Die Richtlinie über Netz- und Informationssicherheit (NIS2)
Nis2 soll bis Oktober 2024 in allen EU-Mitgliedstaaten vollständig umgesetzt sein.
Erfahren Sie, wie die NIS2-Richtlinie, die ab Oktober 2024 in allen EU-Mitgliedstaaten durchgesetzt wird, die Cybersicherheitsverantwortlichkeiten Ihrer Organisation beeinflusst. Dies betrifft sowohl sektorspezifische Verpflichtungen als auch Berichtsstandards und die Überwachung der Einhaltung. Kontaktieren Sie Cristie, um Ihre NIS2-Cybersicherheitsziele zu besprechen.
INHALT
- Was ist die NIS2-Richtlinie?
- Wann tritt NIS2 vollständig in Kraft?
- Wie kann Ihnen Cristie Data mit NIS2 helfen?
- Wird NIS2 auf Ihre Organisation zutreffen?
- Operiert Ihre Organisation in einem der als „kritisch“ oder „sehr kritisch“ eingestuften Industriezweige?
- Passt Ihre Organisation in die Größenkategorien „Mittelständisch“ oder „Groß“ gemäß den NIS2-Richtlinien?
- Welche Verpflichtungen und Auswirkungen hat NIS2 für Ihre Organisation?
- Was wird von Organisationen erwartet, die unter NIS2 in Bezug auf die Sorgfaltspflicht und die Berichterstattung fallen?
- Wie wird die Einhaltung der NIS2-Richtlinie überwacht werden?
- Welche sind die Meldepflichten gemäß NIS2 während und nach einem Vorfall?
Was ist die NIS2-Richtlinie?
Die Richtlinie über Netz- und Informationssicherheit (EU) 2022/2555, allgemein bekannt als NIS2, ist die neueste Version der Richtlinie über Netz- und Informationssicherheit und tritt an die Stelle der ursprünglichen Richtlinie (EU) 2016/1148. Es handelt sich um eine Richtlinie der Europäischen Union (EU), die darauf abzielt, die Cybersicherheit in der Region zu stärken. Das Ziel der Richtlinie ist es, die Cyberinfrastruktur der EU widerstandsfähiger und sicherer zu machen und Unternehmen dabei zu unterstützen, sich vor Online-Angriffen zu verteidigen.
Wann tritt NIS2 vollständig in Kraft?
NIS2 trat am 16. Januar 2023 in Kraft. Alle EU-Mitgliedsstaaten haben bis zum 17. Oktober 2024 Zeit, die Bestimmungen der Richtlinie in ihre jeweilige nationale Gesetzgebung zu integrieren.
Wie kann Ihnen Cristie Data mit NIS2 helfen?
Mit über 5 Jahrzehnten an Erfahrung sind wir einzigartig positioniert, um Ihnen bei jeglichen Daten- und Cybersicherheitsproblemen im Zusammenhang mit der NIS2-Richtlinie oder ihrer Umsetzung zu helfen.
Unsere möglichen Engagements im Bereich NIS2 umfassen:
- Bereitstellung von Daten- und Cybersicherheitslösungen, die zur Einhaltung beitragen und von führenden Cybersicherheitsanbietern unterstützt werden.
- Ausgelagerte Lösungen für das Sicherheitsbetriebszentrum (SOC).
- Gewährleistung der EU/deutschen Datensouveränität für Backup- und Archivvorgänge.
- Umfassende Daten- und Cybersicherheitslösungen einschließlich professioneller Dienstleistungen und Support, bereitgestellt durch ein echtes OPEX Pay-per-Use-Modell im Rahmen der Cristie READY-Initiative.
- Interaktive Cybersicherheitssitzungen wie Workshops in Zusammenarbeit mit unseren Technologiepartnern.
- Unsere Daten- und Cybersicherheitsspezialisten stehen Ihnen jederzeit zur Verfügung, um Ihre Fragen zu beantworten.
Wird NIS2 auf Ihre Organisation zutreffen?
Die NIS2-Richtlinie hat einen weiteren Anwendungsbereich als ihr Vorgänger. Während die NIS-Richtlinie bestimmte Sektoren wie Gesundheitswesen, Transport, Bankwesen, Finanzmarktinfrastruktur, digitale Infrastruktur, Wasserversorgung, Energie und digitale Dienstleister explizit identifizierte und den Mitgliedstaaten erlaubte, zu definieren, welche Organisationen als wesentlich angesehen wurden, führt die NIS2-Richtlinie standardisierte Vorschriften für mittlere und große Organisationen in kritischen Sektoren ein.
Diese kritischen Sektoren umfassen Energie, Transport, Gesundheit und digitale Infrastruktur. Darüber hinaus erstreckt sich der Anwendungsbereich nun auf „sehr kritische Sektoren“ wie Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, ICT (B2B)-Management, Regierung, Weltraum, sowie „kritische Sektoren“ wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Anbieter und Forschung. Als Ergebnis unterliegen alle mittleren und großen Unternehmen in diesen Sektoren dieser Gesetzgebung.
"Kritisch" oder "sehr kritisch?"
Operiert Ihre Organisation in einem der als "kritisch" oder "sehr kritisch" eingestuften Industriezweige?
Die Durchsetzungsmethode variiert je nach Einstufung einer Organisation. Die NIS2-Richtlinie führt zwei Kategorien für Organisationen ein: wesentlich und wichtig. Diese Einstufung wird durch den Betrieb der Organisation in einem kritischen oder sehr kritischen Sektor sowie die Größe des Unternehmens bestimmt.
Kritisch
Sehr Kritisch
Energie
Transport
Bankwesen
Finanzmarkt Infrastuktur
Gesundheitswesen
Trinkwasser
Abwasser
Digitale Infrastruktur
ICT Dienstleistungen (B2B)
Regierung
Weltraumreisen
Post- und Kurierdienste
Abfallwirtschaft
Herstellung & Vertrieb von Chemikalien
Herstellung & Vertrieb von Lebensmitteln
Herstellung
Digitale Anbieter
Digitale Anbieter
Passt Ihre Organisation in die Größenkategorien
"Mittelständisch" oder "Groß" gemäß den NIS2-Richtlinien?
Große Unternehmen werden anhand der folgenden Merkmale kategorisiert: Mehr als 250 Mitarbeiter und ein jährlicher Mindestumsatz von 50 Millionen Euro (oder eine Bilanzsumme von 43 Millionen Euro). Mittelständische Unternehmen liegen in den folgenden Parametern: Zwischen 50 und 250 Mitarbeitern und einem Jahresumsatz von höchstens 50 Millionen Euro (oder einer Bilanzsumme von höchstens 43 Millionen Euro). Es gibt einige Ausnahmen von der Regel, bei denen Organisationen jeder Größe als kritisch eingestuft werden können, darunter qualifizierte Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domainnamen und DNS-Dienstanbieter.
Die NIS2-Richtlinie behandelt nicht explizit kleine und Mikro-Unternehmen, die durch weniger als 50 Mitarbeiter und einen Jahresumsatz von weniger als 7 Millionen Euro (oder eine Bilanzsumme von weniger als 5 Millionen Euro) gekennzeichnet sind. In Fällen, in denen diese Unternehmen jedoch eine bedeutende Rolle in der Gesellschaft, der Wirtschaft, spezifischen Branchen oder Dienstleistungen spielen, sind die Mitgliedstaaten verpflichtet, sicherzustellen, dass sie unter diese Richtlinie fallen.
Welche Verpflichtungen und Auswirkungen
hat NIS2 für Ihre Organisation?
NIS2 schreibt vor, dass bestimmte Sektoren erhöhte Cybersicherheitsstandards umsetzen müssen, während wichtige und essenzielle Organisationen Maßnahmen zur Kontrolle von Sicherheitsrisiken ergreifen müssen. Dazu gehören Aufgaben wie die Durchführung von Datensicherungen, Risikobewertungen und die obligatorische Meldung von Vorfällen, die einen erheblichen Einfluss auf die Dienstleistungen haben. Um Effizienz zu gewährleisten und Verwaltungsaufwände zu reduzieren, ist die Führung einer Organisation dafür verantwortlich, die Einhaltung der in der NIS2-Richtlinie festgelegten Vorschriften sicherzustellen.
Was wird von Organisationen erwartet, die unter NIS2 in Bezug auf die Sorgfaltspflicht und die Berichterstattung fallen?
Jede Organisation, die gemäß NIS2 kategorisiert ist, unabhängig davon, ob sie als wesentlich oder wichtig eingestuft wird, ist verpflichtet, ihre Sorgfaltspflicht zu beachten. Die Richtlinie enthält einen Katalog von erforderlichen Maßnahmen, die Dienstleister als Mindeststandard erfüllen müssen. Diese Maßnahmen umfassen Bereiche wie:
- Formulierung von Richtlinien im Zusammenhang mit Risikoanalysen und der Sicherheit von Informationssystemen.
- Fokus auf Krisenmanagement und die Aufrechterhaltung des Betriebs im Falle eines erheblichen Cyber-Zwischenfalls.
- Sicherstellung der Sicherheit der Lieferkette.
- Ausübung der gebotenen Sorgfalt zur Gewährleistung der Sicherheit von Netzwerk- und Informationssystemen.
- Einsatz von Kryptografie und Verschlüsselung.
- Festlegung von Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.
Wie wird die Einhaltung der NIS2-Richtlinie überwacht werden?
Welche sind die
Meldepflichten gemäß NIS2 während und nach einem Vorfall?
Die NIS2-Richtlinie legt einen ‚dreistufigen Ansatz‘ für die Meldepflicht bei Vorfällen fest. Die Phase der ‚frühzeitigen Warnung‘, die innerhalb von 24 Stunden abgeschlossen sein muss, zielt darauf ab, eine potenzielle Ausbreitung des Vorfalls rasch einzudämmen und den Organisationen die Möglichkeit zu geben, Hilfe zu suchen. Die Phase der ‚Vorfallsmeldung‘, die innerhalb von 72 Stunden erfolgen muss, beinhaltet eine erste Einschätzung des signifikanten Vorfalls, einschließlich Details zu seiner Schwere, Auswirkungen und Anzeichen einer Kompromittierung.
Der endgültige Bericht, der nach einem Monat eingereicht werden muss, soll sicherstellen, dass aus früheren Vorfällen Lehren gezogen werden können. Dieser Ansatz ist darauf ausgerichtet, die Widerstandsfähigkeit einzelner Organisationen und ganzer Sektoren gegenüber Cyberbedrohungen schrittweise zu stärken. Neben der Verpflichtung zur Ausgabe einer frühzeitigen Warnung liegt der Schwerpunkt in der Phase der Vorfallsmeldung auf dem Vorfallmanagement.