Definitionen Was ist NIS2?

NIS 2 ist eine Richtlinie der EU, die der Stärkung der Cybersicherheit dient. Im Zentrum der Regelungen stehen dabei speziell Unternehmen, die im Bereich der kritischen Infrastrukturen tätig sind. Eingeführt wurde hierfür eine neue Kategorisierung.

NIS 2 ist eine gesetzliche Regelung der Europäischen Union (EU), die der Stärkung der Cybersicherheit dient. Die Abkürzung steht für die englischen Vokabeln „Network and Information Security“, die sich aber ohne Änderung des Akronyms auf Deutsch zu „Netzwerk- und Informations-Sicherheit“ übersetzen lassen. Die „2“ ist der Hinweis, dass es sich um den Nachfolger einer bestehenden Richtlinie handelt.

Das ursprüngliche NIS-Regelwerk datiert aus dem Jahr 2016. Die Neufassung aktualisiert die bestehenden Regelungen für den Bereich der Cybersicherheit und trägt dabei den technischen Entwicklungen Rechenschaft. Außerdem werden neue Vorschriften erlassen, die für Firmen im Bereich der kritischen Infrastrukturen gelten.

Die zentrale Neuerung: „Essenzielle“ und „wichtige“ Branchen

NIS 2 erweitert den Kreis der Branchen, die zu den kritischen Infrastrukturen gezählt werden. Hierfür führt es die Unterscheidung zwischen "essenziellen" und "wichtigen" Segmenten ein, um einfacher die Bedeutung der in den Bereichen operierenden Unternehmen herausstreichen zu können. Essenziell sind beispielsweise die Bereiche Energie, Transport, Finanzen, Trinkwasser und digitale Infrastruktur. Wichtig sind Unternehmen in Branchen wie Lebensmittel, Forschung, digitale Dienste und Chemikalien.

NIS2 verschärft zudem generell die Sicherheitsvorschriften. Eingeführt werden beispielsweise neue Genehmigungs- und Prüfungspflichten, die bis in die obersten Ebenen der Firmen erreichen. Mitarbeiter müssen besser geschult werden. Sicherheitsvorfälle sind überdies umgehend den zuständigen Behörden zu melden.

Weitere Neuerungen von NIS 2 sind:

• neue Zertifizierungsrichtlinien für Securityprodukte und entsprechende Dienstleistungen

• verstärkter Austausch zwischen den Mitgliedsstaaten über Cybersecurity-Vorfälle

• Definition gemeinsamer Krisenreaktionen

• Anpassung an bestehende nationale und europäische Vorschriften zum Schutz kritischer Infrastrukturen.

Umsetzung bis zum Herbst 2018

Ausgenommen von NIS 2 sind nur Kleinst- und Kleinunternehmen. Sie gelten ansonsten für alle Firmen (und sonstigen Organisationen) ab 50 Mitarbeitern (und zehn Millionen Euro Jahresumsatz). Die Einzelstaaten müssen die im Spätherbst 2022 verabschiedete und am 16. Januar 2023 in Kraft getretene EU-Richtlinie bis zum 17. Oktober 2024 in nationales Recht gegossen haben. Drei Jahre später wird die Kommission erstmals einen Bericht über die Wirkung von NIS 2 veröffentlichen und eventuell Anpassungen vorschlagen. Möglicherweise beginnt dann bereits die Arbeit an NIS 3.

(ID:49470330)