kommunikationsdienste)
• Verwaltung von IKT-Diensten (Business-to-Business-Dienste, Sicherheitsdienste)
• Öffentliche Verwaltung (Zentrale und regionale Verwaltungseinrichtungen)
• Weltraum (Bodeninfrastrukturen für weltraumgestützte Dienste)
• Post- und Kurierdienste (Postdienste, Kurierdienste)
• Abfallbewirtschaftung (Unternehmen für Abfallmanagement)
• Produktion, Herstellung und Handel mit chemischen Stoffen (Chemikalienproduktion und -handel)
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln (Lebensmittelherstellung und -verarbeitung)
• Verarbeitendes Gewerbe/Herstellung von Waren (Medizinprodukte, elektronische Geräte, elektrische Ausrüstungen, Maschinenbau, Kraftwagen- und Fahrzeugbau)
• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerkplattformen)
• Forschung (Forschungseinrichtungen)

Auch Unternehmen in der Lieferkette der obengenannten Sektoren sind indirekt als Dienstleister betroffen.

Um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten, verpflichtet die NIS-2-Richtlinie die betroffenen Unternehmen, technische, organisatorische und betriebliche Maßnahmen zu ergreifen. Die Verwaltung dieser Aufgaben soll auf der höchsten Managementebene angesiedelt sein, was bedeutet, dass die EU-Richtlinie NIS-2 Chefsache ist.
Zu den wichtigsten Anforderungen gehören

1. Risikomanagement: Unternehmen müssen Risikoanalysen durchführen und Sicherheitsmaßnahmen entwickeln, um die Bedrohungen für ihre Informationssysteme zu minimieren.
2. Umgang mit Sicherheitsvorfällen: Unternehmen müssen Reaktionspläne entwickeln, um die Auswirkungen von Sicherheitsvorfällen zu begrenzen und die Kontinuität der Dienste zu gewährleisten.
3. Geschäftskontinuität: Unternehmen müssen Maßnahmen wie Backup-Management, Disaster Recovery und Krisenmanagement umsetzen, um den Geschäftsbetrieb aufrechtzuerhalten.
4. Sicherheit der Lieferkette: Unternehmen müssen sicherstellen, dass auch ihre Zulieferer und Dienstleister die Sicherheitsstandards einhalten, um die gesamte Lieferkette zu schützen.
5. Schwachstellenmanagement: Sicherheitslücken müssen systematisch überwacht, gemeldet und behoben werden.
6. Schulung und Cyberhygiene: Regelmäßige Mitarbeiter:innen- und Managementschulungen sind Pflicht, um sicherzustellen, dass jeder über aktuelle Bedrohungen und Sicherheitsmaßnahmen Bescheid weiß. Dazu gehören auch grundlegende Sicherheitspraktiken wie Software-Updates und Passwortmanagement.
7. Verschlüsselung und Authentifizierung: Der Einsatz von Verschlüsselungstechnologien und Multi-Faktor-Authentifizierung ist zum Schutz sensibler Daten obligatorisch.

Ein essenzieller Bestandteil der NIS-2-Richtlinie ist die Verpflichtung, erhebliche Sicherheitsvorfälle schnell zu melden. Unternehmen müssen sicherstellen, dass sie in der Lage sind, Vorfälle zeitnah zu melden und darauf zu reagieren. Zu den Meldepflichten gehören:

• Frühwarnung innerhalb von 24 Stunden: Sicherheitsvorfälle müssen, sobald sie bekannt sind, gemeldet werden.
• Erste Bewertung innerhalb von 72 Stunden: Es muss eine erste Bewertung des Vorfalls und seiner Auswirkungen vorgenommen werden.
• Abschlussbericht nach einem Monat: Ein detaillierter Bericht muss erstellt werden, welcher den Vorfall, die Ursachen und die getroffenen Maßnahmen beschreibt.

Eswird zwischen „besonders wichtigen Einrichtungen“ (das sind Unternehmen mit mindestens 250 Mitarbeiter:innen oder einem Umsatz von über 50 Mio. EUR oder einer Bilanz 43 Mio. EUR) und „wichtigen Einrichtungen“ (Unternehmen mit mindestens 50 Mitarbeiter:innen oder einem Umsatz bzw. einer Bilanz von 10 Mio. EUR) unterschieden:

• Besonders wichtige Einrichtungen: Sie unterliegen einer proaktiven behördlichen Aufsicht und können mit einer Geldstrafe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist.
• Wesentliche Einrichtungen: Sie werden reaktiv überwacht, d.h. die Inspektionen finden in der Regel nach Hinweisen auf Verstöße statt. Die Geldbußen können bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.
   

Werden die Anforderungen der NIS-2-Richtlinie nicht eingehalten, müssen Unternehmen mit erheblichen Strafen rechnen. Darüber hinaus können von den Aufsichtsbehörden Inspektionen vor Ort durchgeführt und Beweise verlangt werden. Während besonders wichtige Anlagen proaktiv und regelmäßig kontrolliert werden, werden wichtige Anlagen reaktiv überwacht, in der Regel nach Hinweisen auf Verstöße.

Ein wesentlicher Aspekt der NIS-2-Richtlinie ist die persönliche Haftung der Unternehmensleitung. Für die Einhaltung der Sicherheitsmaßnahmen sind die Führungskräfte verantwortlich. Sollten sie ihre Pflichten verletzen, dann sind können sie persönlich für den entstandenen Schaden haftbar gemacht werden. Die Obergrenze für diese Haftung liegt bei 2 % des weltweiten Jahresumsatzes des Unternehmens.

heyData bietet umfassende Unterstützung bei der Umsetzung der NIS-2-Richtlinie, von der Risikoanalyse über Schulungen bis hin zur Dokumentation und Berichterstattung. Mit maßgeschneiderten Lösungen hilft heyData deinem Unternehmen, die Anforderungen der NIS-2-Richtlinie zu erfüllen und die Cybersicherheit zu stärken.

• Audit: Jährliche Compliance-Analyse zur Risikobewertung
• Dokumentation: Erstellung von Dokumentationen wie Risikobewertungen und Richtlinien
• Schulungskurse: IT-Sicherheitsschulungen für alle Mitarbeiter:innen und das Management
• Expertenunterstützung: Fachkundige Beratung zu allen Compliance-Fragen

Verlass dich auf heyData, um sicherzustellen, dass dein Unternehmen NIS-2-konform und optimal gegen Cyber-Bedrohungen geschützt ist. 

Nimm noch heute Kontakt mit uns auf!