NIS-2-Richtlinie

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie ist eine überarbeitete Version der ursprünglichen NIS-Richtlinie (Network and Information Systems Directive) der Europäischen Union und eine EU-weite Gesetzgebung zur Cybersicherheit. Die Richtlinie zielt darauf ab, das Sicherheitsniveau von Netz- und Informationssystemen innerhalb der EU zu stärken, zu vereinheitlichen und einen höheren Schutz kritischer Infrastrukturen und digitaler Dienste zu gewährleisten. Die NIS-2-Richtlinie erweitert den Anwendungsbereich, erhöht die Sicherheitsanforderungen und verbessert die Zusammenarbeit zwischen den Mitgliedstaaten.

Welche Sektoren fallen unter NIS-2-Richtlinie? 

Zu den Sektoren, welche unter die NIS-2 Richtlinie fallen, gehören unter anderem:

• Kritische Infrastrukturen
• Digitale Infrastruktur
• Öffentliche Verwaltung
• Gesundheitswesen
• Finanzwesen und Bankensektor
• Lebensmittelproduktion und -vertrieb
• Raumfahrt

Die NIS-2-Richtlinie zielt auf eine breite Palette von Sektoren und Unternehmen ab, die als Betreiber wesentlicher Dienste (Operators of Essential Services, OES) und Anbieter digitaler Dienste (Digital Service Providers, DSP) klassifiziert werden. Diese Organisationen sind verpflichtet, bestimmte Sicherheitsmaßnahmen zu implementieren und Vorfälle zu melden.

Was sind die wesentlichen Neuerungen durch die NIS-2-Richtlinie?

• Erweiterung des Anwendungsbereiches: Die NIS-2 betrifft mehrere Unternehmen als die vorherige Richtlinie.
• Verschärfte Sicherheitsanforderungen: Die Richtlinie beinhaltet konkrete Maßnahmen zur Umsetzung der Cybersicherheit, u.a. in Überwachung von Sicherheitsvorfällen.
• Ausweitung der Meldepflicht: Sicherheitsvorfälle, die Auswirkungen auf die Dienstleistungen der betroffenen Sektoren haben, müssen an die zuständigen Behörden gemeldet werden.
• Höhere Sanktionen: Unternehmen, die sich nicht an die NIS-2-Vorgaben erhalten, müssen mit höheren Bußgeldern rechnen.
• Persönliche Verantwortung der Geschäftsleitung: Die Geschäftsleitung wird persönlich haftbar gemacht, wenn das Unternehmen den Verpflichtungen zur Cybersicherheit nicht nachkommt.
• Schulung und Sensibilierung: Das Unternehmen muss sicherstellen, dass alle Mitarbeiter über die Anforderungen an die Cybersicherheit geschult werden.

Wann tritt die NIS-2 Richtlinie in Deutschland in Kraft?

Die NIS-2-Richtlinie wurde im Dezember 2022 von der EU verabschiedet und ist am 16. Januar 2023 in Kraft getreten. Die Mitgliedstaaten der EU hatten bis zum 17. Oktober 2024 Zeit, um die Richtlinie in nationales Recht umzusetzen. Die genaue Umsetzung kann jedoch von verschiedenen Faktoren abhängen, einschließlich des nationalen Gesetzgebungsprozesses. In Deutschland soll das NIS-2-Umsetzungsgesetz voraussichtlich in 2025 verabschiedet werden.