NIS 2 – Konformität

Die EU-Richtlinie NIS 2 ist der direkte Nachfolger der NIS-1- Richtlinie, die Unternehmen, mit bestimmten Voraussetzungen zu strengeren Cybersicherheitsmaßnahmen verpflichtet. Sie wurde eingeführt um der steigenden Bedrohung durch Cyberangriffe auf kritische Infrastrukturen entgegenzutreten und somit potenziell katastrophale Auswirkungen auf die Gesellschaft und die Wirtschaft zu verhindern.

Was ist die NIS-2 Richtlinie?

Die NIS2-Richtlinie ist eine EU-weite Regelung, die den Schutz kritischer Infrastrukturen und essenzieller Dienste vor Cyberbedrohungen stärken soll. Sie wurde 2022 verabschiedet und stellt eine Weiterentwicklung der ersten NIS-Richtlinie dar. Während die ursprüngliche NIS-Richtlinie vor allem auf den Schutz der Netz- und Informationssysteme in den Bereichen Energie, Verkehr, Gesundheit und Wasserversorgung abzielte, erweitert NIS2 den Anwendungsbereich erheblich.

Die NIS2-Richtlinie legt Mindestanforderungen an die Cybersicherheit für Unternehmen fest und stärkt die Kooperation zwischen den EU-Mitgliedstaaten. Ziel ist es, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme innerhalb der EU zu gewährleisten.

Es müssen Maßnahmen in den folgenden Bereichen getroffen werden: Richtlinien, Vorfallsbewältigung , Business Continuity, Supply Chain, Einkauf, Wirksamkeit, Cyberhygiene, Schulungen Kryptografie, Personal, Zugriffsberechtigungen, Asset Management, Authentifizierung, Kommunikation

In Deutschland wird die NIS 2-Richtiline durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht umgesetzt.

Bei Verstößen gegen die NIS-2-Richtlinie drohen einem Unternehmen zudem nun empfindliche Geldstrafen.

Bitte beachten Sie, dass alle hier aufgelisteten Informationen ausschließlich zu Ihrer Orientierung dienen und in keinem Fall eine Rechtsberatung darstellen.

Die wichtigsten Punkte im Überblick

Betroffen sind Unternehmen aus 14 Sektoren mit mindestens 50 Beschäftigten und/oder mindestens 10 Mio. Euro Umsatz im Jahr.
Für betroffene Unternehmen gilt eine Registrierungspflicht. Diese Registrierung müssen die Unternehmen eigenständig durchführen.
Das BSI bietet unter https://betroffenheitspruefung-nis-2.bsi.de/ eine Hilfe zur Selbsteinschätzung für Unternehmen an. Bitte beachten Sie dort die rechtlichen Hinweise zur Betroffenheitsprüfung.
Die Geschäftsführung trägt zukünftig die Verantwortung für die Cybersicherheit im Unternehmen.
Durch die NIS-2-Richtlinie bestehen in Zukunft Meldepflichten für Sicherheitsvorfälle.
Es müssen Maßnahmen in den folgenden Bereichen getroffen werden: Richtlinien, Vorfallsbewältigung , Business Continuity, Supply Chain, Einkauf, Wirksamkeit, Cyberhygiene, Schulungen Kryptografie, Personal, Zugriffsberechtigungen, Asset Management, Authentifizierung, Kommunikation

Wer ist durch die NIS-2-Richtlinie Betroffen?

In Deutschland sind schätzungsweise 25.000 bis 40.000 öffentliche wie private Einrichtungen aus 14 Sektoren betroffen, die mindestens 50 beschäftigen und/oder mindestens 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme haben.

Nachfolgend listen wir die 14 Sektoren aus Anlage 1 und Anlage 2 mit Details zu den Branchen für Sie auf:

Sektoren hoher Kritikalität aus Anhang I der NIS-2

Stromversorgung

Stromlieferanten gemäß § 3 Nr. 31a EnWG
Betreiber von Elektrizitätsverteilernetzen gemäß §3 Nr. 3 EnWG
Betreiber von Übertragungsnetzen gemäß §3 Nr. 10 EnWG
Betreiber von Erzeugungsanlagen gemäß §3 Nr. 18d EnWG
Nominierte Strommarktbetreiber nach Artikel 2 Nummer 8 der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates vom 5 Juni 2019 über den Elektrizitätsbinnenmarkt (ABl. L 158 vom 14.6.2019, S. 54)
Aggregatoren gemäß § 3 Nr. 1a EnWG
Betreiber von Energiespeicheranlagen gemäß § 3 Nr. 15d EnWG
Anbieter von Ausgleichsleistungen im Sinne von § 3 Nr. 1b EnWG
Ladepunktbetreiber gemäß § 2 Nr. 8 LSV

Fernwärme und -kälteversorgung

Betreiber von Fernwärme- oder Fernkälteversorgung im Sinne von § 3 Nummer 19 oder Nummer 20 GEG

Kraftstoff- und Heizölversorgung

Betreiber von Erdöl-Fernleitungen
Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie Betreiber von Erdöllagern und Erdöl-Fernleitungen
Zentrale Bevorratungsstellen nach Artikel 2 Buchstabe f der Richtlinie 2009/119/EG des Rates vom 14. September 2009 zur Verpflichtung der Mitgliedstaaten, Mindestvorräte an Erdöl und/oder Erdölerzeugnissen zu halten (ABl. L 265 vom 9.10.2009, S. 9)

Gasversorgung

Betreiber von Gasverteilnetzen gemäß § 3 Nr. 8 EnWG
Betreiber von Fernleitungsnetzen gemäß § 3 Nr. 5 EnWG
Betreiber von Gasspeicheranlagen gemäß § 3 Nr. 6 EnWG
Betreiber von LNG-Anlagen gemäß § 3 Nr. 9 EnWG
Gaslieferanten gemäß § 3 Nr. 19b EnWG
Betreiber von Anlagen zur Gewinnung von Erdgas
Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas
Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung

Luftverkehr

Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates vom 11. März 2008 über gemeinsame Vorschriften für die Sicherheit in der Zivilluftfahrt und zur Aufhebung der Verordnung (EG) Nr. 2320/2002 (ABl. L 97 vom 9.4.2008, S. 72), die für gewerbliche Zwecke genutzt werden
Flughafenleitungsorgane nach Artikel 2 Nummer 2 der Richtlinie 2009/12/EG des Europäischen Parlaments und des Rates vom 11. März 2009 über Flughafenentgelte (ABl. L 70 vom 14.3.2009, S. 11), Flughäfen nach Artikel 2 Nummer 1 jener Richtlinie, einschließlich der in Anhang II Abschnitt 2 der Verordnung (EU) Nr. 1315/2013 des Europäischen Parlaments und des Rates vom 11. Dezember 2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU (ABl. L 348, 20.12.2013, S. 1) aufgeführten Flughäfen des Kernnetzes, und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben
Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen, die Flugverkehrskontrolldienste im Sinne von Artikel 2 Nummer 1 der Verordnung (EG) Nr. 549/2004 des Europäischen Parlaments und des Rates vom 10. März 2004 zur Festlegung des Rahmens für die Schaffung eines einheitlichen europäischen Luftraums (ABl. L 96 vom 31.3.2004, S. 1) bereitstellen

Schienenverkehr

Eisenbahninfrastrukturbetreiber nach § 2 Nummer 6 und 6a des Allgemeinen Eisenbahngesetz (AEG) einschließlich zentraler Einrichtungen, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponiert
Eisenbahnverkehrsunternehmen nach § 2 Nummer 3 AEG, einschließlich Betreiber einer Serviceeinrichtung nach § 2 Nummer 9 AEG

Schifffahrt

Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 des Europäischen Parlaments und des Rates vom 31. März 2004 zur Erhöhung der Gefahrenabwehr auf Schiffen und in Hafenanlagen (ABl. L 129 vom 29.4.2004, S. 6) für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe
Leitungsorgane von Häfen nach Artikel 3 Nummer 1 der Richtlinie 2005/65/EG des Europäischen Parlaments und des Rates vom 26. Oktober 2005 zur Erhöhung der Gefahrenabwehr in Häfen (ABl. L 310 vom 25.11.2005, S. 28), einschließlich ihrer Hafenanlagen nach Artikel 2 Nummer 11 der Verordnung (EG) Nr. 725/2004, sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben
2.3.3 Betreiber einer Anlage oder eines Systems zum sicheren Betrieb einer Wasserstraße im Sinne von § 1 Absatz 6 Nummer 1 WaStrG

Straßenverkehr

Betreiber einer Anlage oder eines System zur Verkehrsbeeinflussung im Straßenverkehr einschließlich der in § 1 Absatz 4 Nummer 1, 3 und 4 FStrG genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme und Fachstellen für Informationstechnik und -sicherheit im Straßenbau, sowie der Telekommunikationsnetze der Bundesautobahnen
Betreiber eines intelligentes Verkehrssystem nach § 2 Nummer 1 IVSG.

Bankwesen

Kreditinstitute: Einrichtungen deren Tätigkeit darin besteht, Einlagen oder andere rückzahlbare Gelder des Publikums entgegenzunehmen und Kredite für eigene Rechnung zu gewähren

Finanzmarktinfrastrukturen

Handelsplätze im Sinne von § 2 Abs. 22 WpHG
Zentrale Gegenparteien, die zwischen die Gegenparteien der auf einem oder mehreren Märkten gehandelten Kontrakte tritt und somit als Käufer für jeden Verkäufer bzw. als Verkäufer für jeden Käufer fungiert

Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie (EU) 2011/24 des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABl. L 88 vom 4.4.2011, S. 45)
EU-Referenzlaboratorien nach Artikel 15 der Verordnung (EU) 2022/2371 des Europäischen Parlaments und des Rates vom 23. November 2022 zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren und zur Aufhebung des Beschlusses Nr. 1082/2013/EU (ABl. L 314 vom 6.12.2022, S. 26)
Unternehmen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel nach § 2 AMG ausüben
Unternehmen, die pharmazeutische Erzeugnisse nach Abschnitt C Abteilung 21 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen
Unternehmen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch nach Artikel 22 der Verordnung (EU) 2022/123 des Europäischen Parlaments und des Rates vom 25. Januar 2022 zu einer verstärkten Rolle der Europäischen Arzneimittel-Agentur bei der Krisenvorsorge und -bewältigung in Bezug auf Arzneimittel und Medizinprodukte (ABl. L 20 vom 31.1.2022, S. 1) („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden

Trinkwasserversorgung

Betreiber von Wasserversorgunsanlagen im Sinne von § 2 Nr. 3 TrinkwV, jedoch unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist

Abwasserbeseitigung

Unternehmen, die Abwasser nach § 2 Absatz 1 AbwAG sammeln, entsorgen oder behandeln, jedoch unter Ausschluss der Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung solchen Abwassers ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist.

Betreiber von Internet Exchange Points
DNS-Dienstanbieter, ausgenommen Betreiber von Root-Nameservern
Top Level Domain Name Registry
Anbieter von Cloud-Computing-Diensten
Anbieter von Rechenzentrumsdiensten
Betreiber von Content Delivery Networks
Vertrauensdienstanbieter
Anbieter öffentlicher elektronischer Kommunikationsnetze
Anbieter öffentlich zugänglicher elektronsicher Kommunikationsdienste
Managed Services Provider
Managed Security Services Provider

Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze

Sonstige kritische Sektoren aus Anhang II der NIS-2

Post- und Kurierdienste

Anbieter von Postdienstleistungen nach § 3 Nummer 15 PostG, einschließlich Anbieter von Kurierdiensten

Unternehmen der Abfallbewirtschaftung nach § 3 Abs. 14 KrWG, ausgenommen Unternehmen, für die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit ist.

Hersteller und Importeure nach Artikel 3 Nummern 9 und 11 der Verordnung (EG) Nr. 1907/2006 des Europäischen Parlaments und des Rates vom 18. Dezember 2006 zur Registrierung, Bewertung, Zulassung und Beschränkung chemischer Stoffe (REACH), zur Schaffung einer Europäischen Chemikalienagentur, zur Änderung der Richtlinie 1999/45/EG und zur Aufhebung der Verordnung (EWG) Nr. 793/93 des Rates, der Verordnung (EG) Nr. 1488/94 der Kommission, der Richtlinie 76/769/EWG des Rates sowie der Richtlinien 91/155/EWG, 93/67/EWG, 93/105/EG und 2000/21/EG der Kommission (ABl. L 396 vom 30.12.2006, S. 1) von chemischen Stoffen und Gemischen im Sinne des Artikels 3 Nummer 1 und 2 der genannten Verordnung, sofern diese in Kategorie 20 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) fallen

Lebensmittelunternehmen nach Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates vom 28. Januar 2002 zur Festlegung der allgemeinen Grundsätze und Anforderungen des Lebensmittelrechts, zur Errichtung der Europäischen Behörde für Lebensmittelsicherheit und zur Festlegung von Verfahren zur Lebensmittelsicherheit (ABl. L 31 vom 1.2.2002, S. 1), die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind

Herstellung von Medizinprodukten und In-vitroDiagnostika

Unternehmen, die Medizinprodukte nach Artikel 2 Nummer 1 der Verordnung (EU) 2017/745 des Europäischen Parlaments und des Rates über Medizinprodukte, zur Änderung der Richtlinie 2001/83/EG, der Verordnung (EG) Nr. 178/2002 und der Verordnung (EG) Nr. 1223/2009 und zur Aufhebung der Richtlinien 90/385/EWG und 93/42/EWG des Rates (ABl. L 117 vom 5.5.2017, S. 1) herstellen, und Unternehmen, die In-vitro-Diagnostika nach Artikel 2 Nummer 2 der Verordnung (EU) 2017/746 des Europäischen Parlaments und des Rates vom 5. April 2017 über In-vitro-Diagnostika und zur Aufhebung der Richtlinie 98/79/EG und des Beschlusses 2010/227/EU der Kommission (ABl. L 117 vom 5.5.2017, S. 176) herstellen, mit Ausnahme von Unternehmen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch nach Artikel 22 der Verordnung (EU) 2022/123 des Europäischen Parlaments und des Rates vom 25. Januar 2022 zu einer verstärkten Rolle der Europäischen Arzneimittel-Agentur bei der Krisenvorsorge und -bewältigung in Bezug auf Arzneimittel und Medizinprodukte (ABl. L 20 vom 31.1.2022, S. 1) („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden

Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen

Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 26 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben

Herstellung von elektrischen Ausrüstungen

Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 27 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben

Maschinenbau

Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 28 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben

Herstellung von Kraftwagen und Kraftwagenteilen

Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 29 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben

Sonstiger Fahrzeugbau

Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 30 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben

Anbieter von Online-Marktplätzen
Anbieter von Online-Suchmaschinen
Anbieter von Plattformen für Dienste sozialer Netzwerke

Forschungseinrichtungen

Was muss beachtet werden, wenn man betroffen ist?

Sollte ein Unternehmen feststellen, dass es von der NIS2-Richtlinie betroffen ist, müssen bestimmte Maßnahmen ergriffen werden, um die Anforderungen zu erfüllen:

Risikomanagement: Unternehmen müssen ein Cybersicherheitsrisikomanagement implementieren, das Bedrohungen und Schwachstellen regelmäßig bewertet und entsprechende Gegenmaßnahmen plant.
Meldung von Sicherheitsvorfällen: Betroffene Unternehmen sind verpflichtet, schwerwiegende Sicherheitsvorfälle innerhalb bestimmter Fristen an die zuständigen Behörden zu melden.
Technische und organisatorische Maßnahmen: Unternehmen müssen eine Reihe von Sicherheitsmaßnahmen implementieren, darunter Zugangskontrollen, Netzwerksicherheit und Notfallpläne.
Audit und Reporting: Es ist erforderlich, regelmäßige Sicherheitsaudits durchzuführen und Berichte über die Cybersicherheit an die zuständigen Behörden zu übermitteln.

Neue und wichtige Aspekte für die Geschäftsführung der betroffenen Unternehmen

Die Geschäftsführung eines betroffenen Unternehmens muss über folgende Punkte bescheid wissen.

Erhöhte Verantwortung der Geschäftsführung

Die NIS2-Richtlinie legt großen Wert auf die Verantwortung der Geschäftsführung für die Cybersicherheit des Unternehmens. Führungskräfte tragen die oberste Verantwortung für die Einhaltung der NIS2-Anforderungen und können bei Nichteinhaltung persönlich haftbar gemacht werden. Dies erfordert von der Geschäftsführung:

Engagement für Cybersicherheit
Aufsicht und Kontrolle
Haftung

Strafen und Sanktionen bei Verstößen

Die NIS2-Richtlinie verschärft die Strafen bei Verstößen erheblich im Vergleich zur ursprünglichen NIS-Richtlinie. Die finanziellen Sanktionen und rechtlichen Konsequenzen sollen sicherstellen, dass Unternehmen die Anforderungen ernst nehmen. Hier sind die wesentlichen Strafen, die bei Nichteinhaltung drohen:

Geldbußen in erheblichen Maße
Verwaltungsmaßnahmen können zusätzlich zu Geldbußen verhängt werden
Verstöße können in einigen Fällen veröffentlicht werden, dies kann zu einem Schaden der Reputation führen

Haftung der Geschäftsführung

Ein besonders kritischer Punkt für die Geschäftsführung ist die persönliche Haftung, die durch die NIS2-Richtlinie verstärkt wird. Die Geschäftsführer und Vorstandsmitglieder tragen die Verantwortung dafür, dass das Unternehmen die Vorschriften einhält, und können persönlich zur Rechenschaft gezogen werden:

Persönliche Haftung bei schwerwiegenden Verstößen, bei Fahrlässigkeit oder unzureichender Aufsicht
Sorgfaltspflicht
Versicherungsschutz

Strategische Integration von Cybersicherheit

Cybersicherheit darf nicht als isoliertes IT-Thema betrachtet werden. Die NIS2-Richtlinie fordert, dass Cybersicherheit in die gesamte Unternehmensstrategie integriert wird. Die Geschäftsführung muss sicherstellen, dass:

Cybersicherheitsziele in die Unternehmensziele eingebettet werden
Risikomanagement
Investitionen in Sicherheit

Meldepflichten bei Sicherheitsvorfällen

Ein zentraler Aspekt der NIS2-Richtlinie ist die Verpflichtung, schwerwiegende Sicherheitsvorfälle unverzüglich zu melden. Die Geschäftsführung muss:

Sicherstellen, dass Meldeprozesse etabliert sind
Schnelle Reaktionsfähigkeit sicherstellen
Krisenmanagement

Schulungen und Weiterbildung der Geschäftsführung

Ein oft übersehener, aber kritischer Aspekt der NIS2-Richtlinie ist die Notwendigkeit, dass auch die Geschäftsführung sich aktiv mit der Materie der Informationssicherheit auseinandersetzt. Die zunehmende Komplexität und Bedeutung der Cybersicherheit erfordert, dass Führungskräfte ein fundiertes Verständnis in diesem Bereich entwickeln:

Eigeninitiative bei der Weiterbildung
Verständnis für technische und organisatorische Maßnahmen
Schaffung einer Sicherheitskultur