NIS2: Für KRITIS-Unternehmen wird es jetzt KRITISCH

Da kritische Infrastrukturen verstärkt im Fokus von Hackern stehen, gibt es bereits seit 2016 die EU-Richtlinie zur Netzwerk- und Informationssicherheit. Mit dieser „NIS-Richtlinie“ wollte die Europäische Union erstmals das Cybersicherheitsniveau von Netz- und Informationssystemen erhöhen, die bei sogenannten KRITIS-Organisationen im Einsatz sind.

NIS betrifft damit alle Unternehmen und Institutionen, die mit kritischen Infrastrukturen zu tun haben. Hierzu gehören beispielsweise Unternehmen aus dem Energiesektor, dem Gesundheitswesen oder dem Verkehr, aber auch aus dem Bankwesen.

2022 wurde der Anwendungsbereich dieser ursprünglichen NIS-Richtlinie sogar noch erweitert: Die aktuelle seit 2023 in Kraft getretene NIS2-Direktive (EU 2022/2555) löst damit die 2016er Regelung ab und verpflichtet jetzt sogar noch mehr Betreiber und Anbieter wesentlicher Dienste in KRITIS-relevanten Branchen, ihre Maßnahmen zur Cybersicherheit EU-Richtlinien-gerecht aufzustellen.

Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz bzw. einer Jahresbilanzsumme von zehn bis 43 Millionen Euro werden ohne weitere Voraussetzungen automatisch von der Richtlinie erfasst. Das gilt für z. B. sowohl für Anbieter von Post- und Kurierdienste. Aber auch Betreiber in der Abfallbewirtschaftung, Produzenten und Händler von chemischen Stoffen, für die Produktion von Lebensmitteln sowie Anbieter digitaler Dienste und im Forschungsbereich fallen in den Geltungsbereich.

Als hochkritische Sektoren gelten nach NIS2 jetzt EU-weit die Sektoren Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, sowie der Verbraucherbereich, öffentliche Verwaltung und Weltraum.

In Deutschland wird die Umsetzung von NIS2 durch „NIS2UmsuCG“ geregelt – das NIS2 Umsetzungsgesetz. Man schätzt, dass hierzulande etwa 30.000 Unternehmen von dieser KRITIS-Regelung betroffen sind. Mit NIS2 steigen künftig auch die Cybersecurity-Anforderungen und Befugnisse des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Auf nationaler Ebene müssen alle EU-Mitgliedstaaten diese gesetzlichen Mindestanforderungen für IT-Sicherheit in Unternehmen und Organisationen bis Oktober 2024 umsetzen. In Deutschland beispielsweise liegt das Umsetzungsgesetz seit Juli 2023 bereits als zweiter Referentenentwurf vor und muss nur noch auf Bundesebene durch die Bundesverwaltung bestätigt werden.