Was ist NIS2?
EU-Richtlinie 2022/2555 zur Cybersicherheit - die bedeutendste Überarbeitung der EU-weiten Cybersicherheitsregulierung seit 2016.
Überblick
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist der aktualisierte Rahmen der Europäischen Union zur Erreichung eines hohen gemeinsamen Cybersicherheitsniveaus in allen Mitgliedstaaten. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016.
NIS2 erweitert den Anwendungsbereich der EU-Cybersicherheitsregulierung dramatisch - von etwa 10.000 Einrichtungen unter NIS1 auf geschätzt 160.000 in ganz Europa. Allein in Deutschland sind rund 29.500 Unternehmen betroffen.
Die Richtlinie schreibt harmonisierte Risikomanagement-Maßnahmen, Meldepflichten bei Sicherheitsvorfällen und Anforderungen an die Lieferkettensicherheit vor. Sie führt die persönliche Haftung der Geschäftsführung ein und sieht deutlich höhere Strafen bei Verstößen vor.
| Date | Event |
|---|---|
| 14. Dezember 2022 | NIS2-Richtlinie im EU-Amtsblatt veröffentlicht |
| 16. Januar 2023 | NIS2 tritt auf EU-Ebene in Kraft |
| 17. Oktober 2024 | Frist für die Umsetzung in nationales Recht der Mitgliedstaaten |
| 17. April 2025 | Frist für Mitgliedstaaten zur Erstellung von Einrichtungsregistern |
| 17. Oktober 2027 | Europäische Kommission überprüft die Funktionsweise der Richtlinie |
| Aspekt | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Anwendungsbereich | ~10.000 Einrichtungen in der EU | ~160.000 Einrichtungen in der EU |
| Sektoren | 7 Sektoren | 18 Sektoren (11 hochkritische + 7 sonstige kritische) |
| Einstufung | Betreiber wesentlicher Dienste (OES) + Anbieter digitaler Dienste | Wesentliche + Wichtige Einrichtungen (größenbasiert) |
| Sanktionen | Von Mitgliedstaaten festgelegt, stark variierend | Harmonisiert: bis zu 10 Mio. EUR oder 2 % des weltweiten Umsatzes |
| Geschäftsführerhaftung | Nicht geregelt | Persönliche Haftung der Leitungsorgane |
| Meldung von Vorfällen | Unverzüglich | Strenge Kaskade: 24 h / 72 h / 1 Monat |
| Lieferkette | Nicht geregelt | Verpflichtende Bewertung der Lieferkettensicherheit |
| Aufsicht | Den Mitgliedstaaten überlassen | Proaktiv (wesentlich) + reaktiv (wichtig) |
18 betroffene Sektoren
- 01Energie (Strom, Fernwärme/-kälte, Öl, Gas, Wasserstoff)
- 02Transport und Verkehr (Luft, Schiene, Wasser, Straße)
- 03Bankwesen
- 04Finanzmarktinfrastrukturen
- 05Gesundheitswesen (Krankenhäuser, Pharma, Medizinprodukte, Referenzlabore)
- 06Trinkwasser
- 07Abwasser
- 08Digitale Infrastruktur (DNS, TLD, Cloud, Rechenzentren, CDN, Telekommunikation)
- 09IKT-Dienstleistungsmanagement - B2B (MSP, MSSP)
- 10Öffentliche Verwaltung
- 11Weltraum
- 01Post- und Kurierdienste
- 02Abfallbewirtschaftung
- 03Chemische Stoffe (Herstellung, Produktion, Vertrieb)
- 04Lebensmittel (Großhandel, industrielle Produktion, Verarbeitung)
- 05Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Elektrogeräte, Maschinenbau, Kraftfahrzeuge, sonstiger Transportmittelbau)
- 06Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- 07Forschungseinrichtungen
| Größe | Mitarbeiter | Finanzschwelle | NIS2-Anwendungsbereich |
|---|---|---|---|
| Groß | ≥ 250 | > 50 Mio. EUR Umsatz UND > 43 Mio. EUR Bilanzsumme | Im Anwendungsbereich |
| Mittel | ≥ 50 (und < 250) | > 10 Mio. EUR Umsatz UND > 10 Mio. EUR Bilanzsumme | Im Anwendungsbereich |
| Klein | < 50 | ≤ 10 Mio. EUR Umsatz UND ≤ 10 Mio. EUR Bilanzsumme | Grundsätzlich nicht betroffen |
Bestimmte Einrichtungstypen sind unabhängig von ihrer Größe betroffen - darunter DNS-Anbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter, KRITIS-Betreiber und alleinige Erbringer wesentlicher Dienste.
- Umsetzung von 10 verpflichtenden Cybersicherheits-Risikomanagement-Maßnahmen
- Meldung erheblicher Vorfälle innerhalb von 24 h / 72 h / 1 Monat
- Geschäftsführung muss Cybersicherheit genehmigen, überwachen und geschult werden
- Bewertung und Management von Cybersicherheitsrisiken in der Lieferkette
- Registrierung bei der zuständigen nationalen Behörde
- Nachweis der Compliance (Audits für KRITIS-Betreiber alle 3 Jahre)