NIS2: Neue Cybersicherheitsanforderungen für Unternehmen

Erweiterter Anwendungsbereich

Die NIS2-Richtlinie erweitert den Kreis der betroffenen Unternehmen deutlich. Erfasst werden vor allem mittlere und große Unternehmen aus definierten kritischen und besonders wichtigen Wirtschaftssektoren. Unter bestimmten Voraussetzungen können auch kleinere Unternehmen mit erhöhtem Sicherheitsrisiko einbezogen werden.

Weitere Kernelemente der NIS2-Richtlinie sind:

• ein risikobasierter Ansatz für Cybersecurity-Management
• mehr Sicherheit in Lieferketten und bei Dienstleisterbeziehungen
• strengere Aufsicht und EU-weit stärker harmonisierte Sanktionen
• bessere Zusammenarbeit und schnellerer Informationsaustausch zwischen Behörden
• koordinierte Offenlegung von Sicherheitslücken

Die NIS2-Richtlinie ersetzt die bisherige Unterscheidung zwischen Betreibern wesentlicher Dienste und digitalen Diensten. Unternehmen werden nun als wesentliche oder wichtige Einrichtungen eingestuft. Daraus ergeben sich unterschiedliche Aufsichts- und Nachweispflichten. Im Mittelpunkt stehen ein wirksames Cyber-Risikomanagement, grundlegende Sicherheitsmaßnahmen sowie klare Meldepflichten bei erheblichen Sicherheitsvorfällen. Für Meldungen gelten feste Fristen und konkrete Anforderungen an Inhalt und Ablauf.

Die NIS2-Richtlinie nimmt auch Lieferketten und Dienstleister stärker in den Blick. Unternehmen müssen Cyberrisiken nicht nur intern managen, sondern auch bei wichtigen Lieferanten, IT-Dienstleistern und Partnern berücksichtigen. Dazu gehört, Sicherheitsanforderungen zu prüfen, Verantwortlichkeiten zu klären und Risiken aus Abhängigkeiten frühzeitig zu erkennen. Auf europäischer Ebene sollen koordinierte Bewertungen kritischer Lieferketten zusätzliche Orientierung schaffen.

Mit NIS2 erhalten die zuständigen Behörden erweiterte Aufsichts- und Durchsetzungsbefugnisse. Unternehmen müssen deshalb mit strengeren Kontrollen, klareren Nachweispflichten und spürbaren Sanktionen bei Verstößen rechnen. Die Regeln für Sanktionen werden EU-weit stärker vereinheitlicht.

NIS2 stärkt die Zusammenarbeit der europäischen und nationalen Cybersicherheitsbehörden. Informationen zu Bedrohungen und Vorfällen sollen schneller ausgetauscht werden, damit größere Cyberangriffe koordinierter bewältigt werden können. Dafür werden bestehende Netzwerke ausgebaut und mit EU-CyCLONe eine Struktur für grenzüberschreitende Cyberkrisen geschaffen.

NIS2 verbessert den Umgang mit neu entdeckten Sicherheitslücken. Schwachstellen in IT-Produkten und digitalen Diensten sollen EU-weit koordinierter gemeldet, bewertet und veröffentlicht werden. Dafür wird eine europäische Schwachstellendatenbank eingerichtet, die von der EU-Cybersicherheitsagentur ENISA betreut wird.