NIS2 ist die zweite Richtlinie der Europäischen Union zur Netz- und Informationssicherheit. Sie hat die ursprüngliche NIS-Richtlinie abgelöst, den Kreis der erfassten Sektoren erweitert und die nationalen Aufsichtsbehörden für die Durchsetzung verantwortlich gemacht. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen; mehrere haben die Frist verpasst, weshalb das Bild je nach Land, in dem Sie tätig sind, noch uneinheitlich aussieht.
Die Frage, die die meisten Unternehmen eigentlich beantwortet haben wollen, ist enger als die Richtlinie: Gilt das für uns, und wenn ja, was verlangt es.
Der zweiteilige Test
Der Anwendungsbereich wird über Sektor und Größe bestimmt, und beides muss zutreffen.
Sektor. Die Richtlinie listet Sektoren in zwei Anhängen. Anhang I umfasst die sogenannten Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anhang II umfasst sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung und Vertrieb von Chemikalien, Lebensmittelproduktion und -vertrieb, Herstellung bestimmter Produkte einschließlich Medizinprodukten, Computern, Elektronik, Maschinen und Fahrzeugen, digitale Anbieter wie Online-Marktplätze, Suchmaschinen und soziale Plattformen sowie Forschungseinrichtungen.
Diese Liste ist breiter, als die meisten erwarten. „Digitale Infrastruktur“ und „Verwaltung von IKT-Diensten“ ziehen Cloud-Anbieter, Rechenzentren, Content-Delivery-Netzwerke, Managed-Service-Provider und Managed-Security-Service-Provider hinein. Ein B2B-SaaS-Unternehmen, das sich nie als kritische Infrastruktur bezeichnen würde, kann nach der Richtlinie sehr wohl ein Verwalter von IKT-Diensten sein.
Größe. Die Grundregel ist die Schwelle für mittlere Unternehmen: 50 oder mehr Beschäftigte, oder Jahresumsatz und Bilanzsumme über 10 Millionen Euro. Darüber sind Einrichtungen in Sektoren aus Anhang I wesentlich; Einrichtungen in Sektoren aus Anhang II sind wichtig. Die Unterscheidung betrifft die Aufsicht, nicht die Pflichten: Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen im Nachhinein.
Die Größe ist kein Schlupfloch. Die Richtlinie nennt Fälle, in denen eine Einrichtung unabhängig von der Beschäftigtenzahl erfasst ist, darunter alleinige Anbieter eines kritischen Dienstes in einem Mitgliedstaat, Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter und Registrierungsstellen für Top-Level-Domains. Mitgliedstaaten können außerdem einzelne Einrichtungen benennen.
Der Teil, der Unternehmen außerhalb des Anwendungsbereichs erwischt
NIS2 verpflichtet Einrichtungen, Risiken in ihrer Lieferkette zu managen. Ihr Kunde muss, wenn er betroffen ist, die Sicherheit seiner Lieferanten bewerten, und diese Pflicht landet als Vertragsanforderung bei Ihnen, ob die Richtlinie Ihren Sektor nennt oder nicht.
In der Praxis kommt das als Fragebogen, als Klauselpaket bei einer Vertragsverlängerung oder als Bitte um Nachweise Ihrer Sicherheitspraxis. Unternehmen, die zu dem Schluss kamen, nicht betroffen zu sein, beantworten regelmäßig NIS2-förmige Fragen von Kunden, die es sind. Sie gut beantworten zu können ist ein kommerzieller Vorteil, bevor es eine Compliance-Frage ist.
Was verlangt wird
Artikel 21 legt die Mindestmaßnahmen fest, und die Liste überrascht niemanden, der mit einem etablierten Framework gearbeitet hat: Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbehandlung, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Konzepte zur Bewertung der Wirksamkeit der Maßnahmen, grundlegende Cyberhygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffssteuerung sowie Multi-Faktor-Authentifizierung.
Zwei Pflichten lohnt es sich gesondert zu betrachten, weil sie Fristen und persönliche Folgen haben.
Vorfallmeldung. Ein erheblicher Vorfall verlangt eine Frühwarnung an das nationale CSIRT oder die zuständige Behörde innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Vierundzwanzig Stunden sind kurz genug, dass es geprobt werden muss. Wenn niemand weiß, wer am Sonntag um 02:00 Uhr die Entscheidung trifft, ist die Frist schon verpasst.
Verantwortung der Leitung. Leitungsorgane müssen die Risikomaßnahmen genehmigen und ihre Umsetzung überwachen und können für Versäumnisse haftbar gemacht werden. Die Mitglieder müssen Schulungen absolvieren. Diese Vorschrift macht NIS2 vom Thema des Sicherheitsteams zum Thema der Geschäftsleitung.
Herausfinden, wo Sie stehen
Schreiben Sie zuerst auf, welche Ihrer Tätigkeiten einem Sektor aus Anhang I oder II zuzuordnen sind, und prüfen Sie Beschäftigtenzahl und Finanzkennzahlen gegen die Schwelle. Wenn es knapp ist, behandeln Sie sich als betroffen; die Kosten, sich vorzubereiten und falsch zu liegen, sind weit geringer als umgekehrt.
Wenn Sie betroffen sind, registrieren Sie sich bei der zuständigen Behörde Ihres Mitgliedstaats. Registrierungspflichten und Fristen unterscheiden sich von Land zu Land, das ist die praktische Folge der uneinheitlichen Umsetzung.
Wenn Sie nicht betroffen sind, finden Sie heraus, welche Ihrer Kunden es sind, denn deren Lieferkettenpflichten werden Sie erreichen.
Bestehende Zertifizierungen helfen, klären es aber nicht. Ein ISO-27001-Zertifikat deckt einen großen Teil von Artikel 21 ab, und die bestehenden Kontrollen auf den Artikel zu mappen ist eine sinnvolle erste Übung. Es deckt weder die Meldefristen noch die Verantwortung der Leitung ab, und NIS2-Konformität ist nichts, was ein Zertifikat allein belegt.