NIS2: Wer ist betroffen und wo fängt man an?
Die europäische NIS2-Richtlinie erweitert die Zahl der Organisationen mit Cybersicherheitspflichten erheblich. Hier finden Sie Anhaltspunkte, um zu klären, ob Sie betroffen sind und wie Sie sich vorbereiten, ohne die Analyse einer Fachkraft zu ersetzen.
Redaktionsteam von Kayzen Security4 Min. Lesezeit
Was die Richtlinie vorsieht
Die am 14. Dezember 2022 angenommene NIS2-Richtlinie ersetzt die NIS-Richtlinie von 2016. Sie verpflichtet die betroffenen Einrichtungen, Maßnahmen zum Management von Cybersicherheitsrisiken zu ergreifen (Artikel 21) und erhebliche Sicherheitsvorfälle zu melden (Artikel 23), und sie nimmt die Leitungsorgane in die Verantwortung, die diese Maßnahmen billigen und sich schulen lassen müssen (Artikel 20).
In Frankreich erfolgt die Umsetzung durch ein Gesetz und Durchführungsbestimmungen. Ihr Stand und die Daten des Inkrafttretens sind zum Zeitpunkt, an dem Sie diesen Leitfaden lesen, auf der Website der ANSSI zu prüfen.
Bin ich betroffen? Die drei Kriterien
- Der Sektor: Die Richtlinie nennt 11 Sektoren mit „hoher Kritikalität“ (Anhang I: Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum…) und 7 „sonstige kritische Sektoren“ (Anhang II: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung bestimmter Waren, Anbieter digitaler Dienste, Forschung). Für den Finanzsektor gilt beim Risikomanagement und bei der Meldung von Vorfällen vorrangig die DORA-Verordnung (EU) 2022/2554.
- Die Größe: in der Regel mittlere Unternehmen (mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro) und große Unternehmen dieser Sektoren; Beschäftigtenzahlen und Beträge verbundener oder Partnerunternehmen müssen unter Umständen addiert werden.
- Die Ausnahmen bei der Größe: Bestimmte Einrichtungen sind unabhängig von ihrer Größe erfasst, insbesondere Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, Namenregister der Domains oberster Stufe und DNS-Diensteanbieter sowie, je nach nationaler Benennung, eine Einrichtung, die als einzige im Land einen wesentlichen Dienst erbringt.
- Gebietskörperschaften und Verwaltungen können je nach nationaler Umsetzung erfasst sein.
Wesentliche und wichtige Einrichtungen
Beide Kategorien müssen dieselben Arten von Maßnahmen anwenden, die Aufsicht unterscheidet sich jedoch: mögliche Ex-ante-Kontrollen bei wesentlichen Einrichtungen, Ex-post-Kontrollen bei wichtigen Einrichtungen. Die Richtlinie legt für wesentliche Einrichtungen auch höhere Obergrenzen für Verwaltungssanktionen fest. Die in Frankreich geltenden Beträge hängen vom Umsetzungsgesetz ab.
Die Maßnahmen nach Artikel 21 im Überblick
- Risikoanalyse und Sicherheitskonzepte.
- Bewältigung von Sicherheitsvorfällen.
- Aufrechterhaltung des Betriebs, Backups und Krisenmanagement.
- Sicherheit der Lieferkette.
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement.
- Bewertung der Wirksamkeit der Maßnahmen.
- Grundlegende Cyberhygiene und Schulungen.
- Kryptografie und Verschlüsselung.
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen.
- Mehrfaktor-Authentifizierung und gesicherte Kommunikation.
Erhebliche Sicherheitsvorfälle melden
Die Richtlinie sieht eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls vor, eine Meldung des Vorfalls innerhalb von 72 Stunden und dann einen Abschlussbericht spätestens einen Monat nach dieser Meldung. Diese Meldungen gehen an das CSIRT oder die zuständige Behörde. Das setzt voraus, einen Vorfall erkennen und einstufen zu können und den richtigen Ansprechpartner im Voraus zu kennen.
Wo man anfängt
- Ihre Situation mit dem Online-Dienst der ANSSI prüfen und die Analyse von einer Fachkraft bestätigen lassen.
- Ihre Systeme, Daten und Dienstleister inventarisieren.
- Die grundlegenden Hygienemaßnahmen umsetzen: Updates, Zwei-Faktor-Authentifizierung, Offline-Backups, kontrollierte Administratorkonten.
- Ein Verfahren zur Bewältigung und Meldung von Vorfällen schreiben.
- Die Geschäftsleitung einbinden, die die Maßnahmen billigen und sich schulen lassen muss.
Dieser Leitfaden fasst die Richtlinie (EU) 2022/2555 zu Informationszwecken zusammen. Er stellt keine Rechtsberatung dar: Ob Sie erfasst sind und welche Pflichten Sie haben, ist von einer Fachkraft auf Grundlage des geltenden Umsetzungstextes und der Informationen der ANSSI zu prüfen. Ein Werkzeug wie Kayzen kann zu den Maßnahmen nach Artikel 21 beitragen, es macht eine Organisation nicht konform.
Offizielle Quellen
- ANSSI (neuer Tab) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (neuer Tab) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (neuer Tab) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Die genannten Quellen werden von ihren Urhebern in ihrer Originalsprache veröffentlicht. Kayzen ist mit keiner dieser Stellen verbunden.
Dieser Leitfaden dient der allgemeinen Information. Er ersetzt weder eine Rechtsberatung noch das Eingreifen einer Fachkraft für IT-Sicherheit.