Die NIS 2-Richtlinie (Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union) ist die Nachfolgeregelung der NIS-Richtlinie von 2016. Sie trat am 16. Januar 2023 in Kraft und muss von den EU-Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.
Die NIS 2-Richtlinie hat zum Ziel, die Cybersicherheit in der Europäischen Union zu erhöhen. Dazu stellt sie umfassende Anforderungen an Betreiber kritischer Infrastrukturen (KRITIS) und Betreiber bedeutender Netz- und Informationssysteme (BNIS).
Ausweitung des Anwendungsbereichs
Ein zentraler Aspekt der NIS 2-Richtlinie ist die Ausweitung des Anwendungsbereichs. So werden nun auch Betreiber von KRITIS in den Sektoren Gesundheit, Energie, Verkehr und Wasserversorgung erfasst. Außerdem werden auch Betreiber von BNIS, die nicht in den Sektoren KRITIS tätig sind, aber einen erheblichen Einfluss auf die öffentliche Sicherheit oder die Wirtschaft haben können, unter die Richtlinie fallen.
Verschärfung der Anforderungen
Die NIS 2-Richtlinie verschärft auch die Anforderungen an die Cybersicherheit von KRITIS- und BNIS-Betreibern. Dazu gehören unter anderem:
- Die Einrichtung eines Cybersicherheitsmanagementsystems (CSMS)
- Die regelmäßige Durchführung von Risikobewertungen
- Die Umsetzung von Maßnahmen zur Risikominderung
- Die Meldung von Sicherheitsvorfällen an die zuständigen Behörden
Umsetzung in Deutschland
Die Bundesregierung hat im September 2023 einen Entwurf eines NIS2-Umsetzungsgesetzes vorgelegt. Das Gesetz soll die NIS 2-Richtlinie in deutsches Recht umsetzen und die Anforderungen an die Cybersicherheit von KRITIS- und BNIS-Betreibern in Deutschland konkretisieren.
Das NIS2-Umsetzungsgesetz wird voraussichtlich im Frühjahr 2024 in Kraft treten.
Ausblick
Die NIS 2-Richtlinie ist ein wichtiger Schritt zur Verbesserung der Cybersicherheit in der Europäischen Union. Die Ausweitung des Anwendungsbereichs und die Verschärfung der Anforderungen stellen hohe Anforderungen an die betroffenen Unternehmen. Die Umsetzung der NIS 2-Richtlinie wird daher eine große Herausforderung für die nächsten Jahre sein.
Unternehmen, die als KRITIS- oder BNIS-Betreiber von der NIS 2-Richtlinie betroffen sind, sollten sich frühzeitig mit den Anforderungen der Richtlinie auseinandersetzen und entsprechende Maßnahmen zur Umsetzung ergreifen.