NIS-2-Richtlinie ab Oktober 2024 auch in Deutschland wirksam

In einer zunehmend vernetzten Welt sind der Schutz vor Cyberkriminalität und -kompromittierung und die Abwehr von Gefahren für unsere digitalen Infrastrukturen von entscheidender Bedeutung. Die NIS2-Richtlinie, die jüngste Weiterentwicklung der sog. Network and Information Systems Directive (NIS), hat das Ziel, die Sicherheit der digitalen Landschaft in der Europäischen Union zu stärken. Die NIS-2-Richtlinie zum Schutz kritischer Infrastruktur soll ab 17. Oktober 2024 von allen EU-Mitgliedsstaaten in nationales Recht übertragen werden.

Bei der NIS-2-Richtlinie (Network and Information Security Directive) handelt es sich um eine überarbeitete Version der ursprünglichen NIS-Richtlinie der Europäischen Union, die erstmals 2016 eingeführt wurde. Sie dient dem Schutz vor physischen Angriffen und Cyberattacken auf kritische Infrastrukturen wie Netz- und Informationssysteme sowie auf hochkritische Sektoren wie beispielsweise die Wasser- und Energieversorgung oder das Gesundheitswesen. Einrichtungen wie Krankenhäuser, Energieversorger und Rechenzentren sind dazu verpflichtet, besondere Vorkehrungen zu treffen, um auch im Katastrophenfall die Versorgung gewährleisten zu können.

Nach der NIS-2-Richtline müssen Betreiber stets eine zuverlässige Kontrolle aller Zugänge zu ihrem Gelände oder Gebäude gewährleisten. Doch was genau verbirgt sich hinter dieser Richtlinie und was sind die Auswirkungen auf Unternehmen, Anstalten und Körperschaften des Öffentlichen Rechts sowie sonstige Organisationen?

Die EU NIS2-Direktive überarbeitet und ersetzt die bisherige NIS Direktive von 2016 mit deutlich mehr Betroffenheit, Pflichten und Aufsicht in der EU:

• NIS-2 hingegen gilt demnach grundsätzlich für alle Unternehmen mit mehr als 50 Beschäftigten und 

• größer zehn Millionen Euro Jahresumsatz, 

• die in einem von 18 einschlägigen Sektoren tätig sind.

• Sonderfall: Anstalten und Körperschaften des öffentlichen Rechts

• Sektoren: Die kritischen Essential Entities erhöhen sich auf elf Sektoren, die Important Entities wachsen auf sieben Sektoren — macht insgesamt achtzehn NIS2 Sektoren.
  
  
• Hohe Kritikalität: Besonders strenge Vorgaben gelten für „Sektoren mit hoher Kritikalität“, wie es in der Richtlinie heißt. Dazu zählen
  
  
• Energieversorger,
• Verkehrsunternehmen wie Fluggesellschaften und Bahnbetreiber, 
• Internet- und Cloud-Anbieter,
  
• Banken,
  
• Gesundheitsdienstleister sowie
  
• Organisationen aus dem Bereich Weltraum,
  
• und die öffentliche Verwaltung.
  

Mehr im "Summary: Neuerungen durch NIS2 –  der EU-Richtlinie für mehr Cybersicherheit" oder unter www.bsi.bund.de