.svg)
.svg)
March 7, 2024
5 min
.svg)
Die NIS2 Richtlinie ist eine Weiterentwicklung der NIS1 Richtlinie der EU, die zum Ziel hat, die Cybersicherheit zu stärken und Kritische Infrastrukturen besser zu schützen.
Die NIS2 Richtlinie betrifft nun mehr Unternehmen aus Industrien, die besonders wichtig für den Erhalt der Gesellschaft sind.
Unternehmen, die unter die NIS2 Richtlinie fallen, müssen Sicherheitsvorfälle melden und geeignete Sicherheitsmaßnahmen ergreifen. Bei Verstößen drohen hohe Geldstrafen.
Die NIS2 Richtlinie soll bis Ende 2024 in nationales Recht umgesetzt werden und betont die persönliche Verantwortung des Managements für Cybersicherheit.
In diesem Artikel werden wir die wesentlichen Unterschiede zwischen NIS1 vs NIS2 genauer untersuchen und herausfinden, wie die EU ihre Bemühungen verstärkt, die Cybersicherheit zu gewährleisten und Kritische Infrastrukturen zu schützen.
Im Jahr 2016 wurde die erste Cybersecurity-Richtlinie von der Europäischen Union eingeführt, die heute als NIS-Richtlinie oder NIS1 bekannt ist. Diese Richtlinie wurde vor dem Hintergrund einer sich verschärfenden Bedrohungslage und steigender Anforderungen an die IT-Sicherheit in Europa entwickelt.
So versucht die EU, für die Gesellschaft bedeutende Branchen und Dienstleistungen vor Angriffen in der Cybersphäre zu schützen.
Die NIS1 enthält auch verbindliche Vorgaben zum Schutz der Systeme von Unternehmen, die als Betreiber „Kritischer Infrastrukturen“ (KRITIS) tätig sind. Diese KRITIS-Unternehmen spielen eine entscheidende Rolle in der Gesellschaft, da sie Dienstleistungen in wichtigen Bereichen wie Energieversorgung, Gesundheit und Transport erbringen.
Die NIS1 Richtlinie war ein wichtiger Bestandteil der europäischen Cybersecurity-Strategie, die darauf abzielt, die Cyberresilienz in der EU zu stärken. Sie gilt mittlerweile als eine der bedeutendsten europäischen Rechtsvorschriften im Bereich der Cybersicherheit.
„Ransomware und andere Cyber-Bedrohungen haben Europa schon viel zu lange heimgesucht. Wir müssen handeln, um unsere Unternehmen, Regierungen und die Gesellschaft widerstandsfähiger gegen feindliche Cyberoperationen zu machen“, meint der Europaabgeordnete Bart Groothuis, einer der Mitgestalter der neuen Richtlinie.
Aufgrund der fortschreitenden Digitalisierung wird die NIS-Richtlinie von der EU stetig überarbeitet. Die Überarbeitung von NIS1 – NIS2 – ist das Ergebnis langer Abwägungen auf EU-Ebene und richtungsweisend für Unternehmen in der gesamten Europäischen Union.
Die NIS1 Richtlinie wird nun durch eine weitreichendere Neuauflage ersetzt: die NIS2.
Die NIS2 verpflichtet KRITIS-Unternehmen zur Einhaltung festgelegter Mindeststandards, um den Schutz ihrer Systeme und Netzwerke sicherzustellen. Damit wird das Ziel verfolgt, die Integrität und Verfügbarkeit der Dienstleistungen, die diese Unternehmen erbringen, zu gewährleisten.
Ab 2024 werden Unternehmen und Organisationen dadurch mit strengeren Anforderungen an die Informationssicherheit konfrontiert sein. Die NIS2 wurde am 14. Dezember 2022 in einer aktualisierten Version verabschiedet und muss bis Ende 2024 in nationales Recht umgesetzt werden.
Mit der NIS2-Richtlinie soll die Cyberresilienz entscheidend gesteigert werden. Nach der aktualisierten Fassung unterliegen deutlich mehr Unternehmen der NIS2 als der NIS1, da die Schwellenwerte aktualisiert wurden. Die NIS2-Richtlinie betrifft Unternehmen mit mehr als 10 Millionen Euro Jahresumsatz sowie mehr als 50 Mitarbeitern aus Industrien, die besonders wichtig für den Erhalt der Gesellschaft sind.
Hierbei gilt der sogenannten Kritischen Infrastruktur (KRITIS) ein besonderes Augenmerk.
Kritische Infrastruktur umfasst lebenswichtige Einrichtungen und Systeme wie Energieversorgung, Telekommunikation und Verkehr, die für das Funktionieren einer Gesellschaft unerlässlich sind. Ihr Schutz ist entscheidend, um Störungen oder Angriffe zu verhindern, die zu schwerwiegenden Auswirkungen auf die öffentliche Sicherheit, das Wirtschaftswachstum und das tägliche Leben der Menschen führen könnten.
Die NIS2 Richtlinie ist eine Weiterentwicklung der NIS1 Richtlinie und stellt höhere Anforderungen an die Informationssicherheit der betroffenen Organisationen.
Hier sind einige der wichtigsten Unterschiede zwischen den beiden Richtlinien:
Die NIS2 Richtlinie wurde verabschiedet, um den Anwendungsbereich zu erweitern und umfasst nun eine breitere Palette von Betreibern von wesentlichen Diensten, darunter auch digitale Diensteanbieter und einige neue Sektoren.
Die NIS2 Richtlinie erweitert die Meldepflichten und verlangt von den Unternehmen, auch sicherheitsrelevante Vorfälle, die erhebliche Auswirkungen auf die Verfügbarkeit von Diensten haben könnten, den nationalen Behörden zu melden.
Die NIS2 Richtlinie stärkt die Sanktionen und legt einheitlichere Strafen für Verstöße gegen die Vorschriften fest.
Die NIS2 Richtlinie hebt die Bedeutung der Zertifizierung und der Nutzung von EU-weit anerkannten Normen hervor, um die Cybersicherheit zu verbessern.
Die NIS2 Richtlinie verstärkt die Zusammenarbeit und die Rolle der EU-Agentur für Cybersicherheit (ENISA) bei der Unterstützung der Mitgliedstaaten in Fragen der Cybersicherheit.
Die Unterschiede von NIS1 vs NIS2 verdeutlichen, dass die NIS2 Richtlinie eine Weiterentwicklung und Ausweitung der NIS1 Richtlinie ist, um auf die sich ständig ändernde Bedrohungslandschaft und die wachsende Bedeutung der Cybersicherheit in Europa zu reagieren.
Zudem sollen EU-weit mit der NIS2 Richtlinie einige Neuerungen für die Mitgliedsstaaten eingeführt werden.
Beispiele hierfür sind:
In der folgenden Infografik haben wir den geänderten Anwendungsbereich von NIS2 gegenüber NIS1 zusammengefasst.
In der NIS2 Richtlinie sind zudem bereits kritische und hochkritische Sektoren festgelegt, was bedeutet, dass die einzelnen Mitgliedsstaaten nicht mehr eigenständig darüber entscheiden können, welche Bereiche berücksichtigt werden sollen.
Seit dem 16. Januar 2023 haben Deutschland und andere EU-Mitgliedsstaaten 21 Monate, also bis Oktober 2024 Zeit, um die neuen Regelungen in nationales Recht umzusetzen und bestehende Regelungen an die neue Rechtslage anzupassen. Betroffene Unternehmen sollten sich jetzt schon mit den Voraussetzungen der NIS2 Richtlinie auseinandersetzen.
Wenn Ihr Unternehmen innerhalb des Geltungsbereichs fällt, muss es die Bestimmungen erfüllen, die in den nationalen Durchführungsbestimmungen der NIS2 Richtlinie als verbindliches Gesetz umgesetzt werden.
NIS2 führt erstmals die „wichtigen Einrichtungen“ ein, die den Umfang der Kritischen Infrastruktur erweitern. Daher fallen nun auch Unternehmen wie digitale Marktplätze oder die Lebensmittelindustrie unter die NIS2 Richtlinie.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Erfahren Sie alles Wichtige zum Thema SOC 2 in diesem Blogpost! Wenn Sie Geschäftskunden im angelsächsischen Raum gewinnen möchten, stehen Sie möglicherweise vor der Entscheidung zwischen dem Standard ISO27001 und dem US-Standard SOC 2. Aber was genau verbirgt sich hinter SOC 2 und was müssen Sie darüber wissen? In diesem Artikel erhalten Sie eine einfache und übersichtliche Erklärung zu SOC 2 sowie die entscheidenden Informationen, die Sie bei Ihrer Wahl berücksichtigen sollten. Finden Sie heraus, welcher Standard am besten zu Ihren Anforderungen und Zielen passt und setzen Sie Ihre Geschäftserfolge fort. Lesen Sie jetzt weiter!
Erfahren Sie in unserem neuesten Blogartikel, wie die Datenschutz-Folgenabschätzung (DSFA) Unternehmen dabei unterstützt, personenbezogene Daten effektiv zu schützen. Lesen Sie, welche Kriterien eine DSFA erforderlich machen und wie Unternehmen die Risiken für die Rechte und Freiheiten der Betroffenen bewerten können. Zudem erklären wir, warum die DSFA kein einmaliger Prozess ist, sondern regelmäßig durchgeführt werden sollte.
Cybersicherheit rückt verstärkt in den Fokus der EU, und die aktualisierten NIS2-Anforderungen stellen Unternehmen vor erhebliche Aufgaben. Dieser Artikel bietet einen kompakten Überblick über die Pflichten und Vorschriften, die Unternehmen erfüllen müssen, darunter die Selbst-Einordnung als "besonders wichtige" oder "wichtige" Einrichtungen, die Meldung von Sicherheitsvorfällen und die Implementierung von Sicherheitsmaßnahmen. Wir beleuchten die Bedeutung des Risikomanagements, der Sicherheit in der Lieferkette und der Schulung der Mitarbeiter in "Cybersecurity-Hygiene" und zeigen, warum die Einhaltung der NIS2-Anforderungen in ganz Europa von höchster Bedeutung ist.
.svg){kind=small}