NIS2-Check: Sicher durch die neue EU-Richtlinie
Die NIS2-Richtlinie ist eine EU-Vorgabe, die die Cyber-Resilienz europäischer Mitgliedstaaten und Betriebe durch striktere Regeln festigt. Zu den Kernpunkten gehört die Umsetzung von Sicherheitsvorkehrungen für einen optimierten IT-Schutz sowie regelmäßige Prüfungen und fixe Meldewege bei Vorfällen.
Was ist die NIS2-Richtlinie genau?
Die NIS2-Richtlinie der Europäischen Union hat das Ziel, die Widerstandsfähigkeit gegen digitale Bedrohungen in kritischen und systemrelevanten Infrastrukturen zu steigern. NIS2 steht für „Network and Information Security 2“ (Netzwerk- und Informationssicherheit). Mit dem Start am 16. Jänner 2023 hat sie die alte NIS1-Richtlinie abgelöst und sorgt nun für einen modernen Standard in der IT-Sicherheit.
Um in der EU – sowohl privat als auch öffentlich – für bestmöglichen Schutz zu sorgen, führt NIS2 umfangreichere und strengere Vorgaben für eine größere Zielgruppe ein. Das Regelwerk stärkt die Cyber-Resilienz und ermöglicht ein effizienteres Vorgehen gegen Angriffe und Lücken. Zudem stellt NIS2 sicher, dass wichtige Einrichtungen zur Versorgung mit lebensnotwendigen Gütern oder Diensten auch im Ernstfall glatt laufen und vor Ausfällen geschützt sind.
Die Hauptaufgabe von NIS2 ist es, Unternehmen optimal darauf vorzubereiten, Cyberangriffe abzuwehren und auf Störungen rasch zu reagieren. Durch eine einheitliche Sicherheitsstrategie in Europa wird national wie international ein hohes Maß an Cybersicherheit geschaffen. Alle Mitgliedsländer müssen die Richtlinie in nationales Recht gießen, was sowohl KMU als auch Großunternehmen betrifft.
Welche Änderungen bringt NIS2?
Die Umsetzung sorgt in 18 Sektoren für tiefgreifende Neuerungen. Beispielsweise werden doppelt so viele Bereiche als kritisch eingestuft und die Strafen bei Verstößen deutlich erhöht. Zudem wird die Geschäftsführung direkt in die Pflicht genommen. In der Region betrifft dies zahlreiche Betriebe mit mehr als 50 Angestellten oder einem Jahresumsatz über 10 Millionen Euro.
Die wichtigsten Änderungen im Überblick:
- Mehr kritische Bereiche: NIS2 stuft deutlich mehr Sektoren als wesentlich ein.
- Härtere Sanktionen: Die Richtlinie sieht bei Verstößen empfindliche Geldbußen vor.
- Verantwortung der Führung: Die Geschäftsleitung haftet direkt für die Einhaltung der Sicherheitsvorgaben.
- Breiterer Anwendungsbereich: Die Regeln gelten für Unternehmen ab 50 Personen oder 10 Millionen Euro Umsatz sowie für spezielle Kleinstbetriebe.
- Pflicht zur Risikoanalyse: Unternehmen müssen ihre IT-Risiken gründlich und regelmäßig prüfen.
- Sicherheitsmanagement als Standard: Maßnahmen wie Penetrationstests, Hardware-Firewalls und Backup-Strategien sind nun verpflichtend.
- Aktives Krisenmanagement: Schnelle Kommunikationswege und Meldesysteme sind bei Vorfällen zwingend erforderlich.
- Referenz auf Standards: Bestehende Protokolle aus regulierten Branchen dienen als Orientierung.
Wer muss die NIS2-Richtlinie umsetzen?
NIS2 unterteilt Unternehmen in die Kategorien „wesentlich“ (essential) und „wichtig“ (important). Direkt betroffen sind Betriebe mit über 50 Mitarbeitenden oder ab 10 Millionen Euro Umsatz. Manche Unternehmen fallen größenunabhängig unter die Richtlinie, wenn ihr Ausfall ein Systemrisiko darstellt. Die Kategorie „wesentlich“ umfasst 11 Sektoren mit enormer Bedeutung für das Gemeinwesen, während „wichtig“ für 7 weitere systemrelevante Bereiche gilt.
Wesentliche Sektoren und Betriebe
- Energie
- Wasserversorgung
- Verkehr & Transport
- Banken
- Finanzmarktinfrastruktur
- Gesundheit
- Weltraum
- Abwasser
- Öffentliche Verwaltung
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement (B2B)
Wichtige Sektoren und Betriebe
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Digitale Dienste
- Verarbeitendes Gewerbe/Industrie
- Forschung
Welche Pflichten haben Unternehmen nun?
Mit NIS2 kommen klare Vorgaben und wichtige Neuerungen auf dich zu. Das sind die Details:
| Pflichten | Maßnahmen |
|---|---|
| Risiko- & Business Continuity Management | Verschlüsselung, MFA, Backup-Management und Lieferkettensicherheit sind Pflicht. Die Anforderungen skalieren je nach Unternehmensgröße. |
| Meldepflichten bei Vorfällen | Schwere Vorfälle müssen binnen 24 Stunden gemeldet werden. Eine erste Analyse ist nach 72 Stunden fällig, ein Abschlussbericht nach einem Monat. |
| Registrierung | Betroffene Einrichtungen müssen sich offiziell registrieren und Stammdaten an die zuständigen Behörden übermitteln. |
| Pflichten der Geschäftsführung | Sicherheitsmaßnahmen können nicht einfach delegiert werden. Die Führung muss diese aktiv absegnen und sich regelmäßig fortbilden. |
| Aufsicht & Durchsetzung | Behörden prüfen die Einhaltung und können bei Bedarf Nachweise fordern oder direkt Maßnahmen anordnen. |
Wie gelingt die NIS2-Umsetzung am besten?
Um rechtzeitig konform zu handeln, empfehlen wir folgendes Vorgehen:
- Status-Check: Prüfe, ob dein Betrieb unter NIS2 fällt und wo Lücken in der aktuellen IT-Sicherheit bestehen.
- Umsetzung: Führe Sicherheitskonzepte für alle Systeme konsequent ein.
- Evaluierung: Kontrolliere regelmäßig, ob deine Risikomanagement-Methoden greifen.
- Incident-Plan: Erstelle ein klares Konzept für den Umgang mit Sicherheitsvorfällen.
- Backups: Maximiere deine Datensicherheit durch moderne Krisenbewältigungs-Pläne.
- Meldewege: Richte ein funktionierendes System für die Meldung von Vorfällen ein.
- Team-Schulung: Halte deine Belegschaft durch regelmäßige Trainings am neuesten Stand.
- Lieferkette: Achte darauf, dass auch deine Partner:innen Sicherheitsstandards einhalten.
Was droht bei Nicht-Einhaltung?
Wer die Vorgaben ignoriert, riskiert hohe Bußgelder. Die Aufsichtsbehörden haben umfangreiche Kontroll- und Weisungsrechte und können Fristen setzen. Zudem tragen Geschäftsleiter:innen eine deutlich höhere Verantwortung und können bei Fahrlässigkeit persönlich zur Rechenschaft gezogen werden.
Ab wann gilt die NIS2-Richtlinie?
Die Richtlinie (EU) 2022/2555 wurde Ende 2022 verabschiedet und trat am 16. Jänner 2023 in Kraft. Bis zum 17. Oktober 2024 müssen die EU-Länder diese Vorgaben in nationales Recht transformieren. Sie bringt auch Updates für die eIDAS-Verordnung und die EECC-Richtlinie mit sich.
In Österreich und Deutschland sind zehntausende Unternehmen betroffen – ein massiver Anstieg gegenüber NIS1. Für die Umsetzung auf nationaler Ebene sind die jeweiligen Sicherheitsbehörden zuständig, die den Rahmen für das Cybersicherheitsstärkungsgesetz definieren.