Question 1

The Why - Explained by the Directive

Accepted Answer

Warum ist es notwendig, auf Ebene der Europäischen Union eine Richtlinie zum Thema Cybersicherheit zu erlassen? Im Folgenden werden die in der NIS-2-Richtlinie selbst angeführten Argumente hierfür zusammengefasst.Das primäre Ziel der NIS-2-Richtlinie ist die Gewährleistung des reibungslosen Funktionierens der Gesellschaft und Wirtschaft durch Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Dies soll durch die Eindämmung von Bedrohungen für Systeme, welche zur Erbringung wesentlicher Dienste in Schlüsselsektoren verwendet werden, sowie durch die Sicherstellung der Kontinuität solcher Dienste bei Sicherheitsvorfällen erreicht werden.Bereits am 6. Juli 2016 unternahmen das Europäische Parlament und der Rat der Europäischen Union mit dem Erlass der Richtlinie (EU) 2016/1148, besser bekannt als NIS-Richtlinie, unter dem Titel "Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union" einen ersten Versuch, dieses Ziel zu erreichen.Die in dieser Richtlinie beschriebenen Maßnahmen konnten durchaus Fortschritte in Bezug auf die Stärkung der Cyberresilienz der einzelnen Mitgliedsstaaten der Europäischen Union und damit der Europäischen Union selbst erzielen. Die NIS-2-Richtlinie verweist diesbezüglich darauf, dass ein erhebliches Umdenken und eine Verbesserung der nationalen Rechtsrahmen sowie der Zusammenarbeit auf Unionsebene hinsichtlich der Sicherheit von Systemen zur Erbringung wesentlicher Dienste in Schlüsselsektoren bewirkt werden konnten.Als konkrete Beispiele für diese Fortschritte werden die Einrichtung nationaler Strategien für die Sicherheit von Systemen zur Erbringung wesentlicher Dienste, die Schaffung nationaler Kompetenzen und Kapazitäten, die Umsetzung von Regulierungsmaßnahmen für als wesentlich eingestufte Einrichtungen und Systeme sowie die Gründung der Kooperationsgruppe und des Netzwerks nationaler Computer-Notfallteams (CSIRTs) auf Unionsebene genannt.Die Evaluierung der Umsetzung der NIS-Richtlinie ergab jedoch auch Mängel, die sich insbesondere aus der Einräumung eines sehr großen Ermessensspielraums für die Mitgliedsstaaten der Europäischen Union bei der Umsetzung der Richtlinie in nationales Recht ergaben. Die NIS-2-Richtlinie erwähnt hierbei neben dem Grad der Detailliertheit die unterschiedliche und zum Teil widersprüchliche Umsetzung der NIS-Richtlinie durch die Mitgliedsstaaten auf nationaler Ebene bezüglich der Abgrenzung des Anwendungsbereichs, der Verpflichtungen in Bezug auf die Sicherheit und die Meldung von Sicherheitsvorfällen sowie der Aufsicht und Durchsetzung.Die unterschiedliche Umsetzung der NIS-Richtlinie durch die Mitgliedsstaaten der Europäischen Union führte zu einer Fragmentierung des Binnenmarkts, einer Beeinträchtigung grenzüberschreitender Tätigkeiten, Zusatzkosten sowie Einschränkungen in Bezug auf die Rechtssicherheit hinsichtlich der Verpflichtungen. Die höhere Anfälligkeit einzelner Staaten gegenüber Cyberbedrohungen kann zudem das Niveau der Cyberresilienz anderer Staaten negativ beeinflussen.Mit der NIS-2-Richtlinie sollen diese Unterschiede zwischen den Mitgliedsstaaten der Europäischen Union durch Mindestvorschriften für einen funktionierenden und koordinierten Rechtsrahmen beseitigt werden. Als einheitliches Kriterium für den Anwendungsbereich werden Schwellenwerte für die Größe von Einrichtungen mit Ausnahmen für Organisationen, die bestimmte Kriterien erfüllen, welche auf eine Schlüsselrolle hindeuten, festgelegt. Zudem werden wirksame Abhilfe- und Durchsetzungsmaßnahmen definiert.Darüber hinaus versucht die NIS-2-Richtlinie, die Ausweitung der Cyberbedrohungslage durch aktuelle und neue Herausforderungen im Bereich Cybersicherheit zu adressieren, welche bedingt durch den schnellen digitalen Wandel und die Vernetzung der Gesellschaft zu einer Zunahme von Häufigkeit, Komplexität und Auswirkungen von Sicherheitsvorfällen führen.Um ein reibungsloses Funktionieren des Binnenmarkts sicherzustellen, zielt die NIS-2-Richtlinie darauf ab, eine umfassende Abdeckung der Dienste zu gewährleisten, welche im Binnenmarkt für grundlegende gesellschaftliche und wirtschaftliche Tätigkeiten von entscheidender Bedeutung sind. Hierzu wurde die Liste der Sektoren und Tätigkeiten, die Pflichten im Hinblick auf Cybersicherheit unterliegen, aktualisiert und auf einen größeren Teil der Wirtschaft ausgeweitet.

Question 2

The Addressees and the Scope

Accepted Answer

Für wen gilt die NIS-2-Richtlinie? Im Folgenden werden die Adressaten sowie der Anwendungsbereich der Richtlinie beschrieben.Die Richtlinien des Europäischen Parlaments und des Rates der Europäischen Union richten sich an die Mitgliedsstaaten der Europäischen Union, welche verpflichtet sind, diese in ihre nationale Gesetzgebung zu übernehmen. Neben konkreten Verpflichtungen für die einzelnen Mitgliedsstaaten definiert die NIS-2-Richtlinie auch Vorschriften und Pflichten für in ihrem Anwendungsbereich näher spezifizierte Einrichtungen. Diese Verpflichtungen werden jeweils durch ihre nationale Umsetzung rechtswirksam. Darüber hinaus können indirekt Lieferantinnen und Lieferanten von im Anwendungsbereich spezifizierten Einrichtungen betroffen sein, wenn ihre Kundinnen oder Kunden auf Basis der nationalen Umsetzung der Richtlinie gemeinsam mit ihnen Maßnahmen in Bezug auf die Sicherheit der Lieferkette ergreifen müssen.Der Anwendungsbereich der NIS-2-Richtlinie legt fest, für welche Einrichtungen diese auf Basis ihrer nationalen Umsetzung gilt. Neben dem Ort der Diensterbringung oder Tätigkeitsausübung durch die Einrichtung werden hierfür die Art und (mit Ausnahmen) die Größe der Einrichtung berücksichtigt. Die beiden letztgenannten Parameter werden im Folgenden näher erläutert.Die NIS-2-Richtlinie spezifiziert insgesamt 67 konkrete Arten von Einrichtungen als kritisch. 53 Arten von Einrichtungen in 18 Teilsektoren werden den 11 Sektoren mit hoher Kritikalität zugeordnet, während 14 Arten von Einrichtungen in 12 Teilsektoren zu den 7 sonstigen kritischen Sektoren gezählt werden.Als Sektoren mit hoher Kritikalität spezifiziert die NIS-2-Richtlinie Energie (mit den Teilsektoren Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas sowie Wasserstoff), Verkehr (mit den Teilsektoren Luftverkehr, Schienenverkehr, Schifffahrt sowie Straßenverkehr), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung sowie Weltraum.Als sonstige kritische Sektoren spezifiziert die NIS-2-Richtlinie Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung. Der Sektor verarbeitendes Gewerbe/Herstellung von Waren wird in die Teilsektoren Herstellung von Medizinprodukten und In-vitro-Diagnostika,
Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, Herstellung von elektrischen Ausrüstungen, Maschinenbau, Herstellung von Kraftwagen und Kraftwagenteilen sowie sonstiger Fahrzeugbau untergliedert.Die NIS-2-Richtlinie bestimmt die Größe von Einrichtungen unter Anwendung des Anhangs der Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (2003/361/EG) in Abhängigkeit vom Personalstand gemessen in sogenannten Jahresarbeitseinheiten, dem Jahresumsatz sowie der Jahresbilanzsumme. Demnach gilt eine Einrichtung als groß, wenn sie zumindest 250 Personen beschäftigt oder wenn sie einen Jahresumsatz von über 50 Millionen Euro erzielt und die Jahresbilanzsumme über 43 Millionen Euro beträgt. Eine Einrichtung gilt als mittel, wenn sie zumindest 50 Personen beschäftigt oder wenn sie einen Jahresumsatz von über 10 Millionen Euro erzielt und die Jahresbilanzsumme über 10 Millionen Euro beträgt, sofern sie nicht bereits als groß gilt. Die Details zur korrekten Bestimmung der einzelnen Parameter, insbesondere die Berücksichtigung von Konzernstrukturen, Teilzeitkräften sowie Unterjährigkeiten, werden ebenfalls gemäß der oben genannten Empfehlung geregelt.Auf Basis der nationalen Umsetzung der NIS-2-Richtlinie gilt diese für öffentliche oder private Einrichtungen, die ihre Dienste in der Europäischen Union erbringen oder ihre Tätigkeit dort ausüben, wenn die Art der Einrichtung explizit in einem Sektor mit hoher Kritikalität oder einem sonstigen kritischen Sektor genannt wird und die Einrichtung in Bezug auf ihre Größe als mittel oder groß eingestuft wird. Einrichtungen, die bestimmte Kriterien erfüllen, welche auf eine Schlüsselrolle für die Gesellschaft oder Wirtschaft im Allgemeinen, beziehungsweise für bestimmte Sektoren oder Arten von Diensten im Speziellen hindeuten, fallen unabhängig von ihrer Größe in den Anwendungsbereich der Richtlinie.

Question 3

The Requirements

Accepted Answer

Welche Anforderungen ergeben sich aus der NIS-2-Richtlinie? Im Folgenden werden jene in der Richtlinie formulierten Vorschriften und Pflichten dargestellt, welche von den in ihren Anwendungsbereich fallenden Einrichtungen zu erfüllen sind.Für die in ihrem Anwendungsbereich spezifizierten Einrichtungen definiert die NIS-2-Richtlinie Vorschriften und Pflichten in Bezug auf die Verantwortung der Leitungsorgane, das Management von Cybersicherheitsrisiken und die Meldung von Sicherheitsvorfällen. Diese werden im Folgenden näher erläutert.Unter dem Titel "Governance" fordert die NIS-2-Richtlinie, dass die Mitglieder der Leitungsorgane der in ihren Anwendungsbereich fallenden Einrichtungen an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung von Cybersicherheitsrisiken sowie zur Bewertung von Cybersicherheitsmanagementpraktiken und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben. Die Leitungsorgane sind verpflichtet, die im Rahmen der Risikobehandlung erforderlichen Maßnahmen zu genehmigen sowie deren Umsetzung zu überwachen, und haften in diesem Zusammenhang für Verstöße der Einrichtung.Der Kern der Anforderungen der NIS-2-Richtlinie an die Einrichtungen ihres Anwendungsbereichs betrifft das Management von Cybersicherheitsrisiken. Als Ziel beschreibt die Richtlinie die Umsetzung von Maßnahmen zur Gewährleistung eines Sicherheitsniveaus, das dem bestehenden Risiko angemessen ist, um die Risiken für die Systeme, die die Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.Die zu ergreifenden technischen, operativen und organisatorischen Maßnahmen müssen wirksam und verhältnismäßig sein, auf einem gefahrenübergreifenden Ansatz beruhen, der neben den Systemen selbst auch deren physische Umwelt einbezieht, und dem Stand der Technik sowie den einschlägigen europäischen und internationalen Normen Rechnung tragen. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen sind das Ausmaß der Risikoexposition der Einrichtung, die Eintrittswahrscheinlichkeit und die Auswirkungen von Sicherheitsvorfällen sowie die Kosten ihrer Umsetzung zu berücksichtigen.Die Risikomanagementmaßnahmen müssen zumindest die Themen Informationssicherheitsleitlinie, Risikomanagementrichtlinie, Effektivitätsbewertung der Risikobehandlung, Verwaltung von Vermögenswerten, Sicherheit im Personalwesen, Sicherheit über den gesamten Produktlebenszyklus, Sicherheit von Lieferketten, regelmäßige Schulung, Cyberhygienemaßnahmen, Zutritts- und Zugriffskontrolle, Multi-Faktor- und kontinuierliche Authentifikation, gesicherte Kommunikation, Kryptographie, Sicherheitsvorfallmanagement sowie Betriebskontinuitäts- und Krisenmanagement umfassen.Als weitere Anforderung an die Einrichtungen ihres Anwendungsbereichs schreibt die NIS-2-Richtlinie die Meldung erheblicher Sicherheitsvorfälle vor. Ein Sicherheitsvorfall gilt als erheblich, wenn er zu schwerwiegenden Betriebsstörungen oder finanziellen Verlusten für die betroffene Einrichtung oder zu schwerwiegenden materiellen oder immateriellen Schäden für Dritte führt oder führen kann. Innerhalb von 24 Stunden nach Kenntnisnahme eines solchen Vorfalls ist eine Frühwarnung abzusetzen. Spätestens 72 Stunden nach Kenntnisnahme des Vorfalls ist eine Meldung als Aktualisierung der Frühwarnung und erste Bewertung zu übermitteln. Innerhalb eines Monats nach Übermittlung der Meldung ist ein Abschlussbericht vorzulegen, der eine ausführliche Beschreibung des Vorfalls enthält. Sollte zu diesem Zeitpunkt der Vorfall andauern, ist ein Fortschrittsbericht zu übermitteln und der Abschlussbericht innerhalb eines Monats nach Behandlung des Vorfalls nachzureichen.Während die Anforderungen der NIS-2-Richtlinie für alle in ihren Anwendungsbereich fallenden Einrichtungen gleichermaßen gelten, unterscheidet die Richtlinie hinsichtlich der Aufsichts- und Durchsetzungsmaßnahmen sowie der Verhängung von Geldbußen zwischen sogenannten wesentlichen und wichtigen Einrichtungen. Eine im Anwendungsbereich der Richtlinie spezifizierte Einrichtung gilt im Standardfall als wesentlich, wenn die Art der Einrichtung explizit in einem Sektor mit hoher Kritikalität genannt wird und sie in Bezug auf ihre Größe als groß eingestuft wird. Andernfalls gilt sie im Standardfall als wichtig. Wie bei der Definition des Anwendungsbereichs der Richtlinie selbst gibt es auch bei dieser Differenzierung Ausnahmen, durch welche bestimmte Einrichtungen in Abweichung von der Standardregel als wesentlich klassifiziert werden.Für wichtige Einrichtungen sieht die NIS-2-Richtlinie nachträgliche (ex post) Aufsichtsmaßnahmen für jenen Fall vor, dass Nachweise, Hinweise oder Informationen vorgelegt werden, wonach die Einrichtung mutmaßlich der Richtlinie nicht nachkommt, und legt einen Maximalbetrag für Geldbußen von 1,4 % des weltweiten Jahresumsatzes (mindestens jedoch 7 Millionen Euro) fest. Für wesentliche Einrichtungen sieht die Richtlinie daneben auch präventive (ex ante) Aufsichtsmaßnahmen, wie die Anforderung von Informationen oder Nachweisen, die Aufforderung zu regelmäßigen externen Sicherheitsaudits oder die Durchführung von Vor-Ort-Kontrollen, vor und legt einen Maximalbetrag für Geldbußen von 2,0 % des weltweiten Jahresumsatzes (mindestens jedoch 10 Millionen Euro) fest.

Ein Sprung ins kalte Wasser

Eine Brücke zu ruhigen Gewässern

Die NIS-2-Richtlinie

Herzlich willkommen!

Mit venatormonte möchte ich einen Beitrag dazu leisten, Ihren langfristigen Geschäftserfolg abzusichern, indem wir gemeinsam Informationssicherheit zu einem Automatismus innerhalb Ihrer Organisation entwickeln.

David Lightman, ein Schüler aus Seattle, verbindet sich beim Versuch, sich in das System eines Computerspielentwicklers zu hacken, irrtümlich mit jenem Rechner, der die Atomwaffen der USA kontrolliert, und löst beinahe den Dritten Weltkrieg aus.