Was ist NIS2?
Neue Sicherheitsvorschriften der EU
Die Neuauflage der „Network and Information Security 2“ der EU, kurz „NIS2“ steht zunächst in Verbindung mit neuen Sicherheitsanforderungen für bestimmte Unternehmen. Es bezieht sich auf ein Konzept für eine Weiterentwicklung des Internet-Protokolls (IP). Das Internetprotokoll ist das grundlegende Kommunikationsprotokoll, das verwendet wird, um Daten über das Internet zu übertragen. Die 2016 eingeführten Cybersecurity-Vorschriften der EU wurden durch dieses neue Konzept, die neuen Richtlinien, ersetzt. Ziel ist natürlich ein höheres und allgemeines Sicherheitsniveau in der gesamten Union zu erreichen.
Die Idee hinter NIS2 besteht darin, die aktuelle Internetinfrastruktur zu verbessern und den Anforderungen an Sicherheit, Effizienz und Skalierbarkeit gerecht zu werden, die durch die ständig wachsende Nutzung des Internets entstehen. Dies bedeutet das Risiko und die Bedrohung für Unternehmen zu minimieren und Resilienz, wie auch Reaktionskapazitäten der zuständigen Behörden, als auch öffentlichen Stellen zu optimieren.
NIS 2 ist eine Weiterentwicklung des ursprünglichen NIS-Protokolls, das auch als Yellow Pages oder YP bekannt ist. Dadurch, das produzierende Unternehmen betroffen sind, spielt dies erstmals auch eine Rolle für die Industriezweige wie Chemie, Lebensmittel, Maschinenbau, Elektro oder auch Automobil. NIS2 geht dabei weiter wie das bislang bekannte NIS oder auch die KTITIS-Verordnung. Es gibt höhere Strafen und konkretere Vorgaben.
Wann tritt NIS2 in Kraft?
Cybersecurity und Compliance kommen auf unterschiedliche Industriezweige zu. Zunächst jedoch folgende Facts rund um die Verordnung:
- NIS-2-Richtlinie (EU) 2022/2555 ist seit 2023 auf EU-Ebene in Kraft
- Als Richtlinie nicht direkt anwendbar, sondern erst in nationales Recht umzusetzen
- Das nationale Recht muss ab 18. Oktober 2024 angewendet werden
- NIS2 gibt Mindeststandard vor, d.h. die EU-Staaten dürfen strengere Vorschriften erlassen
- In Deutschland wurde bisher ein Referentenentwurf für das NIS2-Umsetzungsgesetz bekannt
Wer ist von NIS2 betroffen?
Zitat Europäische Komission: „Unternehmen, die von den Mitgliedstaaten als Betreiber wesentlicher Dienste in den oben genannten Sektoren eingestuft wurden, müssen geeignete Sicherheitsmaßnahmen ergreifen und die zuständigen nationalen Behörden über schwerwiegende Vorfälle informieren. Wichtige Anbieter digitaler Dienste wie Suchmaschinen, Cloud-Computing-Dienste und Online-Marktplätze müssen die Sicherheits- und Benachrichtigungsanforderungen der Richtlinie erfüllen.“
Öffentliche und private Einrichtungen in 18 Sektoren mit mindestens 50 Beschäftigten oder mindestens 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme. Zusätzlich einige Sonderfälle unabhängig von ihrer Größe. Es folgt eine Auflistung der Sektoren aus Anhang 1 und Anhang 2 der NIS2 und Ihrer Teilsektoren.
Kritische Sektoren:
Sie finden die genaue Auflistung kritischer Sektoren unter den Links zu Anhang 1 und 2 (Siehe Abschnitt vorab), anbei jedoch nochmals eine kurze Zusammenfassung der übergreifenden Sektoren:
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Verwaltung von Informationss und Kommunikationstechnik
- Öffentliche Verwaltung
- Weltraum
- Post- und Kurierdienste
- Abfallwirtschaft
- Produktion und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe/Herstellung von Waren
- Anbieter digitaler Dienste
- Forschung
Für Sie gilt NIS2: Das müssen Sie tun > Registrierung
Maßnahmen zum Risikomanagement NIS 2 (Art.21)
Sie haben sich für NIS2 registriert und sind von den neuen Richtlinien betroffen. Gemäß NIS2 müssen Sie folglich eine Reihe von Cybersecurity-Maßnahmen implementieren, um die Risiken für die Sicherheit Ihrer Netz- und Informationssysteme zu kontrollieren und die Auswirkungen von Sicherheitsvorfällen zu verhindern oder zu minimieren. Dabei ist es wichtig, sowohl die IT-Systeme als auch ihre physische Umgebung zu schützen – ein sogenannter „All-Gefahren-Ansatz“. Die genaue Angemessenheit dieser Maßnahmen sollten Sie mittels eines risikobasierten Ansatzes festlegen.
Welche Maßnahmen gehörten zu NIS2?
- Policies: Entwicklung von Konzepten für Risikoanalyse und Sicherheit von Informationssystemen.
- Vorfallsbewältigung: Erkennung, Analyse, Eindämmung und Reaktion auf Sicherheitsvorfälle.
- Business Continuity: Management von Backups und Wiederherstellung sowie Krisenmanagement zur Aufrechterhaltung des Geschäftsbetriebs.
- Supply Chain: Gewährleistung der Sicherheit in der Lieferkette.
- Einkauf: Sicherstellung der Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen.
- Wirksamkeit: Bewertung der Wirksamkeit der Risikomanagementmaßnahmen.
- Cyberhygiene und Schulung: Durchführung von Maßnahmen zur Cyberhygiene (z.B. regelmäßige Updates) und Schulungen im Bereich Cyber Security.
- Kryptografie: Einsatz von Kryptografie und gegebenenfalls Verschlüsselung.
- Personal, Zugriffe, Assets: Sicherstellung der Personalsicherheit, Zugriffskontrolle und Asset Management.
- Authentifizierung: Implementierung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung.
- Kommunikation: Sicherstellung von sicheren Sprach-, Video- und Textkommunikationen, gegebenenfalls auch in Notfällen.
Gemäß dem deutschen NIS2-Gesetzesentwurf dürfen nur zertifizierte Informations- und Kommunikationstechnische Produkte und Dienste genutzt werde
