NIS2

Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, ist seit 16. Jänner 2023 in Kraft und löst die erste NIS-Richtlinie aus dem Jahr 2016 ab. Die Frist zur Umsetzung in nationales Recht endete für die Mitgliedstaaten am 17. Oktober 2024. In Österreich wird sie durch ein eigenes Gesetz umgesetzt. Ziel ist ein hohes gemeinsames Cybersicherheitsniveau in der EU.

Gegenüber der Vorgängerregelung erweitert NIS2 den Kreis der erfassten Organisationen deutlich. Neben klassischen kritischen Infrastrukturen fallen auch viele mittlere und große Unternehmen aus Bereichen wie Lebensmittel, Chemie, Abfallwirtschaft, Post- und Kurierdienste, digitale Dienste oder bestimmten Zweigen der Herstellung darunter, etwa Maschinenbau und Elektronik. Auch nicht erfasste Unternehmen spüren die Anforderungen oft indirekt, weil erfasste Kunden Sicherheitsnachweise von ihren Lieferanten verlangen.

Wie NIS2 aufgebaut ist

• Anwendungsbereich: Erfasst sind Einrichtungen in den Sektoren der Anhänge I und II, in der Regel ab mittlerer Unternehmensgröße. Manche Einrichtungen, etwa bestimmte Anbieter digitaler Infrastruktur, sind unabhängig von ihrer Größe erfasst. Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen, die unterschiedlich beaufsichtigt werden.
• Risikomanagement: Erfasste Einrichtungen müssen geeignete technische, operative und organisatorische Maßnahmen treffen, unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Umgang mit Schwachstellen, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
• Verantwortung der Leitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Sie kann für Verstöße haftbar gemacht werden.
• Meldepflichten: Erhebliche Sicherheitsvorfälle werden gestuft gemeldet: Frühwarnung binnen 24 Stunden ab Kenntnis, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung.
• Aufsicht und Sanktionen: Der Höchstbetrag möglicher Geldbußen muss bei wesentlichen Einrichtungen mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist, bei wichtigen Einrichtungen mindestens 7 Millionen Euro oder 1,4 Prozent.

Typische Beispiele

• Ein mittelgroßer Lebensmittelhersteller stellt fest, dass er erfasst ist, und baut Risikomanagement, Meldewege und Nachweise auf.
• Ein IT-Dienstleister ist als Anbieter verwalteter Dienste möglicherweise selbst erfasst und wird zusätzlich von Kunden um Nachweise gebeten.
• Nach einem erheblichen Vorfall, etwa durch Ransomware, muss binnen 24 Stunden eine Frühwarnung an die zuständige Stelle gehen.

Worauf Unternehmen achten sollten

• Betroffenheit anhand von Sektor, Tätigkeit und Größe prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt.
• Risikomanagement strukturiert aufbauen, etwa mit einer IT-Risikoanalyse und einem ISMS.
• Meldewege und Incident Response vorbereiten, damit die Fristen im Ernstfall eingehalten werden können.
• Lieferanten und Dienstleister einbeziehen und Sicherheitsanforderungen vertraglich festhalten.
• Die Geschäftsleitung von Anfang an einbinden, einschließlich Schulung und regelmäßiger Berichte.

Bezug zu TOMORIS

Das NIS2 Cockpit von TOMORIS bündelt Readiness-Bewertung und Belege in einer Nachweisakte. Es ist keine Rechtsberatung und keine automatische Konformitätsbestätigung.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.