|
NIS-2-Richtlinie
Die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, abgekürzt NIS-2-Richtlinie, ist eine EU-Richtlinie, die das Niveau der Cyberresilienz in der Union stärken soll. Sie hebt die Richtlinie (EU) 2016/1148 zur Netzwerk- und Informationssicherheit (NIS-Richtlinie)[1] zum 18. Oktober 2024 auf, die bereits ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der Union gewährleisten sollte. Die Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung) und die Richtlinie (EU) 2018/1972 (EECC-Richtlinie) werden geändert. BegründungVor dem Hintergrund einer steigenden Abhängigkeit von digitalen Technologien zeigte die COVID-19-Pandemie auf, wie sensibel digitalisierte Gesellschaften auf unerwartete Risiken reagieren können.[2] Im Zuge dessen prüfte die Europäische Kommission die bestehende NIS-Richtlinie und stellte folgende Kritikpunkte fest:
Nach diversen Abstimmungsrunden wurde die finale NIS-2-Richtlinie[3] am 14. Dezember 2022 von der EU-Kommission verabschiedet. InhaltDie Richtlinie verpflichtet die Mitgliedstaaten zur Verabschiedung einer nationalen Cybersicherheitsstrategie. Ferner sind nationale Computer Security Incident Response Teams (CSIRTs) zu benennen, die für den Umgang mit Risiken und Störungen zuständig sind. Ein sog. Single Point of Contact (SPoC) dient dazu, grenzüberschreitende Zusammenarbeit der Behörden der Mitgliedstaaten sicherzustellen. Die NIS-2-Richtlinie stellt strengere Anforderungen als die bisherige NIS-Richtlinie an nationale Behörden und vereinheitlicht die Sanktionsmöglichkeiten in den Mitgliedstaaten. Mit der Richtlinie werden strengere Aufsichtsmaßnahmen für die nationalen Behörden, strengere Durchsetzungsanforderungen und eine Harmonisierung der Sanktionsregelungen in allen Mitgliedstaaten eingeführt. Umsetzung in ÖsterreichIn Österreich müssen die notwendigen nationalen Regelungen in das Netz- und Informationssystemsicherheitsgesetz (NISG) aufgenommen werden.[4][5] Umsetzung in DeutschlandDie Richtlinie muss bis zum 18. Oktober 2024 in nationales Recht umgesetzt werden. Dazu hat im Juli 2023 das Bundesministerium des Innern und für Heimat einen Referentenentwurf vorgelegt.[6] Nach einem Werkstattgespräch und einem weiteren Referentenentwurf wurde am 7. Mai 2024 ein weiterer Referentenentwurf vorgelegt. Stellungnahmen sollen bis 28. Mai 2024 erfolgen, anschließend eine Anhörung am 3. Juni 2024.[7] Hochrechnungen zufolge werden ca. 30.000 deutsche Institutionen und Unternehmen davon betroffen sein. Das sind deutlich mehr als nach bisherigem Recht. Deutschland hat die Umsetzungsfrist zum 18. Oktober 2024 nicht eingehalten, angestrebt wird Ende des ersten Quartals 2025. Der Zeitplan für die Rechtsverordnungen zum Umsetzungsgesetz ist unklar.[8] Ausweitung des GeltungsbereichsAnders als etwa in der aufgrund des deutschen BSI-Gesetzes zum Schutz kritischer Infrastrukturen erlassenen Rechtsverordnung von 2016 (BSI-KritisV)[9] fallen zwar Kultur und Medien, öffentlicher Nahverkehr und Medizingroßhandel nicht in den Anwendungsbereich der NIS-2-Richtlinie, dafür kommen aber neue Bereiche wie Weltraum, Top-Level-Domain-Registrare und Vertrauensdiensteanbieter hinzu.[10] Der Zuwachs an betroffenen Institutionen erklärt sich in erster Linie damit, dass die aus der BSI-KritisV bekannten Schwellenwerte hier keine Anwendung mehr finden. Zudem gibt es mehrere Abstufungen: Man unterscheidet nun sogenannte wesentliche Einrichtungen von wichtigen Einrichtungen, vornehmlich aufgrund der Mitarbeiterzahl oder des Umsatzes. Wie bisher gibt es auch noch kritische Einrichtungen.[11] Umsetzung der Richtlinie in InstitutionenDie Umsetzung der Richtlinie verpflichtet betroffene Institutionen dazu, sich bei der European Union Agency for Cybersecurity zu registrieren, die nationale Cyber-Security-Behörde unverzüglich über signifikante Störungen, Vorfälle und Cyber Threats ihrer kritischen Dienstleistungen unterrichten, ein Risikomanagement einzurichten und den Stand der Technik in IT-Sicherheit zu implementieren. Es ist davon auszugehen, dass bestehende Standards wie der IT-Grundschutz,[12] die ISO/IEC 27001 und der Kriterienkatalog Cloud Computing C5[13] wahrscheinlich nur einen Teil der Anforderungen aus NIS-2 abdecken werden und weitere technische und organisatorische Maßnahmen zur Umsetzung der Richtlinie ergriffen werden müssen. Weiterführende Links
Einzelnachweise
Information related to NIS-2-Richtlinie |
||||||||||||||||||||||||||||
