NIS2 Maßnahmen - Was müssen Unternehmen tun?

NIS2 Maßnahmen umfassen nicht nur Betreiber wesentlicher Dienste, wie es bei NIS1 der Fall war, sondern auch:

• Öffentliche Verwaltung, sowohl auf nationaler als auch auf regionaler Ebene
• Unternehmen aus den Bereichen Post- und Kurierdienste, Abfallmanagement, Herstellung von Chemikalien, Lebensmitteln und Arzneimitteln.
• Digitale Dienstleister. Dazu gehören Soziale Netzwerke, Online-Marktplätzen und Online-Suchmaschinen.

Die NIS1 betonte die Notwendigkeit von Sicherheitsmaßnahmen, jedoch wurden die Details den Mitgliedstaaten überlassen. Die NIS2 hingegen präzisiert und verstärkt die Sicherheitsanforderungen, unter anderem:

• Die Verpflichtung zum Risikomanagement für Betreiber wesentlicher Dienste und digitale Dienstleister.
• Die konkrete Festlegung der nicht delegierbaren Gesamtverantwortung an das Top-Management – inklusive „Schulbankpflicht“ i.Z.m. Risiko-Maßnahmen und -Entscheidungen.
• Angemessene technische und organisatorische Maßnahmen zu implementieren. Dazu gehören präventive sowie reaktive Maßnahmen, wie z. B. Zugangskontrollen, Verschlüsselung, Vorfallmanagement und Notfallwiederherstellungspläne.

Unter der NIS1 mussten Sicherheitsvorfälle nur gemeldet werden, wenn sie erhebliche Auswirkungen auf die Kontinuität der betroffenen Dienste hatten. Ohne solche erheblichen Auswirkungen waren die Vorfälle nicht meldepflichtig.

Ohne diese erheblichen Auswirkungen waren Vorfälle nicht meldepflichtig. Dies bedeutet, dass nicht alle Vorfälle meldepflichtig waren. Die NIS2 führt hingegen detailliertere Meldepflichten ein:

• Erhebliche Cybervorfälle müssen innerhalb von 24 Stunden nach der Erkennung gemeldet werden.
• Ein detaillierter Bericht muss innerhalb von 72 erstellt werden.
• Regelmäßige Updates sind erforderlich, solange die Untersuchung des Vorfalls andauert.

Bei der NIS1 hatten die Mitgliedstaaten Spielraum bei der Umsetzung und Durchsetzung der Richtlinie. NIS2 Maßnahmen stärken hingegen die Befugnisse der nationalen Aufsichtsbehörden, durch die:

• Einführung strengerer Überwachungs- und Durchsetzungsmechanismen.
• Befugnis zur Durchführung von Audits, Vor-Ort-Inspektionen und zur Anforderung von Informationen.
• Möglichkeit Sanktionen bei Nichteinhaltung zu verhängen, einschließlich Bußgeldern.

Die NIS1 förderte die Zusammenarbeit zwischen den Mitgliedstaaten, jedoch blieb die konkrete Umsetzung offen. Die NIS2 hingegen führt neue Kooperationsmechanismen ein, unter anderem:

• Die Einrichtung eines Netzwerkes (EU-CyCLONe), um die Reaktion auf grenzüberschreitende Cyberkrisen zu koordinieren.
• Den verbesserten Informationsaustausch durch die Computer Security Incident Response Teams (CSIRTs) und die Europäische Agentur für Cybersicherheit (ENISA).

Während die NIS1 hauptsächlich die Betreiber wesentlicher Dienste in den Fokus stellte, verlangt die NIS2 von Unternehmen mehr. Sie müssen nun auch Risiken, die von Drittparteien und der Lieferkette ausgehen, in ihre Sicherheitsstrategien einbeziehen. Dies umfasst unter anderem:

• Unternehmen müssen sicherstellen, dass auch ihre Lieferanten und Dienstleister angemessene Sicherheitsvorkehrungen treffen.
• Einführung von Anforderungen zur Überwachung und Bewertung von Drittanbietern.