Durchführungsverordnung (EU) 2024/2690 (CIR): wen sie bindet und was sie verlangt
Die Durchführungsverordnung (EU) 2024/2690, kurz CIR, legt fest, wie genau bestimmte digitale Anbieter die zehn Sicherheitsmaßnahmen aus NIS2 umsetzen, und wann ein Vorfall bei ihnen erheblich ist. Sie gilt unmittelbar in jedem EU-Staat, aber nur für elf Arten von Anbietern, etwa Cloud, Rechenzentren und Managed Services. Für alle anderen Unternehmen ist sie kein Maßstab, nur eine mögliche Orientierung.
Wen die Verordnung bindet
Artikel 1 nennt elf Arten von Einrichtungen. Die Verordnung nennt sie „betreffende Einrichtungen“.
Art. 1 und 16 Durchführungsverordnung (EU) 2024/2690
- DNS-Diensteanbieter
- TLD-Namenregister
- Anbieter von Cloud-Computing-Diensten
- Anbieter von Rechenzentrumsdiensten
- Betreiber von Inhaltszustellnetzen (CDN)
- Anbieter verwalteter Dienste (Managed Services)
- Anbieter verwalteter Sicherheitsdienste (Managed Security Services)
- Anbieter von Online-Marktplätzen
- Anbieter von Online-Suchmaschinen
- Anbieter von Plattformen für Dienste sozialer Netzwerke
- Vertrauensdiensteanbieter
Sie ist eine Verordnung, keine Richtlinie. Deshalb gilt sie ohne nationales Gesetz in jedem EU-Staat. Sie ist am 18. Oktober 2024 im Amtsblatt erschienen und 20 Tage später in Kraft getreten.
Ob ein solcher Anbieter überhaupt unter NIS2 fällt, regeln die Richtlinie und das nationale Gesetz, in Deutschland § 28 BSIG. Die Verordnung sagt nur, wie genau er die Maßnahmen umsetzt.
Was der Anhang verlangt
Der Anhang hat 13 Abschnitte. Jeder gehört zu einem Buchstaben aus Art. 21 Abs. 2 NIS 2 und hat nummerierte Einzelanforderungen.
Nr. 1
Konzept für die Sicherheit von Netz- und Informationssystemen
Ein Grundsatzdokument, das die Leitung mindestens jährlich überprüft, dazu klare Rollen und Verantwortlichkeiten.
Nr. 2
Konzept für das Risikomanagement
Risiken erkennen, bewerten und behandeln. Die Ergebnisse werden mindestens jährlich neu bewertet.
Nr. 3
Bewältigung von Sicherheitsvorfällen
Vorfälle erkennen, protokollieren, einstufen, bewältigen und nachbereiten.
Nr. 4
Betriebskontinuität und Krisenmanagement
Notfallpläne, Datensicherung und Redundanz, Krisenmanagement.
Nr. 5
Sicherheit der Lieferkette
Ein Konzept für die Beziehungen zu direkten Lieferanten und ein Verzeichnis dieser Lieferanten.
Nr. 6
Erwerb, Entwicklung und Wartung
Sicherheit beim Kauf und bei der Entwicklung von Systemen, Änderungen, Tests, Updates und Umgang mit Schwachstellen.
Nr. 7
Wirksamkeit bewerten
Festlegen, wie geprüft wird, ob die Maßnahmen wirken.
Nr. 8
Cyberhygiene und Schulungen
Grundregeln für alle, Sensibilisierung und Schulungen, auch für die Leitung.
Nr. 9
Kryptografie
Ein Konzept für Verschlüsselung, mit Verwaltung der Schlüssel.
Nr. 10
Sicherheit des Personals
Zuständigkeiten, Überprüfung, wo angemessen, und Verfahren beim Ausscheiden oder Wechsel.
Nr. 11
Zugriffskontrolle
Zugriffsrechte, privilegierte Konten, Identifizierung, Authentifizierung und, soweit angemessen, mehrere Faktoren (Nr. 11.7).
Nr. 12
Anlagen- und Wertemanagement
Ein Verzeichnis der Systeme und Werte, ihre Einstufung und ihr Umgang.
Nr. 13
Umfeld und physische Sicherheit
Schutz vor Ausfall der Versorgung, vor Feuer und Wasser, kontrollierter Zutritt.
Auch hier gilt Verhältnismäßigkeit: Risiko, Größe sowie Wahrscheinlichkeit und Schwere von Vorfällen zählen (Art. 2 Abs. 2). Wo der Anhang „soweit angemessen“ sagt und ein Anbieter eine Anforderung nicht anwendet, schreibt er nachvollziehbar auf, warum.
Wann ein Vorfall erheblich ist
Für die betreffenden Einrichtungen legt die Verordnung fest, wann ein Vorfall erheblich ist und damit gemeldet werden muss. Für alle gilt Artikel 3: zum Beispiel ein direkter finanzieller Verlust von mehr als 500.000 Euro oder 5 Prozent des Jahresumsatzes, je nachdem, welcher Wert niedriger ist, der Abfluss von Geschäftsgeheimnissen oder ein erfolgreicher, mutmaßlich böswilliger Zugriff, der den Betrieb schwer stören kann.
Treten innerhalb von sechs Monaten mindestens zwei Vorfälle mit derselben Ursache auf, die zusammen die Schwelle für den finanziellen Verlust erreichen, gelten sie zusammen als erheblich (Artikel 4).
Die Artikel 5 bis 14 nennen Schwellen je Art von Anbieter. Ein Beispiel: Ein Cloud-Dienst, der mehr als 30 Minuten vollständig nicht verfügbar ist (Artikel 7). Geplante Wartung zählt nicht.
Art. 3 bis 14 Durchführungsverordnung (EU) 2024/2690 · Art. 23 Abs. 3 NIS 2
Das Verhältnis zum BSIG
Für die elf Arten von Anbietern hat die Verordnung Vorrang vor den Maßnahmen in § 30 BSIG (§ 30 Abs. 3 BSIG).
Für alle anderen Unternehmen gilt sie nicht. Ihre Maßnahmen werden an § 30 BSIG gemessen. Einen Durchführungsrechtsakt für alle Einrichtungen hat die Kommission bisher nicht erlassen (§ 30 Abs. 4 BSIG).
IT-Grundschutz des BSI gilt nach § 44 Abs. 2 BSIG nur für Einrichtungen der Bundesverwaltung als Erfüllung von § 30. Für Unternehmen kann er die Umsetzung ordnen, ist aber kein gesetzlich anerkannter Nachweis.
§ 30 Abs. 3 und 4 · § 44 Abs. 2 BSIG
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Die meisten Unternehmen dieser Größe, etwa Hersteller, Händler von Lebensmitteln oder Entsorger, gehören zu keiner der elf Arten. Für sie bindet die Verordnung nicht. Sie messen ihre Maßnahmen an § 30 BSIG.
Sie können die Verordnung als Orientierung lesen, wenn Sie wissen wollen, wie eine Maßnahme ausführlich aussieht. Pflicht ist das nicht.
Ist Ihr Unternehmen dagegen ein IT-Dienstleister, der Systeme seiner Kunden betreibt oder verwaltet, kann es ein Anbieter verwalteter Dienste sein. Dann gilt die Verordnung für Sie unmittelbar.
Ein Beispiel
Zwei erfundene Firmen mit je 90 Beschäftigten.
Ein Hersteller von Verpackungsmaschinen: Maschinenbau steht in Anlage 2 des BSIG, die Firma ist eine wichtige Einrichtung. Die Verordnung bindet sie nicht. Ihre Leitlinie überprüft sie in dem Abstand, den sie selbst festlegt.
Ein IT-Dienstleister, der für 200 Kunden Server, Netze und Arbeitsplätze betreibt: Er ist ein Anbieter verwalteter Dienste. Die Verordnung gilt für ihn unmittelbar.
Für den IT-Dienstleister heißt das unter anderem: Die Leitung überprüft das Sicherheitskonzept mindestens jährlich, die Risikobewertung wird mindestens jährlich neu bewertet, und für den Zugang zu seinen Systemen nutzt er, soweit angemessen, mehrere Faktoren.
Hat er einen Vorfall, prüft er die Schwellen aus Artikel 3 und Artikel 10 der Verordnung, bevor er entscheidet, ob er meldet.
So geht das im Durchgang
Der Durchgang auf nisd2.eu deckt ab, was das BSIG von jeder Einrichtung verlangt, und kennt die Anbieter, für die die Verordnung gilt.
Aus jedem der zehn Bereiche aus § 30 Abs. 2 BSIG wird mindestens ein Schritt, den Sie ausfüllen.
Der Schritt zur Leitlinie sagt, dass sie für die Anbieter, für die die Verordnung gilt, mindestens jährlich überprüft wird.
Ist Ihr Unternehmen in der digitalen Infrastruktur, der Verwaltung von IKT-Diensten oder bei den Anbietern digitaler Dienste eingetragen, bleibt jede Anforderung mit den Einzelheiten der Verordnung für Sie offen, auch wenn der Durchgang den Teil erledigt hat, den jede Einrichtung schuldet.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Was ist die CIR 2024/2690?
Die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024. Sie legt für elf Arten digitaler Anbieter die technischen und methodischen Anforderungen an die Maßnahmen aus Art. 21 Abs. 2 NIS 2 fest und bestimmt, wann ein Vorfall bei ihnen erheblich ist.
Gilt die Verordnung für mein Unternehmen?
Nur, wenn es zu einer der elf Arten aus Artikel 1 gehört, etwa Cloud, Rechenzentrum oder Managed Services, und nach dem nationalen Gesetz unter NIS2 fällt. Für alle anderen gilt sie nicht.
Muss die Verordnung in deutsches Recht umgesetzt werden?
Nein. Als Verordnung gilt sie unmittelbar in jedem EU-Staat. Das BSIG gibt ihr für die betreffenden Anbieter Vorrang (§ 30 Abs. 3 BSIG).
Wie viele Abschnitte hat der Anhang?
13. Sie folgen den Buchstaben a bis j aus Art. 21 Abs. 2 NIS 2. Die Zugriffskontrolle (Nr. 11) enthält zum Beispiel die Authentifizierung mit mehreren Faktoren (Nr. 11.7).
Reicht ein Zertifikat nach ISO 27001?
Die Verordnung stützt sich unter anderem auf ISO/IEC 27001 und 27002 (Erwägungsgründe). Ein Zertifikat ersetzt die Anforderungen aber nicht. Prüfen Sie jede Anforderung des Anhangs einzeln.
Quellen
- Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, ABl. L, 2024/2690, 18. Oktober 2024, EUR-Lex
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 21 und 23, EUR-Lex
- BSI-Gesetz (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Die Leitlinie schreiben
Ein kurzes Grundsatzdokument, das die Geschäftsführung freigibt.
Authentifizierung & Kommunikation
Festhalten, wo ein zweiter Faktor schützt
Für jedes Programm auf Ihrer Liste: Passwort allein oder mit zweitem Faktor.
Lieferkettensicherheit
Aufschreiben, wer für Sie arbeitet
Eine Liste Ihrer Lieferanten und Dienstleister.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
