Mobile-Menu

Definition Was ist NIS2?

Von Agnes Panjas 3 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
JACOB Elektronik GmbH
Impossible Cloud GmbH

Die NIS2-Richtlinie (Directive (EU) 2022/2555) ist das neue, verbesserte rechtliche Rahmenwerk für Cybersicherheit in der Europäischen Union. Sie zielt darauf ab, ein hohes gemeinsames Maß an Cybersicherheit in der EU zu gewährleisten.

Die NIS2-Richtlinie verschärft die Cybersicherheitsanforderungen für kritische Sektoren in der EU.(Bild: KI-generiert)
Die NIS2-Richtlinie verschärft die Cybersicherheitsanforderungen für kritische Sektoren in der EU.
(Bild: KI-generiert)

Die NIS2-Richtlinie betrifft nun 15 Sektoren, die in „essentielle“ Sektoren wie Energie, Transport, Gesundheitswesen, digitale Infrastruktur und Finanzwesen und in „wichtige“ Sektoren wie Postdienste, Abfallwirtschaft, Ernährung, Chemikalien und Herstellung unterteilt sind. Sie betrifft alle mittelgroßen und großen Unternehmen in diesen Sektoren.

Hintergrund für die erweiterte Fassung der Richtlinie war unter anderem die verschärfte Bedrohungslage durch die Covid-19-Pandemie und die wachsenden Anforderungen an die Sicherheit im Cyberraum. Hier wurde der bisherige Rechtsrahmen modernisiert und aktualisiert.

Wer ist von der neuen Richtlinie betroffen?

Während die erste Richtlinie zur Netz- und Informationssicherheit hauptsächlich kritische Sektoren abdeckte, sind nun weitere hinzugekommen, beispielsweise Abfallwirtschaft, Post- und Kurierdienste, Ketten für Lebensmittel und Agrarprodukte etc. Für betroffene Unternehmen, die unter die neuen Rahmenbedingungen fallen, gelten die folgenden Größenkriterien:

  • Mittelgroße Betriebe mit mehr als 50 Mitarbeitenden, einem Jahresumsatz von 10 Millionen Euro und/oder einer Bilanzsumme von maximal 43 Millionen Euro
  • Große Firmen mit mehr als 250 Beschäftigten, 50 Millionen Euro Jahresumsatz und/oder einer Bilanzsumme von mehr als 43 Millionen Euro

Allerdings können auch kleinere Unternehmen verpflichtet werden, die Direktiven der NIS2 einzuhalten. Das gilt zum Beispiel, wenn sie elektronische Kommunikationsprodukte anbieten, eine nationale Monopolstellung einnehmen oder grenzüberschreitend tätig sind.

Wie sehen die Anforderungen von NIS2 aus?

Zu den wesentlichen Anforderungen der NIS2 zählen die Erstellung von Sicherheits- und Risikoanalysekonzepten für Informationssysteme, die akkurate Bewältigung von kritischen Zwischenfällen, die Aufdeckung von Schwachstellen sowie eine Gewährleistung der Sicherheit innerhalb der Lieferkette.

Darüber hinaus besteht eine Meldepflicht, wobei für Meldungen ein zweistufiger Ansatz gilt. Wird ein Vorfall bekannt, muss dieser spätestens nach 24 Stunden in einem vorläufigen Bericht gemeldet werden. Ein Abschlussbericht hat nach einem Monat zu erfolgen.

Die zuständigen Behörden können dazu regelmäßige Prüfungen vornehmen, bei Bedarf auch vor Ort. Die Sanktionsmaßnahmen der Mitgliedsstaaten werden ebenfalls vereinheitlicht. Die Nichteinhaltung der Richtlinie kann zu erheblichen Bußgeldern führen. Für essenzielle Einrichtungen können diese bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen. Für wichtige Einrichtungen können die Strafen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes betragen.

Nationale und EU-weite Koordination

Jeder EU-Mitgliedsstaat muss eine nationale Cybersicherheitsstrategie verabschieden und eine Liste der wesentlichen und wichtigen Einrichtungen führen. Die Richtlinie fördert zudem die Zusammenarbeit und den Informationsaustausch auf EU-Ebene durch die NIS-Kooperationsgruppe, CSIRTs-Netzwerke und ein europäisches Cyber-Krisenverbindungsnetzwerk (EU-CyCLONe).

Fristen und Umsetzung

Die NIS2-Richtlinie trat im Januar 2023 in Kraft und die EU-Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Ab dem 18. Oktober 2024 sind die Bestimmungen der Richtlinie durchsetzbar. Viele Mitgliedstaaten haben jedoch Verzögerungen bei diesem Prozess festgestellt, was zur Einleitung von Vertragsverletzungsverfahren durch die Europäische Kommission führte. Bis zum 17. April 2025 müssen die Mitgliedstaaten alle betroffenen „essentiellen“ und „wichtigen“ Einrichtungen identifizieren.

Warum NIS2 relevant ist

NIS2 erhöht die Grundanforderungen an die Cybersicherheit in der EU, um auf steigende Cyber-Bedrohungen und die zunehmende Digitalisierung wichtiger Dienste zu reagieren. Sie betont die Geschäftskontinuität, die Unternehmensverantwortung und harmonisierte Best Practices und schafft so ein widerstandsfähigeres digitales Umfeld in den für Europas Wirtschaft und Gesellschaft entscheidenden Sektoren.

NIS2 wird oft als der „GDPR-Moment“ der Cybersicherheit angesehen, da es die Erwartungen, die Koordination und die Verantwortlichkeit in der wichtigsten digitalen Infrastruktur der EU erheblich steigert.

(ID:48976393)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte

Jobs