NIS2 – Die neue EU-Richtlinie für mehr Cybersicherheit
NIS2 (Network and Information Security Directive 2) ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016.
Sie wurde von der Europäischen Union verabschiedet, um das Sicherheitsniveau von Netz- und Informationssystemen in der EU weiter zu verbessern – insbesondere in kritischen und wichtigen Sektoren.
Was ist NIS2?
NIS2 ist ein zentraler Bestandteil der europäischen Cybersicherheitsstrategie.
Die Richtlinie verpflichtet Unternehmen und Organisationen zur Umsetzung strengerer Sicherheitsmaßnahmen und zur Meldung schwerwiegender Sicherheitsvorfälle.
Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberbedrohungen zu erhöhen und eine einheitliche Sicherheitsbasis innerhalb der EU zu schaffen.
Wer ist von NIS2 betroffen?
NIS2 betrifft deutlich mehr Unternehmen als ihr Vorgänger. Neben Betreibern kritischer Infrastrukturen (z. B. im Energie-, Verkehrs- oder Gesundheitssektor) sind nun auch zahlreiche mittelständische Unternehmen in den Bereichen:
- Digitale Dienstleistungen
- Herstellung und Vertrieb kritischer Produkte
- Post- und Kurierdienste
- Abfallwirtschaft
- Hersteller von Medizinprodukten oder IT-Komponenten
Von der Richtlinie erfasst sind alle Unternehmen mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro – vorausgesetzt, sie sind in einem relevanten Sektor tätig.
Was bedeutet NIS2 für Unternehmen?
Was bedeutet NIS2 für Unternehmen?
Betroffene Unternehmen müssen umfassende Maßnahmen zur Risikominimierung ergreifen. Dazu gehören unter anderem:
- Einführung eines Informationssicherheitsmanagementsystems (ISMS)
- Schutz der Lieferkette
- Regelmäßige Sicherheitsprüfungen
- Erstellung und Pflege von Notfall- und Wiederherstellungsplänen
- Schulung der Mitarbeitenden im Bereich IT-Sicherheit
- Meldepflicht bei Sicherheitsvorfällen innerhalb von 24 Stunden
Zudem haften Geschäftsführende künftig persönlich bei grober Fahrlässigkeit – NIS2 verschärft also auch die rechtlichen Rahmenbedingungen.
Wann tritt NIS2 in Kraft?
Die Richtlinie ist seit dem 16. Januar 2023 in Kraft. Die Mitgliedstaaten müssen sie bis 17. Oktober 2024 in nationales Recht überführen. Unternehmen haben also nur noch begrenzte Zeit, sich auf die neuen Anforderungen vorzubereiten.