(NIS2) Richtlinie zur Netz- und Informationssicherheit

Die NIS2-Richtlinie ist eine Überarbeitung der ursprünglichen NIS-Richtlinie von 2016 zur Stärkung der EU-Cybersicherheit durch verschärfte und harmonisierte Anforderungen.

Wichtigste Punkte zu NIS2:

• Erweiterter Anwendungsbereich: Umfasst mehr Sektoren wie öffentliche Verwaltungen, Lebensmittelproduktion und Cloud-Dienste.
• Höhere Sicherheitsanforderungen: Strengere technische und organisatorische Schutzmaßnahmen für Netzwerke und Informationssysteme.
• Meldepflichten: Schnellere und detailliertere Meldung schwerwiegender Sicherheitsvorfälle.
• EU-Harmonisierung: Einheitlichere Anwendung der Cybersicherheitsregeln in allen Mitgliedstaaten.
• Strengere Aufsicht: Erweiterte Befugnisse der Behörden mit hohen Sanktionen bei Verstößen.
• Führungsverantwortung: Klarere Verantwortlichkeiten und persönliche Haftung der Unternehmensführung.

Die NIS2-Richtlinie wurde am 27. Dezember 2022 offiziell im Amtsblatt der Europäischen Union veröffentlicht und ist 20 Tage später, also Mitte Januar 2023, in Kraft getreten. Die Mitgliedstaaten der EU haben bis zum 17. Oktober 2024 Zeit, die Richtlinie in nationales Recht umzusetzen.

Das bedeutet, dass die NIS2-Richtlinie ab dem 18. Oktober 2024 in allen EU-Mitgliedstaaten gelten wird. Ab diesem Datum müssen die betroffenen Unternehmen und Organisationen die Anforderungen der Richtlinie erfüllen. Die nationale Gesetzgebung in den einzelnen Mitgliedstaaten wird dabei konkret festlegen, wie die Richtlinie im jeweiligen Land umgesetzt wird.

Die NIS2-Richtlinie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich und umfasst eine größere Anzahl von Sektoren und Branchen. Diese sind in zwei Hauptkategorien unterteilt: wesentliche und wichtige Sektoren.

Betroffen sind Unternehmen, die in einen von 18 definierten Sektoren tätig sind und eine Größe von mehr als 50 bzw. 250 Mitarbeitern haben oder einen Umsatz von mehr als 10 Millionen Euro jährlich erwirtschaften.

Wesentliche Sektoren:

Für diese Sektoren gelten besonders strenge Anforderungen, da sie als kritisch für das Funktionieren der Gesellschaft und die Wirtschaft angesehen werden:

1. Energie:
   • Stromerzeugung, Übertragung und Verteilung
   • Erdöl- und Erdgassysteme
2. Verkehr:
   • Luftverkehr
   • Eisenbahnverkehr
   • Straßenverkehr
   • Schifffahrt und Binnenschifffahrt
3. Bankwesen:
   • Finanzinstitute
4. Finanzmarktinfrastrukturen:
   • Börsen, Clearing- und Abwicklungssysteme
5. Gesundheitswesen:
   • Krankenhäuser und andere medizinische Einrichtungen
   • Lieferanten von medizinischen Geräten und Medikamenten
6. Trinkwasserversorgung und -verteilung
7. Digitale Infrastruktur:
   • Internetknotenpunkte
   • Domain Name System (DNS)-Dienste
   • Cloud-Computing-Dienste
   • Rechenzentren

Wichtige Sektoren:

Diese Sektoren sind ebenfalls von großer Bedeutung, jedoch sind die Anforderungen hier etwas weniger streng als in den wesentlichen Sektoren:

1. Post- und Kurierdienste
2. Abfallwirtschaft:
   • Entsorgung und Recycling
3. Chemikalien:
   • Herstellung und Vertrieb gefährlicher Chemikalien
4. Lebensmittelproduktion und -vertrieb
5. Herstellung kritischer Produkte:
   • Elektronische Produkte, Maschinen, Fahrzeuge, chemische Produkte, Pharmazeutika
6. Digitale Dienste:
   • Online-Marktplätze
   • Online-Suchmaschinen
   • Social-Media-Plattformen
7. Öffentliche Verwaltungen:
   • Staatliche Institutionen und Behörden

Weitere Informationen finden Sie direkt auf der Website des Europäische Kommission:

Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union (NIS2-Richtlinie) | Gestaltung der digitalen Zukunft Europas