NIS2-Richtlinie: Stärkung der Cybersicherheit in Europa

Was steckt hinter der NIS2-Richtlinie?

Die NIS2-Richtlinie ist eine EU-Richtlinie, die die Sicherheit von Netz- und Informationssystemen in der EU reguliert. Sie ist am 16. Januar 2023 in Kraft getreten und muss bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden. Sie zielt darauf ab, die Widerstandsfähigkeit kritischer Infrastrukturen und digitaler Dienste gegen Cyberangriffe zu stärken. Die Richtlinie legt Mindestanforderungen für die Sicherheit von Netz- und Informationssystemen fest und verlangt von den Mitgliedstaaten, nationale Strategien zur Cybersicherheit zu entwickeln.Die NIS2-Richtlinie ist aus der Notwendigkeit entstanden, die EU-Mitgliedstaaten auf einheitliche Standards für die Cybersicherheit zu verpflichten und die Zusammenarbeit zwischen den Staaten in diesem Bereich zu verbessern.

Sie baut auf der vorherigen NIS-Richtlinie auf und erweitert deren Anwendungsbereich auf neue Sektoren und Dienstleister im digitalen Bereich. Am 29.06.2017 wurde das Gesetz zur Umsetzung der NIS-Richtlinie verkündet, welches primär dazu diente, die Inhalte der NIS-Richtlinie in das deutsche Recht zu integrieren. Die NIS-Richtlinie selbst legt Maßnahmen fest, um ein hohes Sicherheitsniveau von Netz- und Informationssystemen innerhalb der Europäischen Union zu gewährleisten. Die Richtlinie wurde unter Berücksichtigung der sich ständig verändernden Cyberbedrohung entwickelt und verlangt die Meldung von Sicherheitsvorfällen.

Verlauf der Gesetzgebung

Wie sieht die Umsetzung der EU-Richtlinie in Deutschland aus?

In Deutschland soll die NIS2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden, um anwendbar zu sein.

Um dies zu erfüllen, gibt es in Deutschland seit Juli 2023 einen Referentenentwurf des Bundesinnenministeriums zur Umsetzung, bekannt als NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS-2UmsuCG). Dieser Entwurf soll bis Oktober 2024 die Gesetzgebung auf Bundesebene durchlaufen. Das Änderungsgesetz modifiziert bestehende Gesetze, insbesondere die Abschnitte des BSI-Gesetzes (BSIG-E), die sich mit KRITIS befassen. Zusätzlich zur NIS2-Richtlinie wird das übergeordnete KRITIS-Dachgesetz die Regulierung kritischer Betreiber umfassen.

Unsere Mitgliedschaftspakete

• Abmahnsichere Rechtstexte in 8 Sprachen schon ab 9,90 Euro*
• Sichere Cookie-Banner-Lösung
• Rechtsberatung (ab Premium)
• Shop-Tiefenprüfung (Unlimited und Professional)
• Soforthilfe bei Abmahnung** (Unlimited und Professional)

Gibt es bereits Beispiele aus anderen EU-Ländern?

Die Mitgliedstaaten der Europäischen Union haben nun 21 Monate Zeit (konkret bis zum 17. Oktober 2024), um diese Richtlinie in nationales Recht umzusetzen.

In Belgien wird derzeit am neuen NIS-2-Gesetz gearbeitet, mit dem Ziel, es noch vor Oktober 2024 zu verabschieden, um die Fristvorgaben der NIS-2-Richtlinie einzuhalten. Dieses Gesetz wird für Unternehmen gelten, die in Belgien ansässig sind. Zudem sollten sie gemäß der Definition des CCB auf seiner offiziellen Website als Einrichtungen gelten, die eine tatsächliche Tätigkeit durch eine fest etablierte Niederlassung ausüben.

Die Rechtsform dieser Einrichtungen, sei es eine Zweigniederlassung oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit, spielt dabei keine Rolle. Entscheidend ist vielmehr, ob die physische Präsenz der Netzwerk- und Informationssysteme an einem festen Ort besteht. Ausländische Unternehmen mit Niederlassungen in Belgien, die in einen der 18 zentralen Sektoren tätig sind, fallen ebenfalls unter den Anwendungsbereich der NIS-2-Richtlinie.

Was muss ich als Online-Händler bei der Umsetzung der NIS2-Richtlinie beachten?

Als Online-Händler gibt es mehrere wichtige Punkte zu beachten, um die Anforderungen der NIS2-Richtlinie bis Oktober zu erfüllen. Du bist betroffen, wenn dein Unternehmen 50 bis 249 Beschäftigte umfasst und zehn bis 50 Millionen Euro Jahresumsatz erwirtschaftet oder eine Jahresbilanzsumme von bis zu 43 Millionen Euro aufweist. Weitere Infos findest du in diesem Absatz.

1. Sicherheitsmaßnahmen implementieren: Stelle sicher, dass du angemessene Sicherheitsmaßnahmen für deine Netzwerk- und Informationssysteme implementierst, um Cyberangriffe zu verhindern und Risiken zu minimieren.
2. Melden von Sicherheitsvorfällen: Du musst in der Lage sein, Sicherheitsvorfälle zu erkennen, zu melden und angemessen darauf zu reagieren. Das bedeutet, dass du interne Prozesse und Mechanismen für die Meldung von Sicherheitsvorfällen etablieren musst.
3. Mindestsicherheitsanforderungen erfüllen: Stelle sicher, dass deine Systeme die Mindestsicherheitsanforderungen gemäß der NIS2-Richtlinie erfüllen. Dazu gehört unter anderem die Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten.
4. Zusammenarbeit mit Behörden: Kooperiere mit den zuständigen Behörden und melde relevante Sicherheitsvorfälle gemäß den Vorgaben der NIS2-Richtlinie.
5. Bewusstsein schaffen: Schule deine Mitarbeiter in Bezug auf Cybersicherheit und sensibilisiere sie für mögliche Bedrohungen und Sicherheitspraktiken.
6. Regelmäßige Überprüfung und Aktualisierung: Überprüfe und aktualisiere regelmäßig deine Sicherheitsmaßnahmen, um sicherzustellen, dass sie den aktuellen Bedrohungen und Anforderungen entsprechen.

Schutz für deinen Online-Shop: SecureCommerce

Täglich lauern im World Wide Web zahlreiche Cyberbedrohungen, die deinem Online-Shop schaden können. Einfache Webhoster-Firewalls reichen meistens nicht aus, um genügend Schutz zu gewähren und Angriffe abzuwehren. SecureCommerce wurde speziell für Online-Shops entwickelt und besteht aus einer Online-Shop-Firewall und DDoS-Protection. Die Lösung bietet einen zuverlässigen Schutz gegen Angriffe, denen dein Online-Shop ausgesetzt ist.

Wer ist von der NIS2-Richtlinie betroffen?

Die NIS2-Richtlinie betrifft hauptsächlich zwei Arten von Akteuren:

1. Betreiber Kritischer Infrastrukturen (KRITIS): Dazu gehören Unternehmen und Organisationen, die als wesentlich für das Funktionieren der Gesellschaft angesehen werden, wie Energieversorger, Telekommunikationsunternehmen, Gesundheitseinrichtungen und Finanzdienstleister. Diese Betreiber müssen angemessene Sicherheitsmaßnahmen implementieren, um die Resilienz ihrer Netz- und Informationssysteme gegen Cyberangriffe zu gewährleisten.
2. Anbieter digitaler Dienste: Hierzu zählen Online-Marktplätze, Suchmaschinen, Cloud-Computing-Dienste und soziale Netzwerke. Diese Anbieter müssen ebenfalls Sicherheitsvorkehrungen treffen, um die Kontinuität ihrer Dienste zu gewährleisten und potenzielle Auswirkungen von Cyberangriffen zu minimieren.

Die genaue Definition und der Anwendungsbereich können je nach nationaler Umsetzung der Richtlinie variieren, aber im Allgemeinen sind Betreiber Kritischer Infrastrukturen und Anbieter digitaler Dienste die Hauptzielgruppen der NIS2-Richtlinie.

Bis wann muss die Umsetzung erfolgen?

Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen. Die aktuelle NIS-2-Richtlinie stellt eine Weiterentwicklung der (ersten) NIS-Richtlinie aus dem Jahr 2016 dar („EU-Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“).

Was genau muss wie umgesetzt werden?

Die Umsetzung der NIS2-Richtlinie in nationales Recht erfordert in der Regel mehrere konkrete Maßnahmen:

1. Identifizierung kritischer Infrastrukturen und digitaler Dienste: Die nationalen Behörden müssen die Sektoren und Unternehmen identifizieren, die als kritische Infrastrukturen gelten, sowie die Anbieter digitaler Dienste, die unter die Richtlinie fallen.
2. Festlegung von Sicherheitsanforderungen: Es müssen Mindestsicherheitsanforderungen für Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste festgelegt werden. Dazu gehören Maßnahmen wie Risikomanagement, Incident-Response-Pläne, Sicherheitsüberprüfungen und Kooperationspflichten.
3. Meldepflichten für Sicherheitsvorfälle: Es müssen klare Meldeverfahren für Sicherheitsvorfälle festgelegt werden, die Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste betreffen. Diese Meldepflichten dienen dazu, die nationalen Behörden über Cyberangriffe zu informieren und die Reaktion zu koordinieren.
4. Zusammenarbeit und Informationsaustausch: Die Richtlinie erfordert eine verstärkte Zusammenarbeit zwischen den nationalen Behörden, den Betreibern kritischer Infrastrukturen und den Anbietern digitaler Dienste sowie gegebenenfalls zwischen den Mitgliedstaaten der EU.
5. Sanktionen bei Nichteinhaltung: Es müssen angemessene Sanktionen für Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste festgelegt werden, die gegen die Sicherheitsanforderungen verstoßen oder ihre Meldepflichten nicht erfüllen.

Rechtlich sicher – jederzeit

Du möchtest sicherstellen, dass dein Online-Shop oder deine Website rechtlich auf der sicheren Seite ist? Mit Legal Check ist das so einfach wie nie zuvor. Das KI-basierte Tool überprüft und überwacht deine Website, um eventuelle rechtliche Unstimmigkeiten aufzudecken und Handlungsempfehlungen zu geben.

Wie weit reicht der Geltungsbereich der NIS2-Richtlinie?

Der Geltungsbereich der NIS2-Richtlinie erstreckt sich grundsätzlich auf alle Mitgliedstaaten der Europäischen Union (EU). Das bedeutet, dass alle EU-Mitgliedstaaten verpflichtet sind, die Richtlinie in nationales Recht umzusetzen und die darin enthaltenen Bestimmungen anzuwenden.

Innerhalb der Mitgliedstaaten richtet sich der Geltungsbereich der NIS2-Richtlinie hauptsächlich an zwei Arten von Akteuren:

1. Betreiber Kritischer Infrastrukturen (KRITIS): Dazu gehören Unternehmen und Organisationen in kritischen Sektoren wie Energie, Gesundheit, Finanzwesen und Transport, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Gesundheit, die Wirtschaft oder das gesellschaftliche Leben haben könnte.
2. Anbieter digitaler Dienste: Dies umfasst Unternehmen, die Online-Dienste anbieten, die als wesentlich für den digitalen Binnenmarkt angesehen werden, wie Online-Marktplätze, Suchmaschinen, Cloud-Computing-Dienste und soziale Netzwerke.

Der Geltungsbereich kann je nach nationaler Umsetzung der Richtlinie variieren, und einige Mitgliedstaaten können zusätzliche Sektoren oder Unternehmen einbeziehen, die als kritisch für die nationale Sicherheit oder die öffentliche Ordnung betrachtet werden. Insgesamt ist der Zweck der NIS2-Richtlinie jedoch darauf ausgerichtet, die Sicherheit von Netz- und Informationssystemen in der gesamten EU zu stärken und die Zusammenarbeit zwischen den Mitgliedstaaten in diesem Bereich zu fördern.

Reaktion auf Hackerangriff – Musterschreiben

Welche Möglichkeiten hat man als Opfer eines Hackerangriffs? Mit unserem Mustervorlagen-Set kannst du professionell reagieren: Musterschreiben Strafanzeige bei der Polizei, Meldung an Shopsystem/Plattform und an betroffene Kunden.

Fazit zur NIS2-Richtlinie

Die NIS2-Richtlinie ist eine wichtige Gesetzgebung der Europäischen Union, die darauf abzielt, die Sicherheit von Netz- und Informationssystemen in der gesamten EU zu stärken. Indem sie Mindeststandards für die Cybersicherheit festlegt und die Zusammenarbeit zwischen den Mitgliedstaaten verbessert, trägt die Richtlinie dazu bei, die Widerstandsfähigkeit kritischer Infrastrukturen und digitaler Dienste gegen Cyberangriffe zu erhöhen.

Durch die NIS2-Richtlinie werden Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste verpflichtet, angemessene Sicherheitsmaßnahmen zu implementieren, Sicherheitsvorfälle zu melden und mit den nationalen Behörden zusammenzuarbeiten. Dadurch wird das Risiko von Cyberangriffen reduziert und die Reaktionsfähigkeit im Falle eines Sicherheitsvorfalls verbessert.

Die Umsetzung der NIS2-Richtlinie in nationales Recht erfordert eine enge Zusammenarbeit zwischen den EU-Mitgliedstaaten und eine Anpassung der nationalen Gesetzgebung und Infrastruktur. Es ist wichtig, dass die Mitgliedstaaten die Richtlinie konsequent und wirksam umsetzen, um einen kohärenten Ansatz für die Cybersicherheit in der gesamten EU sicherzustellen.

Insgesamt ist die NIS2-Richtlinie ein wichtiger Schritt zur Stärkung der Cybersicherheit in Europa und zur Gewährleistung eines vertrauenswürdigen und widerstandsfähigen digitalen Binnenmarktes.

Das könnte dich auch interessieren:

1. Individuelle Datenschutzschulungen für dein Unternehmen
2. ePrivacy-Verordnung (ePV) » Schutz personenbezogener Daten
3. Rechtssichere Datenschutzerklärung erstellen lassen
4. Informationspflichten nach DSGVO
5. Online-Shop gehackt » So erstattest du eine Strafanzeige (Muster)