Auf dieser Seite:
Was bedeutet NIS-2-Konformität?
NIS-2-Konformität bezieht sich auf die Anpassung an die Richtlinie der Europäischen Union über die Sicherheit von Netz- und Informationssystemen (NIS-2), die darauf abzielt, die Cybersicherheit für wesentliche und wichtige Unternehmen zu verbessern.
Die NIS-Richtlinie trat erstmals 2016 in Kraft. Ihr konkretes Ziel war es, ein hohes gemeinsames Niveau der Cybersicherheit in allen Mitgliedstaaten zu erreichen. Allerdings führten Lücken bei der Umsetzung zu einer Fragmentierung der Vorschriften in den einzelnen Staaten, was die Cyberrisiken erhöhte.
Um diese Lücken zu schließen, schlug die Kommission eine strengere und präzisere Richtlinie vor, deren Geltungsbereich auf weitere Sektoren ausgedehnt wird. Damit wurde die NIS-2-Richtlinie eingeführt.
Betrachten wir die Unterschiede zwischen NIS und NIS-2
| NIS | NIS 2 |
|---|---|
| Verabschiedet im Jahr 2016, konzentriert sich auf die Verbesserung der Cybersicherheit in der gesamten EU für wesentliche Dienste (z. B. Energie, Verkehr, Bankwesen). | Tritt am 16. Januar 2023 in Kraft, mit einem breiteren Anwendungsbereich und strengeren Sicherheitsmaßnahmen. Die EU-Mitgliedstaaten müssen die Anforderungen der NIS-2 bis zum 17. Oktober 2024 in nationales Recht umsetzen. |
| Der Geltungsbereich der NIS umfasste Sektoren wie Energie, Verkehr, Wasser, Gesundheit und digitale Infrastruktur. | Der Geltungsbereich der NIS-2 ist weiter gefasst. Er wurde auf weitere Sektoren wie die öffentliche Verwaltung und andere Infrastrukturdienste wie Rechenzentrumsdienstleister usw. ausgeweitet. |
| Es wurden grundlegende Sicherheitsanforderungen für Betreiber von Diensten von wesentlicher Bedeutung und digitale Diensteanbieter eingeführt. | Es wurden detailliertere und umfassendere Cybersicherheitsanforderungen eingeführt, einschließlich der Sicherheit der Lieferkette. |
| Vorgeschrieben wurde die Meldepflicht für Vorfälle, die erhebliche Auswirkungen auf die Kontinuität wesentlicher Dienste hatten. | Die Anforderungen an die Vorfallmeldung wurden verschärft, einschließlich strengerer Fristen und detaillierterer Meldepflichten. |
| Die Umsetzung und Durchsetzung variierten erheblich zwischen den EU-Mitgliedstaaten. | Die Durchsetzungsmechanismen wurden verbessert und die Befugnisse der nationalen Behörden erweitert. |
NIS-2 zielt darauf ab, die Mängel der ursprünglichen NIS-Richtlinie zu beheben und ein höheres Maß an Cybersicherheit sowie eine einheitlichere Umsetzung in der gesamten EU zu gewährleisten.
Warum ist die Einhaltung der NIS-2 wichtig?
Die Einhaltung der NIS-2 ist für den Schutz kritischer Infrastrukturen und die Aufrechterhaltung der Betriebskontinuität von entscheidender Bedeutung. Die Nichteinhaltung kann zu erheblichen Geldstrafen und Rufschädigung führen. In der Richtlinie heißt es: „Nicht konforme wesentliche Unternehmen gemäß NIS-2 können mit Geldstrafen von bis zu 10 Millionen Euro oder 2 % ihres Jahresumsatzes belegt werden.“
NIS-2-Kapitel verstehen
Entdecken Sie die spezifischen Bestimmungen und Anforderungen von NIS-2, indem Sie sich mit den einzelnen Kapiteln befassen:
Allgemeine Bestimmungen
Die Richtlinie gilt für öffentliche und private Organisationen; NIS-2 gilt für bestimmte Unternehmen in kritischen Sektoren, unabhängig von ihrer Größe. Diese Unternehmen werden als wesentliche und wichtige Unternehmen eingestuft. Unter NIS-2 werden jedoch die Cybersicherheitsmaßnahmen für wesentliche und wichtige Unternehmen angeglichen, sodass sie dieselben Mindestanforderungen erfüllen müssen. Wichtige Einrichtungen umfassen Lebensmittel, Gesundheitswesen usw.
Gemäß NIS-2 müssen Einrichtungen aus einem Sektor, für den Cybersicherheitsmanagementmaßnahmen und Meldepflichten für Vorfälle in einem sektorspezifischen Unionsrecht (EU-weites Gesetz) bestehen, nur die Cybersicherheitsmanagementmaßnahmen und Meldepflichten für Vorfälle gemäß diesem sektorspezifischen Unionsrecht befolgen, wenn diese mit den Anforderungen von NIS-2 im Einklang stehen.
NIS-2 legt einen einheitlichen Mindeststandard für alle EU-Mitgliedstaaten fest. Die Mitgliedstaaten können bei Bedarf strengere Cybersicherheitsvorschriften erlassen, sofern sie die bestehenden Mindestanforderungen erfüllen.
Koordinierter Cybersicherheitsrahmen
Die Mitgliedstaaten müssen eine oder mehrere zuständige Behörden benennen, die für die Cybersicherheit zuständig sind und innerhalb ihres Hoheitsgebiets Aufsichtsaufgaben wahrnehmen. Die Mitgliedstaaten sollten auch sicherstellen, dass ihre zuständigen Behörden über ausreichende Ressourcen verfügen.
Computer-Sicherheitsvorfall-Reaktionsteams (Computer Security Incident Response Teams, CSIRTs) spielen eine wichtige Rolle bei der Bearbeitung von Vorfällen, der Sammlung von Informationen und der Kommunikation mit Organisationen. Sie überwachen Bedrohungen, analysieren Vorfälle und geben Warnungen und Daten in Echtzeit an ihr Netzwerk und die Behörden weiter. Der benannte CSIRT-Koordinator fungiert als vertrauenswürdiger Vermittler und erleichtert die Interaktion zwischen der juristischen Person, die eine Schwachstelle meldet, und dem OEM.
Zusammenarbeit auf Unionsebene und internationaler Ebene
Der Schwerpunkt liegt auf der Stärkung der Cybersicherheit durch Zusammenarbeit auf nationaler und internationaler Ebene. Die Kooperationsgruppe erleichtert den Informations- und Strategieaustausch zwischen den Mitgliedstaaten.
Das CSIRT-Netzwerk besteht aus den nationalen CSIRTs und CERT-EU. Sie tauschen Informationen über die Fähigkeiten, Schwachstellen, Vorfälle und Bedrohungen der CSIRTs aus. Um Cyberbedrohungen zu bekämpfen, werden die CSIRTs neue Methoden für die operative Zusammenarbeit einführen, wobei der Schwerpunkt auf Frühwarnungen, Unterstützung bei Cyberangriffen und der Planung von Reaktionen auf Bedrohungen liegt.
Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit und Meldepflichten
Wesentliche und wichtige Einrichtungen müssen den CSIRTs oder den zuständigen Behörden innerhalb von 24 Stunden nach Bekanntwerden eines bedeutenden Vorfalls eine Frühwarnung übermitteln. Es gibt verschiedene Stufen der Meldung, wie Frühwarnungen, Vorfallmeldungen, Zwischenberichte und Abschlussberichte.
Die Mitgliedstaaten sollten sicherstellen, dass wesentliche und wichtige Stellen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zum Management der Risiken für die Sicherheit von Netz- und Informationssystemen ergreifen, darunter Maßnahmen zum Cybersicherheitsrisikomanagement, einschließlich Strategien zur Risikoanalyse, zur Vorfallsbearbeitung, zur Geschäftskontinuität, zur Sicherheit der Lieferkette und zur sicheren Systementwicklung. Weitere Maßnahmen umfassen die Bewertung der Wirksamkeit von Maßnahmen zum Cybersicherheitsrisikomanagement, grundlegende Cyberhygienepraktiken, Richtlinien für die Verwendung von Kryptografie, die Sicherheit der Humanressourcen und die Multi-Faktor-Authentifizierung.
Gerichtsbarkeit und Registrierung
Behandelt Vorschriften zur Gerichtsbarkeit und zu Registrierungsverfahren für wesentliche und wichtige Unternehmen.
Enthält die Kriterien, anhand derer Organisationen bestimmen können, welches Land für ihre Aufsicht zuständig ist. Um diese Organisationen zu erfassen, wird ein Register mit ihren Informationen von der ENISA (The European Union Agency for Cybersecurity; Agentur der Europäischen Union für Cybersicherheit) geführt. Die Informationen für das Register umfassen den Namen der Organisation, ihre Anschrift, Kontaktdaten usw. Darüber hinaus sollten Organisationen, die Domainnamen-Registrierungsdienste anbieten, und TLD-Registrierungsstellen eine Datenbank mit Domainregistrierungsdaten einrichten. Diese Datenbank soll die Zuverlässigkeit von Domain Name Services (DNS) verbessern.
Informationsaustausch
Organisationen in der Europäischen Union müssen untereinander Informationen über Cybersicherheit austauschen. Die Mitgliedstaaten sind für die Erleichterung des Austauschs verantwortlich. Sie legen fest, welche Informationen ausgetauscht werden, welche IKT-Plattformen und -Tools verwendet werden und welche Bedingungen für diese Regelung gelten. Organisationen, die sich aus einem laufenden Austausch zurückziehen möchten, sollten dies der zuständigen Behörde des betreffenden Mitgliedstaats mitteilen.
Die Richtlinie fordert alle Organisationen in der Europäischen Union auf, CSIRTs oder zuständige Behörden freiwillig über Cyberbedrohungen und -angriffe zu informieren.
Aufsicht und Durchsetzung
Die zuständigen Behörden des Landes sind dafür verantwortlich, dass die Organisationen die NIS-2-Richtlinie einhalten. Vor-Ort-Kontrollen, gezielte Sicherheitsprüfungen und Ad-hoc-Prüfungen sind die in diesem Kapitel behandelten Aufsichtsmaßnahmen der zuständigen Behörden. Bei Verstößen gegen die Richtlinie werden gegen die Organisationen Verwaltungsstrafen verhängt. Darüber hinaus können die zuständigen Behörden die Behörden anderer Staaten um Unterstützung bei der Beaufsichtigung grenzüberschreitend tätiger Organisationen bitten.
Delegations- und Ausführungsgesetz
Die Europäische Kommission als eines der Exekutivorgane der Europäischen Union gewährleistet die Einhaltung der Unionsrecht in allen Ländern. Daher ist die Europäische Kommission befugt, delegierte Rechtsakte zu erlassen. Diese Befugnis wird für einen Zeitraum von fünf Jahren ab dem 16. Januar 2023 ausgeübt. Gemäß diesem Kapitel können das Europäische Parlament und der Europäische Rat die Befugnis der Kommission jederzeit widerrufen. Die Europäische Kommission sollte einen delegierten Rechtsakt gemäß der Richtlinie nur erlassen, wenn weder das Parlament noch der Rat Einwände erheben. Sie sollte diese Organe unverzüglich nach Erlass eines delegierten Rechtsakts davon in Kenntnis setzen.
Abschließende Bestimmungen
Die Länder der Europäischen Union erlassen und veröffentlichen Maßnahmen zur Einhaltung dieser NIS-2-Richtlinie und teilen diese Maßnahmen der Europäischen Kommission bis zum 17. Oktober 2024 mit. Sie beginnen mit der Umsetzung dieser Maßnahmen am 18. Oktober 2024.
Die Europäische Kommission überprüft die Funktionsweise dieser Richtlinie und erstattet dem Europäischen Parlament und dem Rat bis Oktober 2027 Bericht. Diese Überprüfung wird danach alle drei Jahre durchgeführt. Dieser Bericht enthält eine Bewertung der Relevanz der Größe der betroffenen Einrichtungen und der in dieser Richtlinie genannten Sektoren, Teilsektoren und Arten von Einrichtungen für das Funktionieren der Wirtschaft und der Gesellschaft im Zusammenhang mit der Cybersicherheit. Er kann auch Berichte der Kooperationsgruppe und des CSIRT-Netzwerks enthalten.
Machen Sie jetzt den ersten Schritt!
Erfahren Sie, wie Sie mit den IAM- und SIEM-Lösungen von ManageEngine diese Vorschriften einhalten können
Thank you
Machen Sie den nächsten Schritt in Richtung NIS-2-Compliance. Vereinbaren Sie jetzt einen Termin für eine kostenlose Demo unserer IAM- und SIEM-Lösungen.
Weitere Ressourcen
Handbuch zur NIS-2-Richtlinie
Ein umfassender Leitfaden mit allen Informationen zur NIS-2-Richtlinie.
Jetzt lesen
