Security of network and information systems – NIS Directive (NIS2)

Knowledge Base der Datenbeschützerin

In deutscher Sprache: Richtlinien über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union.

Hintergrund zur NIS2 Directive

Die erste NIS-Richtlinie (EU-Richtlinie zur Netzwerk- und Informationssicherheit, „2016/1148“) stammt aus dem Jahr 2016. Die Richtlinie war von den EU-Staaten bis Mai 2018 in nationales Recht umzusetzen. Deutschland kam dem mit dem Umsetzungsgesetz im Juni 2017 nach. Aufgrund des seit 2015 existierenden IT-Sicherheitsgesetzes war der Großteil des Inhalts der NIS-Richtlinie in Deutschland bereits realisiert.

Die Europäische Kommission hat nun das Ziel, die Cybersicherheit in Europa weiter zu stärken. Hierfür wurde am 16.12.20 eine NIS2-Richtlinie vorgeschlagen, welche die bestehende NIS-Richtlinie ersetzen soll. Sofern das Europäische Parlament und der Rat die vorgeschlagene Richtlinie annehmen, haben die Mitgliedstaaten 18 Monate Zeit, diese umzusetzen.

Auf den Punkt gebracht: NIS2 Directive – Maßnahmen zur Sicherheit von Netzwerken und Informationssystemen

Auf den Punkt gebracht: Datenübermittlung in Drittländer
  • NIS2 ist ein Vorschlag für eine neue EU-Richtlinie, welche die bestehende NIS Richtlinie ablösen soll.
  • NIS2 muss innerhalb von 18 Monaten nach in Kraft treten erst in nationales Gesetz umgewandelt werden.
  • Im Gegensatz zur bestehenden Richtlinie, wird durch NIS2 der Anteil an betroffenen Branchen erweitert.
  • Egal wie die Gesetze im Detail lauten werden, wenn NIS2 in Kraft tritt, ein ISMS ist immer eine sinnvolle Ausgangslage.

Was sind die wesentlichen Änderungen zwischen NIS2 und den bestehenden Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen?

  • Mehr Sektoren sind betroffen.
    • bisher: healthcare, transport, banking and financial market infrastructure, digital infrastructure, water supply, energy, digital service providers
    • neu: providers of public electronic communications networks or services, digital services such as social networking services platforms and data centre services, waste water and waste management, space, manufacturing of certain critical products (such as pharmaceuticals, medical devices, chemicals), postal and courier services, food, public administration
  • Auch kleinere Organisationen können betroffen sein, wenn sie beispielsweise als Lieferant für von der Richtlinie erfasste Unternehmen aktiv sind.
  • Ein einheitlicheres Sicherheitsniveau zwischen den Staaten wird forciert. Durch die bestehenden Vorgaben war die Umsetzung in den EU Ländern sehr unterschiedlich geregelt.
  • Sanktionen und Bußgelder werden konkretisiert.
  • Betroffene Organisationen (in der alten Richtlinie Operators of Essential Services (OES) und Digital Service Providers (DSP) genannt) müssen ihr Risikomanagement ausbauen.
  • Lieferketten rücken stärker in den Fokus.
  • Überwachungsmaßnahmen durch die Staaten werden ausgebaut.

Wie kann ich mich vorbereiten?

Sofern die bisherige NIS-Richtlinie durch die in den Ländern gültigen Gesetze (z.B. IT-Sicherheitsgesetz in Deutschland) bereits erfüllt wird, sind die Neuerungen überschaubar.

Wie ist jedoch die Bewertung, wenn das Thema NIS für die eigene Organisation völlig neu ist?

Im ersten Schritt ist in jedem Fall die Einführung eines integrierten Managementsystems, welches Informationssicherheit (z. B. ISO 27001) und Betriebskontinuität umfasst, dringend zu empfehlen. Hierdurch wäre man bestens vorbereitet, die Anforderungen, die ein mögliches deutsches Gesetz, welches eine zukünftige NIS2-Richtlinie umsetzen würde, zu erfüllen.

Zusammenfassung (Stand April 2021)

Abschließend bleibt zum jetzigen Zeitpunkt folgendes festzuhalten: Es ist zu begrüßen, dass die EU-Kommission ihre Cybersicherheitspolitik angesichts der Gefahrenlage weiterentwickelt und eine Erhöhung des Sicherheitsniveaus anstrebt. Welche neuen deutschen Gesetze durch eine mögliche neue NIS2-Richtlinie erlassen werden, muss sich erst noch zeigen. In jedem Fall ist ein funktionierendes Informationssicherheitsmanagementsystem (ISMS) die beste Ausgangslage für die Erfüllung zukünftiger Gesetzesanforderungen im Bereich der Cybersicherheit.

Wie weit ist Ihr ISMS schon implementiert?

Wir freuen uns über Ihr Statement zum Implementierten ISMS in Ihrem Haus.

Haben Sie Fragen, wie man ein ISMS umsetzen kann oder möchten Sie gerne einen Begleiter bei der Implementierung? Wir stehen Ihnen mit Rat und Tat zur Seite (und extrem vielen Vorlagen). Schreiben Sie uns einfach eine E-Mail oder buchen Sie einen Termin für ein kostenloses Erstgespräch.

Diesen Beitrag teilen

Wie hilfreich war der Artikel?
Danke!

Leave a reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.