NIS2, Leitfaden für Unternehmen / NIS2 für Unternehmen: Ein umfassender Leitfaden

Was ist NIS2?

Was ist NIS2? Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Regulierung, die darauf abzielt, die Cybersicherheit und den Schutz kritischer Infrastrukturen innerhalb der Europäischen Union zu stärken. Sie baut auf der ursprünglichen NIS-Richtlinie von 2016 auf und erweitert deren Geltungsbereich und Anforderungen erheblich. Die NIS2-Richtlinie wurde am 27. 12. 2022 im Amtsblatt der Europäischen Union veröffentlicht und muss bis zum 17. 10. 2024 in nationales Recht umgesetzt werden.

Was ist das Ziel von NIS2?

Das Hauptziel der NIS2-Richtlinie ist es, ein hohes gemeinsames Cybersicherheitsniveau in der gesamten EU zu gewährleisten. Dies soll durch die folgenden Maßnahmen im Unterscheid zu NIS1 erreicht werden:

Für welche Unternehmen gelten die Richtlinien von NIS2?

Die NIS2-Richtlinie gilt für eine breite Palette von Unternehmen und Organisationen, die in den folgenden 18 Sektoren tätig sind:

• Energie
• Transport
• Banken
• Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasserversorgung und -verteilung
• Abwasserentsorgung
• Digitale Infrastruktur
• Öffentliche Verwaltung
• Raumfahrt
• Lebensmittelproduktion und -verarbeitung
• Chemische Industrie
• Herstellung von pharmazeutischen Produkten
• Herstellung von medizinischen Geräten
• Post- und Kurierdienste
• Abfallwirtschaft
• Forschung
• Soziale Netzwerke

Die Richtlinie richtet sich insbesondere an mittlere und große Unternehmen, die mehr als 50 Mitarbeiter beschäftigen und einen Jahresumsatz von über 10 Millionen EUR haben. Auch bestimmte Betreiber digitaler Infrastrukturen und öffentliche Verwaltungen fallen unabhängig von ihrer Größe unter die Richtlinie.

Beispiele für Unternehmen, für die NIS2 unabhängig von ihrer Größe gilt

1. Qualifizierte Vertrauensdienste

   Diese Unternehmen sind zentral für die Sicherheit und Vertrauenswürdigkeit digitaler Transaktionen innerhalb der EU (Elektronische Signaturen, Zeitstempel, Website-Zertifikate …).

2. Top Level Domain-Registries (TLD) und Domain Name System-Dienste (DNS)

   Diese Dienste spielen wesentliche Rolle bei der Verwaltung und Auflösung von Domainnamen, was die Grundlage für das Funktionieren des Internets bildet.

3. Anbieter von digitalen Diensten

   Hierzu zählen Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Plattformen. Diese Dienste sind für die digitale Wirtschaft von zentraler Bedeutung.

4. Unternehmen in kritischen Sektoren

   Unternehmen, die in Sektoren wie Energie, Wasser, Gesundheit, Abfallbewirtschaftung, Lebensmittelproduktion und Chemikalienproduktion tätig sind, wenn sie als besonders kritisch eingestuft werden.

Checkliste zur Einhaltung der NIS2-Richtlinien

Um festzustellen, ob Ihr Unternehmen den NIS2-Richtlinien entspricht, können Sie die folgende Checkliste verwenden:

NIS2-Compliance – Checkliste für Unternehmen

1. Selbsteinstufung und Registrierung

   • Kategorisierung des Unternehmens:

     • Frage: Haben Sie Ihr Unternehmen als kritische oder wesentliche Einrichtung eingestuft?
     • To Do: Bestimmen Sie, ob Ihr Unternehmen als Betreiber wesentlicher Dienste oder digitaler Dienste gilt.

   • Registrierung bei der Aufsichtsbehörde

     • Frage: Haben Sie sich bei der zuständigen nationalen Behörde registriert?
     • To Do: Melden Sie Ihr Unternehmen bei der für NIS2 zuständigen Aufsichtsbehörde an.

2. Risikomanagement

   • Implementierung eines Risikomanagementsystems:

     • Frage: Haben Sie ein umfassendes Cybersicherheits-Risikomanagementsystem implementiert?
     • To Do: Etablieren Sie ein System zur Identifikation, Bewertung und Minderung von Cybersicherheitsrisiken.

   • Regelmäßige Risikobewertungen:

     • Frage: Führen Sie regelmäßige Risikobewertungen durch?
     • To Do: Überprüfen Sie regelmäßig Ihre Systeme auf neue Bedrohungen und die Wirksamkeit bestehender Sicherheitsmaßnahmen.

3. Sicherheitsmaßnahmen

   • Technische Maßnahmen:

     • Frage: Haben Sie Ihr Unternehmen als kritische oder wesentliche Einrichtung eingestuft?
     • To Do: Setzen Sie Maßnahmen wie Firewalls, Antivirensoftware, Intrusion Detection Systeme und Verschlüsselung ein.

   • Organisatorische Maßnahmen:

     • Frage: Haben Sie angemessene organisatorische Sicherheitsmaßnahmen ergriffen?
     • To Do: Implementieren Sie Sicherheitsrichtlinien, Zugangskontrollen und Notfallpläne.

   • Regelmäßige Überprüfung und Aktualisierung:

     • Frage: ...