EU-RichtlinieEU
NIS2
NIS2-Richtlinie (EU) 2022/2555
NIS2 legt Pflichten zum Cybersicherheits-Risikomanagement und zur Vorfallmeldung für wesentliche und wichtige Einrichtungen in achtzehn Sektoren fest, mit persönlicher Verantwortung der Leitungsorgane. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen; die nationalen Gesetze unterscheiden sich im Detail.
Wen es erreicht
- Mittlere und große Organisationen in den Sektoren der Anhänge I und II: Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Raumfahrt, Post, Abfall, Chemie, Lebensmittel, Fertigung, digitale Anbieter und Forschung.
- Manche Einrichtungen unabhängig von der Größe: DNS, TLD-Registrierungsstellen, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikation und andere.
- Lieferanten betroffener Einrichtungen, mittelbar, über die Pflicht zur Sicherheit der Lieferkette.
Was das Audit prüft
- 01Die nationalen Behörden beaufsichtigen: wesentliche Einrichtungen proaktiv, wichtige Einrichtungen im Nachhinein.
- 02Ein Audit prüft die Maßnahmen aus Artikel 21, die Genehmigung und Schulung des Leitungsorgans, die Bereitschaft zur Vorfallmeldung und die Kontrollen in der Lieferkette.
- 03Die meisten Organisationen weisen NIS2 über ein ISO-27001-ISMS nach, das auf Artikel 21 abgebildet ist.
Ein typischer Auftrag
Die Dauern sind Spannen aus der Praxis für eine mittelgroße Organisation mit einer funktionierenden Sicherheitsfunktion; ein erstes Programm dauert länger, ein reifes kürzer.
| Phase | Wochen |
|---|---|
| Betroffenheit feststellen und registrieren | 1 bis 3 |
| Lückenanalyse gegen Artikel 21 und nationales Recht | 2 bis 4 |
| Maßnahmen und Meldeprozess umsetzen | 8 bis 24 |
| Genehmigung durch die Leitung, Schulung, internes Audit | 2 bis 6 |
Nachweise, die bereitliegen sollten
- Feststellung der Betroffenheit mit Begründung zu Sektor und Größe
- Registrierung bei der nationalen Behörde
- Genehmigung der Cybersicherheitsmaßnahmen durch die Leitung und Schulungsnachweise
- Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
- Verfahren zur Vorfallbehandlung mit Meldeschritten nach 24 Stunden, 72 Stunden und einem Monat
- Pläne für Geschäftskontinuität, Backup und Krisenmanagement
- Sicherheitsbewertungen der Lieferkette und Vertragsbedingungen
- Prozess zur Behandlung und Offenlegung von Schwachstellen
- Richtlinien zu Multi-Faktor-Authentifizierung und Kryptografie
- Bewertung der Wirksamkeit der Maßnahmen
Termine
- Umsetzungsfrist für die Mitgliedstaaten
Häufige Fragen
- Wesentlich oder wichtig: Was ist der Unterschied?
- Wesentliche Einrichtungen sind große Organisationen in Sektoren aus Anhang I und bestimmte andere; sie werden proaktiv beaufsichtigt und tragen höhere Bußgelder (10 Millionen Euro oder 2 Prozent). Wichtige Einrichtungen sind die übrigen betroffenen, im Nachhinein beaufsichtigt, mit Bußgeldern bis 7 Millionen Euro oder 1,4 Prozent.
- Welche Meldefristen gelten für Vorfälle?
- Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
- Deckt ISO 27001 NIS2 ab?
- Ein ISO-27001-ISMS trägt die meisten Maßnahmen aus Artikel 21, aber NIS2 ergänzt Registrierung, Verantwortung der Leitung, konkrete Meldefristen und nationale Anforderungen, die das Zertifikat allein nicht belegt.