The Why - Explained by the Directive

Question

Accepted Answer

Warum ist es notwendig, auf Ebene der Europäischen Union eine Richtlinie zum Thema Cybersicherheit zu erlassen? Im Folgenden werden die in der NIS-2-Richtlinie selbst angeführten Argumente hierfür zusammengefasst.Das primäre Ziel der NIS-2-Richtlinie ist die Gewährleistung des reibungslosen Funktionierens der Gesellschaft und Wirtschaft durch Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Dies soll durch die Eindämmung von Bedrohungen für Systeme, welche zur Erbringung wesentlicher Dienste in Schlüsselsektoren verwendet werden, sowie durch die Sicherstellung der Kontinuität solcher Dienste bei Sicherheitsvorfällen erreicht werden.Bereits am 6. Juli 2016 unternahmen das Europäische Parlament und der Rat der Europäischen Union mit dem Erlass der Richtlinie (EU) 2016/1148, besser bekannt als NIS-Richtlinie, unter dem Titel "Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union" einen ersten Versuch, dieses Ziel zu erreichen.Die in dieser Richtlinie beschriebenen Maßnahmen konnten durchaus Fortschritte in Bezug auf die Stärkung der Cyberresilienz der einzelnen Mitgliedsstaaten der Europäischen Union und damit der Europäischen Union selbst erzielen. Die NIS-2-Richtlinie verweist diesbezüglich darauf, dass ein erhebliches Umdenken und eine Verbesserung der nationalen Rechtsrahmen sowie der Zusammenarbeit auf Unionsebene hinsichtlich der Sicherheit von Systemen zur Erbringung wesentlicher Dienste in Schlüsselsektoren bewirkt werden konnten.Als konkrete Beispiele für diese Fortschritte werden die Einrichtung nationaler Strategien für die Sicherheit von Systemen zur Erbringung wesentlicher Dienste, die Schaffung nationaler Kompetenzen und Kapazitäten, die Umsetzung von Regulierungsmaßnahmen für als wesentlich eingestufte Einrichtungen und Systeme sowie die Gründung der Kooperationsgruppe und des Netzwerks nationaler Computer-Notfallteams (CSIRTs) auf Unionsebene genannt.Die Evaluierung der Umsetzung der NIS-Richtlinie ergab jedoch auch Mängel, die sich insbesondere aus der Einräumung eines sehr großen Ermessensspielraums für die Mitgliedsstaaten der Europäischen Union bei der Umsetzung der Richtlinie in nationales Recht ergaben. Die NIS-2-Richtlinie erwähnt hierbei neben dem Grad der Detailliertheit die unterschiedliche und zum Teil widersprüchliche Umsetzung der NIS-Richtlinie durch die Mitgliedsstaaten auf nationaler Ebene bezüglich der Abgrenzung des Anwendungsbereichs, der Verpflichtungen in Bezug auf die Sicherheit und die Meldung von Sicherheitsvorfällen sowie der Aufsicht und Durchsetzung.Die unterschiedliche Umsetzung der NIS-Richtlinie durch die Mitgliedsstaaten der Europäischen Union führte zu einer Fragmentierung des Binnenmarkts, einer Beeinträchtigung grenzüberschreitender Tätigkeiten, Zusatzkosten sowie Einschränkungen in Bezug auf die Rechtssicherheit hinsichtlich der Verpflichtungen. Die höhere Anfälligkeit einzelner Staaten gegenüber Cyberbedrohungen kann zudem das Niveau der Cyberresilienz anderer Staaten negativ beeinflussen.Mit der NIS-2-Richtlinie sollen diese Unterschiede zwischen den Mitgliedsstaaten der Europäischen Union durch Mindestvorschriften für einen funktionierenden und koordinierten Rechtsrahmen beseitigt werden. Als einheitliches Kriterium für den Anwendungsbereich werden Schwellenwerte für die Größe von Einrichtungen mit Ausnahmen für Klein- und Kleinstunternehmen, die bestimmte Kriterien erfüllen, welche auf eine Schlüsselrolle für die Gesellschaft oder Wirtschaft im Allgemeinen, beziehungsweise für bestimmte Sektoren oder Arten von Diensten im Speziellen hindeuten, festgelegt. Zudem werden wirksame Abhilfe- und Durchsetzungsmaßnahmen definiert.Darüber hinaus versucht die NIS-2-Richtlinie, die Ausweitung der Cyberbedrohungslage durch aktuelle und neue Herausforderungen im Bereich Cybersicherheit zu adressieren, welche bedingt durch den schnellen digitalen Wandel und die Vernetzung der Gesellschaft zu einer Zunahme von Häufigkeit, Komplexität und Auswirkungen von Sicherheitsvorfällen führen.Um ein reibungsloses Funktionieren des Binnenmarkts sicherzustellen, zielt die NIS-2-Richtlinie darauf ab, eine umfassende Abdeckung der Dienste zu gewährleisten, welche im Binnenmarkt für grundlegende gesellschaftliche und wirtschaftliche Tätigkeiten von entscheidender Bedeutung sind. Hierzu wurde die Liste der Sektoren und Tätigkeiten, die Pflichten im Hinblick auf Cybersicherheit unterliegen, aktualisiert und auf einen größeren Teil der Wirtschaft ausgeweitet.

Ein Sprung ins kalte Wasser

Eine Brücke zu ruhigen Gewässern

Die NIS-2-Richtlinie

Herzlich willkommen!

Mit venatormonte möchte ich einen Beitrag dazu leisten, Ihren langfristigen Geschäftserfolg abzusichern, indem wir gemeinsam Informationssicherheit zu einem Automatismus innerhalb Ihrer Organisation entwickeln.

David Lightman, ein Schüler aus Seattle, verbindet sich beim Versuch, sich in das System eines Computerspielentwicklers zu hacken, irrtümlich mit jenem Rechner, der die Atomwaffen der USA kontrolliert, und löst beinahe den Dritten Weltkrieg aus.