.png)
In diesem Blog erfahren Sie mehr über den Hintergrund und die Gründe für die neue EU-Richtlinie über Netz- und Informationssicherheit 2 (NIS2). Dies ist der erste Teil einer dreiteiligen Blogserie. Sie erhalten das beste Gesamtbild über die Richtlinie und darüber, wie Ihre Organisation darauf reagieren sollte, wenn Sie alle drei Teile lesen.
Ähnlicher Blog: Teil 2 - NIS2-Anwendungsbereich und wichtigste Sicherheitsanforderungen
Ähnlicher Blog: Teil 3 - Mit Cyberday NIS2-konform werden
Die ursprüngliche Richtlinie zur Netz- und Informationssicherheit (NIS), die 2016 veröffentlicht wurde, war ein wichtiger Meilenstein für die Cybersicherheit in der Europäischen Union. Sie war die erste EU-weite Rechtsvorschrift, die sich der Bekämpfung von Bedrohungen der Cybersicherheit widmete. Hauptziel war es, in allen Mitgliedstaaten ein einheitliches und hohes Niveau der Cybersicherheit in allen relevanten Branchen zu gewährleisten.
Obwohl die Richtlinie die Cybersicherheit erfolgreich verbessert hat, stieß sie bei ihrer Umsetzung auch auf Herausforderungen. Diese Hindernisse führten letztlich dazu, dass der Stand der Cybersicherheitsbereitschaft in den einzelnen Mitgliedstaaten unterschiedlich war. Es wurde deutlich, dass die Schaffung einer einheitlichen und widerstandsfähigen Cybersicherheitslandschaft in der gesamten EU zusätzliche Anstrengungen erfordert.
Als Reaktion auf die Herausforderungen in der ursprünglichen NIS-Richtlinie und die zunehmenden Cyber-Bedrohungen durch die Digitalisierung und die wachsende Cyber-Kriminalität, ersetzt die Europäische Kommission die NIS-Richtlinie. Der neue Vorschlag, die NIS2-Richtlinie, zielt darauf ab, die Herausforderungen der ursprünglichen NIS-Richtlinie zu bewältigen, indem mehr in die folgenden Aspekte investiert wird:
Die NIS-Richtlinie gilt für zwei verschiedene Kategorien von Organisationen: Betreiber wesentlicher Dienste (OES) und Anbieter digitaler Dienste (DSP).
OES bezieht sich auf Organisationen, die Dienstleistungen erbringen, die als entscheidend für das Funktionieren der Wirtschaft und der Gesellschaft als Ganzes gelten. Dazu gehören kritische Infrastrukturbereiche wie Wasser, Verkehr und Energie sowie Dienstleistungen wie das Gesundheitswesen und die digitale Infrastruktur.
DSPs sind Organisationen, die bestimmte Arten von digitalen Dienstleistungen anbieten, vor allem Online-Suchmaschinen, Online-Marktplätze und Cloud-Computing-Dienste.
Um sich als DSP zu qualifizieren, muss eine Organisation eine oder mehrere dieser Dienstleistungen anbieten und unter die Kategorie der mittleren Unternehmen fallen.
Es gibt eine allgemeine Ausnahme für kleine Unternehmen im Bereich der digitalen Dienstleistungen. Wenn eine Organisation weniger als 50 Mitarbeiter und einen Umsatz von weniger als 10 Mio. EUR hat, gilt sie nicht als digitaler Dienstleister und fällt daher nicht unter die NIS2. Ist das Unternehmen jedoch Teil einer größeren Gruppe, muss es die Mitarbeiter und den Umsatz der gesamten Gruppe bewerten.
In den nächsten Beiträgen dieser Reihe werden wir den Anwendungsbereich und die Sicherheitsanforderungen von NIS2 ausführlicher behandeln.
Ähnlicher Blog: Teil 2 - NIS2-Anwendungsbereich und wichtigste Sicherheitsanforderungen
Ähnlicher Blog: Teil 3 - Mit Cyberday NIS2-konform werden
Umsetzung
Die Richtlinie wurde in den einzelnen Mitgliedstaaten unterschiedlich umgesetzt. Jeder Mitgliedstaat wandte die Richtlinie anders an, was zu Unstimmigkeiten zwischen den Niveaus der Cybersicherheit in den Mitgliedstaaten führte. Der Mangel an Kohärenz schwächte die Wirkung der Richtlinie.
Grad der Bereitschaft
Die einzelnen Mitgliedstaaten waren unterschiedlich weit auf die Richtlinie vorbereitet. Einige Mitgliedstaaten verfügten bereits über kohärente und solide Cybersicherheitsmaßnahmen, andere hatten noch viel zu tun. Die Unterschiede in der Ausgangslage führten zu Unterschieden bei der Erreichung eines hohen Niveaus der Cybersicherheit.
Definition von OESs
Die Mitgliedstaaten mussten entscheiden, welche Organisationen als OESs definiert werden sollten. Dies erwies sich aufgrund der Komplexität der Sektoren als schwieriger Prozess. Außerdem wurden dadurch die Unterschiede im Niveau der Cybersicherheit zwischen den Mitgliedstaaten noch größer.
Anforderungen an die Berichterstattung
Die Richtlinie gab den Mitgliedstaaten zu viel Kontrolle über die Anforderungen an die Meldung von Cybersicherheitsvorfällen.
Unzureichender Anwendungsbereich
Eine der ersten Reaktionen auf die NIS-Richtlinie war, dass sie nicht alle Sektoren abdeckt, die wichtige Dienstleistungen für Wirtschaft und Gesellschaft erbringen.
Auch wenn die NIS2-Richtlinie größtenteils auf der ursprünglichen NIS-Richtlinie basiert, wird es einige große Änderungen geben. Mit der NIS2-Richtlinie wird eine Reihe von erweiterten Sicherheitsanforderungen eingeführt. Die Flexibilität bei der Anpassung an diese Anforderungen wurde abgeschafft, da die ursprüngliche NIS aufgrund der übermäßigen Flexibilität Schwachstellen zuließ. NIS2 stellt sicher, dass es keinen Raum für solche Schwachstellen gibt, da sie die Regeln, die jeder befolgen muss, klar umreißt.
NIS2 verlangt z.B., dass die folgenden Sicherheitsthemen in den entsprechenden Organisationen gut organisiert sind:
- Risikomanagement im Bereich der Informationssicherheit
- Erkennung, Verwaltung und Meldung von Vorfällen
- Schulungen zur Cybersicherheit
- Geschäftskontinuitätsplanung/Krisenmanagement
- Sicherheit der Lieferkette
- Verschlüsselung der Daten
Lesen Sie mehr über diese Themen und den Anwendungsbereich von NIS2 im zweiten Teil: NIS2-Anwendungsbereich und wichtigste Sicherheitsanforderungen
Haben Sie weitere Fragen, benötigen Sie einen weiteren Hilfeartikel oder möchten Sie uns ein Feedback geben? Bitte kontaktieren Sie unser Team über cyberday oder die Chatbox in der rechten unteren Ecke.
