NIS-2-Richtlinie - gesetzliche Anforderungen zur IT-Sicherheit

Das wichtigste in Kürze

• Seit 17. Oktober 2024 gelten in der EU erhöhte Anforderungen an die Cybersicherheit.
• Die NIS-2 Richtlinie gilt für bestimmte Unternehmen mit mindestens 50 Mitarbeitenden und 10 Mio. Euro Umsatz in 18 festgelegten Sektoren.
• Die Betroffenheit lässt sich über die NIS-2 Betroffenheitsprüfung des BSI feststellen.
• NIS-2 Konformität kann mit einem Informationssicherheitsmanagementsystems (ISMS) erreicht werden. Viele NIS-2-Anforderungen sind aus der DIN EN ISO/IEC 27001 bekannt.
• Hier finden Sie eine kurze Videozusammenfassung (2 Minuten)

NIS-2-Richtlinie im Überblick

• Energieversorgung: Strom-, Gas- und Ölversorgung
• Transportwesen: Schienen-, Straßen-, Luft- und Seeverkehr
• Banken und Finanzmärkte: Banken, Zahlungsdienstleister und Finanzmarktinfrastrukturen
• Gesundheitswesen: Krankenhäuser und andere medizinische Einrichtungen
• Wasserversorgung: Trinkwasserversorger und Abwasserentsorgung
• Digitale Infrastrukturen: Cloud-Dienste, Online-Marktplätze und Suchmaschinen

Inkrafttreten des Gesetzes

Betroffenheit von Unternehmen

1. Eingabe von Unternehmensdaten: Unternehmen müssen ihre eigenen Daten zu Mitarbeiteranzahl, dem Jahresumsatz und der Jahresbilanzsumme eingeben.
2. Überprüfung der Brancheneinstufung: Der ermittelte Sektor sollte gegengeprüft werden.
3. Regelmäßige Wiederholung: Die Prüfung der Betroffenheit sollte regelmäßig, um Veränderungen durch Wachstum oder Änderung der Tätigkeitsbereiche zu berücksichtigen.

Pflichten für Unternehmen

1. Registrierungspflicht (§33, §34): Das BSI sieht für Einrichtungen in Deutschland, die von der NIS-2-Richtlinie betroffen sind, einen zweistufigen Registrierungsprozess vor: Zunächst muss eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) erfolgen. Dabei handelt es sich um ein Nutzerkonto im Sinne des Onlinezugangsgesetzes (OZG). Es dient juristischen Personen als Zugang zu digitalen Dienstleistungen der Verwaltung und stellt das geschäftliche Pendant zur personenbezogenen BundID dar. MUK basiert auf der ELSTER-Technologie und nutzt ELSTER-Organisationszertifikate, die üblicherweise bereits in Steuerverfahren genutzt werden. Weitere Informationen zur Registrierung bei MUK stellt das BSI bereit. Das BSI empfiehlt, den Account bei "Mein Unternehmenskonto" bis spätestens zum Jahresende 2025 anzulegen, um sich im zweiten Schritt ab Anfang 2026 mit dem MUK-Nutzerkonto beim u.a. für NIS-2 neu entwickelten BSI-Portal zu registrieren. Das BSI-Portal wird am 6. Januar 2026 freigeschaltet und dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle. Meldepflichtige Einrichtungen, die von NIS-2 betroffen sind und vor Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden diesen dem BSI über ein Online-Formular; KRITIS und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege.
2. Risikomanagementmaßnahmen, Business Continuity Management (§§ 30, 31)
   Dazu gehört z. B. der Einsatz technischer Maßnahmen wie z. B. Kryptografie, Verschlüsselung, Multi-Faktor-Authentifizierung
3. Meldepflichten (§32)
4. Unterrichtungspflichten (§35)
5. Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter (§38)
   siehe BSI-Hinweise zur "NIS-2-Geschäftsleitungsschulung"

Rechtsfolgen

Handlungsempfehlungen für Unternehmen

1. NIS-2 Betroffenheitsprüfung durchführen: Starten Sie mit einer NIS-2-Betroffenheitsprüfung (oder FitNIS2-Navigator), um festzustellen, ob Ihr Unternehmen von den NIS2-Richtlinien betroffen ist. Diese Einschätzung ist entscheidend, um die nächsten Schritte gezielt und effizient zu planen.
2. Teilnahme an NIS-2-Veranstaltungen: Informieren Sie sich durch die Teilnahme NIS-2-Veranstaltungen:Das BSI informiert über NIS-2 in verschiedenen kostenlosen Webinaren.
3. Überprüfung Ihrer Cybersicherheit mit einem IT-Sicherheitscheck: Weitere Informationen und Anmeldung: CyberSicherheitsCheck für KMU.
4. Umsetzung der Maßnahmen: Vieles von dem, was die NIS2 fordert, ist bereits aus der DIN ISO/IEC 27001, dem global anerkannten Standard für Informationssicherheit, bekannt. Ein ISMS nach ISO 27001 bietet eine starke Sicherheitsstruktur für Unternehmen, Betriebe und Organisationen. Die vielschichtige und komplexe Natur dieser Systeme berücksichtigt sowohl technische als auch menschliche Sicherheitsaspekte und kann den entscheidenden Unterschied bei Cyberangriffen ausmachen. Auf Basis der Ergebnisse des Assessments sollten konkrete Maßnahmen ergriffen werden:
   • Technologische Konzepte: Implementieren Sie technische Sicherheitsmaßnahmen wie die Einführung einer Zero-Trust-Architektur und die Etablierung von Kryptografie-Standards.
   • Prävention, Detektion und Reaktion: Implementieren Sie ein leistungsfähiges Security Incident Management System, um die kontinuierliche Überwachung, Analyse und schnelle Reaktion auf IT-Sicherheitsvorfälle sicherzustellen. ISO-zertifizierte Managed Security Services (MSS) bieten eine zuverlässige und kosteneffiziente Möglichkeit, sicherheitsrelevante Prozesse zum Schutz vor Cyber-Bedrohungen teilweise oder vollständig auszulagern.
   • Faktor Mensch und Sicherheitskultur: Stärken Sie die Sicherheitskultur in Ihrem Unternehmen durch regelmäßige Schulungen und Awareness-Programme für Ihre Mitarbeiter.
5. Kontinuierliche Überprüfung und Anpassung: Überwachen Sie die umgesetzten Maßnahmen regelmäßig und passen Sie diese an neue Bedrohungen und Anforderungen an. Eine kontinuierliche Verbesserung Ihrer Sicherheitsprozesse gewährleistet nicht nur den Schutz Ihrer Organisation, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern in Ihre digitale Zuverlässigkeit.

Fazit