NIS2 Richtlinie

NIS2 (Network and Information Security Directive) ist eine EU-Richtlinie zur Erhöhung der Cybersicherheit in 18 kritischen und wichtigen Sektoren. Sie ersetzt die ursprüngliche NIS-Richtlinie und verschärft Anforderungen an Risikomanagement, Meldepflichten und Sanktionen. In Deutschland wird sie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt.

Vier Gruppen: (1) Betreiber kritischer Anlagen (KRITIS), (2) besonders wichtige Einrichtungen (≥ 250 Mitarbeiter oder > 50 Mio. EUR Umsatz / > 43 Mio. EUR Bilanzsumme), (3) wichtige Einrichtungen (≥ 50 Mitarbeiter oder > 10 Mio. EUR Umsatz/Bilanzsumme), (4) bestimmte Bundeseinrichtungen. Sonderregeln für Vertrauensdienste, TLD/DNS und Telekommunikation.

Drei Stufen: (1) Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls, (2) Erstbericht (Incident Notification) innerhalb von 72 Stunden, (3) Abschlussbericht innerhalb eines Monats. Bei laufenden Vorfällen sind Zwischenberichte auf Anforderung der zuständigen Behörde (in DE: BSI) zu erstellen.

Für besonders wichtige Einrichtungen: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (höherer Wert). Für wichtige Einrichtungen: bis zu 7 Mio. EUR oder 1,4 %. Zusätzlich persönliche Haftung der Geschäftsleitung möglich, falls Sicherheitsmaßnahmen nicht angemessen umgesetzt oder überwacht wurden.

Die EU-Frist war der 17. Oktober 2024. Deutschland hat die Frist nicht eingehalten - das NIS2UmsuCG wird voraussichtlich erst 2025/2026 verabschiedet. Trotzdem gilt: Unternehmen sollten jetzt mit der Umsetzung beginnen, da Aufsichtsbehörden ab Inkrafttreten direkt prüfen können und Übergangsfristen knapp bemessen sein werden.

Nicht zwingend, aber faktisch sinnvoll. NIS2 fordert kontinuierliches Risikomanagement, schnelle Incident Detection und 24h-Frühwarnung - Anforderungen, die ohne SOC kaum erfüllbar sind. KMU können einen Managed SOC als externe Lösung wählen statt ein eigenes Team aufzubauen.