Die NIS2-Richtlinie ist das aktualisierte Cybersicherheitsgesetz der Europäischen Union, seit Januar 2023 in Kraft und ab Oktober 2024 in nationales Recht umgesetzt. Sie verpflichtet „wesentliche" und „wichtige" Einrichtungen aus 18 Sektoren, Cyberrisiken zu steuern, ihre Lieferkette abzusichern, erhebliche Vorfälle innerhalb von 24 Stunden zu melden und die Geschäftsleitung in die Verantwortung zu nehmen, andernfalls drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes. Sie ersetzt die NIS-Richtlinie von 2016 und erweitert sowohl die abgedeckten Sektoren als auch die Pflichten jeder Einrichtung.
Die NIS2-Richtlinie verstehen
Die NIS2-Richtlinie ist die bedeutendste EU-Cybersicherheitsgesetzgebung seit der ursprünglichen NIS-Richtlinie von 2016. Sie erweitert den Anwendungsbereich auf mehr Sektoren, führt strengere Sanktionen ein (bis zu 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes) und schreibt eine Meldepflicht für Vorfälle innerhalb von 24 Stunden vor. Für Hersteller, Energieunternehmen und Anbieter digitaler Infrastrukturen, die bisher nicht erfasst waren, ist dies Neuland mit verbindlichen Fristen.
Was sind die Anforderungen?
Sicherheitsmaßnahmen
Nach NIS2 sind Organisationen verpflichtet, spezifische Cybersicherheitsmaßnahmen umzusetzen, die ihrem Risiko angemessen sind. Diese Maßnahmen müssen bewährten Praktiken entsprechen und Folgendes umfassen:
- Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme.
- Behandlung von Sicherheitsvorfällen (Prävention, Erkennung, Reaktion und Wiederherstellung).
- Geschäftskontinuität und Krisenmanagement.
- Sicherheit in der Lieferkette.
- Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen.
- Richtlinien und Verfahren zur Bewertung der Wirksamkeit der Cybersicherheits-Risikomanagementmaßnahmen.
Meldung von Sicherheitsvorfällen
Die Meldung von Sicherheitsvorfällen ist ein zentrales Element von NIS2 und soll eine zeitnahe Wahrnehmung von und Reaktion auf Cyberbedrohungen sicherstellen. Organisationen müssen:
- Vorfälle melden, die erhebliche Auswirkungen auf die Erbringung ihrer Dienste haben.
- Zuständige Behörden oder CSIRTs (Computer Security Incident Response Teams) innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls benachrichtigen.
- Detaillierte Vorfallsberichte innerhalb von 72 Stunden vorlegen.
Governance und Verantwortlichkeit
Die Richtlinie legt großen Wert auf Governance und verpflichtet Einrichtungen dazu:
- Klare Zuständigkeiten für das Cybersicherheits-Risikomanagement festzulegen.
- Die Verantwortlichkeit des Top-Managements bei der Überwachung der NIS2-Compliance sicherzustellen.
- Regelmäßige Schulungs- und Sensibilisierungsprogramme für Mitarbeitende bereitzustellen.
Anwendungsbereich von NIS2
Erweiterter Sektorenumfang
NIS2 weitet den Anwendungsbereich auf weitere Sektoren aus, die als wesentlich für Wirtschaft und Gesellschaft eingestuft werden. Dazu gehören:
- Energie
- Verkehr
- Bank- und Finanzmarktinfrastrukturen
- Gesundheit
- Trinkwasserversorgung und -verteilung
- Digitale Infrastruktur
- Öffentliche Verwaltung
Wesentliche und wichtige Einrichtungen
Einrichtungen werden je nach ihrer gesellschaftlichen und wirtschaftlichen Bedeutung als wesentlich oder wichtig eingestuft. Diese Klassifizierung bestimmt den Umfang ihrer Pflichten nach NIS2, wobei wesentliche Einrichtungen strengeren Anforderungen unterliegen.
Wer muss die Anforderungen erfüllen?
Bestehende und neue Pflichten
NIS2 gilt für:
- Bestehende Einrichtungen, die bereits unter die ursprüngliche NIS-Richtlinie fielen.
- Neue Einrichtungen innerhalb der erweiterten Sektoren sowie solche, die als kritisch wichtig eingestuft wurden.
Schwellenwerte für die Einbeziehung
Die Richtlinie legt spezifische Schwellenwerte für die Einbeziehung fest, die sich an Faktoren wie diesen orientieren:
- Größe und Umsatz.
- Marktbedeutung.
- Die Kritikalität der erbrachten Dienste.
Vorbereitung auf die NIS2-Compliance
Gap-Analyse durchführen
Führen Sie eine detaillierte Gap-Analyse durch, um die aktuellen Cybersicherheitspraktiken mit den NIS2-Anforderungen zu vergleichen. Diese Analyse zeigt Bereiche auf, in denen Verbesserungen oder zusätzliche Maßnahmen erforderlich sind.
Cybersicherheits-Framework implementieren
Übernehmen Sie ein Cybersicherheits-Framework wie NIST SP 800-171 oder ISO/IEC 27001, um einen strukturierten Ansatz für das Informationssicherheitsmanagement zu schaffen. Dies erleichtert die wirksame Ausrichtung an den NIS2-Anforderungen.
Incident-Response-Pläne stärken
Entwickeln und verfeinern Sie Incident-Response-Pläne, um Cybersicherheitsvorfälle schnell erkennen und eindämmen zu können. Testen Sie diese Pläne regelmäßig durch Simulationen und Übungen.
Lieferkettensicherheit verbessern
Angesichts des Schwerpunkts auf Lieferkettensicherheit sollten Sie die Cybersicherheitslage Ihrer Lieferkette bewerten und stärken. Dazu gehören Risikobewertungen sowie die Aufnahme von Cybersicherheitspflichten in Lieferantenverträge.
Zugriff auf OT- und Industriesysteme kontrollieren
Für Betreiber aus Energie, Wasser, Fertigung und anderen von NIS2 erfassten Industriesektoren treffen die Anforderungen an Zugriffskontrolle und Verantwortlichkeit unmittelbar die Betriebstechnik, und das ist meist die am schwersten zu schließende Lücke. Alte SPS, HMI und SCADA-Systeme können weder einen Benutzer authentifizieren noch eine Sitzung aufzeichnen, und der risikoreichste Zugangsweg ist der Fernzugriff von Dienstleistern. Trout platziert ein agentenloses Access Gate vor diesen Systemen, sodass jede Sitzung, einschließlich der Wartung durch Dritte, an eine Identität gebunden, auf das geringste Privileg beschränkt und aufgezeichnet ist, ohne die Geräte zu verändern. Siehe NIS2-Compliance für OT und sicherer OT- und Dienstleister-Fernzugriff.
Schulung und Sensibilisierung
Führen Sie regelmäßig Schulungen für Mitarbeitende durch, um das Bewusstsein für Cyberbedrohungen und die Bedeutung der Einhaltung der NIS2-Anforderungen zu stärken.
Fazit
Die Frist 2026 ist gesetzt. Wer noch keine Gap-Analyse begonnen hat, sollte dies als unmittelbaren nächsten Schritt angehen. Stellen Sie fest, in welche Einrichtungskategorie Sie fallen (wesentlich oder wichtig), gleichen Sie Ihre bestehenden Kontrollen mit den Anforderungen aus Artikel 21 ab, und erstellen Sie einen Sanierungsplan. Priorisieren Sie die Vorfallsmeldungsbereitschaft (das 24-Stunden-Meldefenster überrascht die meisten Organisationen) sowie die Pflichten zur Lieferkettensicherheit. Wer jetzt beginnt, wird compliant sein, wer wartet, wird unter Druck geraten.
Weitere NIS2-Ressourcen, Optionen für souveräne Bereitstellung und Compliance-Leitfäden finden Sie im NIS2 Compliance for On-Premise OT hub.