NIS2-Richtlinie

NIS2-Richtlinie – EU-Cybersicherheitsvorschriften für wesentliche und wichtige Einrichtungen

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union) ist das bisher umfassendste und weitreichendste Cybersicherheitsgesetz der Europäischen Union. Die im Dezember 2022 angenommene und bis zum 17. Oktober 2024 in nationales Recht umzusetzende NIS2-Richtlinie ersetzt die NIS-Richtlinie von 2016. Sie hat einen drastisch erweiterten Anwendungsbereich, deutlich strengere Pflichten und führt – erstmals in der EU-Geschichte – eine Haftung der Leitungsorgane ein, die die Cybersicherheitsmaßnahmen ihrer Organisation billigen und deren Umsetzung überwachen müssen.

NIS2 wirkt auf der organisatorischen Seite des EU-Cybersicherheitsrahmens: Sie schreibt vor, wie Unternehmen ihre eigene Cybersicherheit managen müssen. Ihr Gegenstück, die EU-Cyberresilienz-Verordnung (CRA), wirkt auf der Produktseite – sie schreibt vor, wie Produkte entwickelt werden müssen. Zusammen bilden sie das Rückgrat der Cybersicherheitsstrategie der EU für 2030.

Wichtige Fakten

Was hat sich von NIS zu NIS2 geändert?

NIS2 ist keine geringfügige Aktualisierung – sie hat den Ansatz der EU zur organisatorischen Cybersicherheit grundlegend neu strukturiert:

Wer muss die Vorschriften einhalten? Die Klassifizierung der Einrichtungen

NIS2 verwendet einen größenbasierten Ansatz in Kombination mit einer Sektorklassifizierung und weicht damit vom Benennungsmodell der ursprünglichen NIS-Richtlinie ab. Das bedeutet, dass die überwiegende Mehrheit der mittleren und großen Organisationen in den erfassten Sektoren die Vorschriften einhalten muss – ohne darauf zu warten, von den nationalen Behörden einzeln benannt zu werden.

Anhang I – Sektoren mit hoher Kritikalität

Große Einrichtungen in diesen Sektoren sind wesentliche Einrichtungen und unterliegen einer Ex-ante- und Ex-post-Aufsicht – die Behörden können Audits und Prüfungen durchführen, ohne auf einen Vorfall warten zu müssen. Mittlere Einrichtungen in diesen Sektoren sind wichtige Einrichtungen (Artikel 3):

Elf Sektoren:

1. Energie (Stromerzeugung, -verteilung, -übertragung; Öl; Gas; Wasserstoff; Fernwärme/-kälte)
2. Verkehr (Luft, Schiene, Wasser, Straße – einschließlich Betreiber, Infrastrukturmanager)
3. Bankwesen (Kreditinstitute)
4. Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien)
5. Gesundheitswesen (Krankenhäuser, Gesundheitsdienstleister, Referenzlabore, Pharmahersteller, Hersteller von Medizinprodukten, die unter kritische Produktkategorien fallen)
6. Trinkwasser (Lieferanten und Versorger)
7. Abwasser (Sammlung, Entsorgung, Behandlung)
8. Digitale Infrastruktur (IXPs, DNS-Anbieter, TLD-Register, Cloud-Computing, Rechenzentren, CDN-Anbieter, Vertrauensdiensteanbieter, elektronische Kommunikationsnetze)
9. IKT-Dienstleistungsmanagement (B2B Managed Service Provider, Managed Security Service Provider)
10. Öffentliche Verwaltung (zentrale staatliche Stellen)
11. Weltraum (Betreiber von Bodeninfrastrukturen zur Unterstützung weltraumgestützter Dienste)

Anhang II – Sonstige kritische Sektoren

Mittlere und größere Einrichtungen in diesen Sektoren sind wichtige Einrichtungen und unterliegen einer Ex-post-Aufsicht – die Behörden werden bei Nachweisen oder Hinweisen auf eine Nichteinhaltung tätig:

Sieben Sektoren:

1. Post- und Kurierdienste
2. Abfallbewirtschaftung
3. Herstellung, Produktion und Vertrieb von Chemikalien
4. Produktion, Verarbeitung und Vertrieb von Lebensmitteln
5. Herstellung von Medizinprodukten, elektronischen/elektrischen Geräten, Maschinen, Kraftfahrzeugen, sonstigen Transportmitteln
6. Digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerkplattformen)
7. Forschungseinrichtungen (öffentlich und privat)

Kritisch für Hardwarehersteller: Hersteller von Elektronik und Medizinprodukten fallen in die Kategorie der wichtigen Einrichtungen. Ein mittlerer oder großer Hersteller von Elektronik- oder IoT-Hardware, der an Sektoren liefert, die von NIS2 abgedeckt sind, muss prüfen, ob er direkt in den Anwendungsbereich fällt. Wenn er an wesentliche Einrichtungen liefert, unterliegt er den erheblichen Anforderungen seiner Kunden an die Sicherheit der Lieferkette.

Kernanforderungen: Was NIS2 verlangt

1. Risikomanagementmaßnahmen (Artikel 21)

NIS2 schreibt einen Mindeststandard an Cybersicherheits-Risikomanagementmaßnahmen vor, den alle betroffenen Einrichtungen umsetzen müssen. Diese sind nicht optional – es handelt sich um gesetzliche Mindestanforderungen:

Technische und organisatorische Maßnahmen:

Die Maßnahmen müssen im Verhältnis zur Größe der Einrichtung, zum Risikoprofil und zu den Implementierungskosten im Verhältnis zum Risiko verhältnismäßig sein – aber die Verhältnismäßigkeit entschuldigt nicht die Nichteinhaltung der aufgeführten Mindestmaßnahmen.

2. Meldung von Sicherheitsvorfällen (Artikel 23)

NIS2 verschärft die Meldepflicht für Sicherheitsvorfälle mit einer gestuften Verpflichtung:

Ein erheblicher Sicherheitsvorfall ist ein Vorfall, der:

• eine schwerwiegende Betriebsstörung oder erhebliche finanzielle Verluste für die Einrichtung verursacht hat oder verursachen könnte, oder
• andere natürliche oder juristische Personen beeinträchtigt hat oder beeinträchtigen könnte, indem er einen beträchtlichen materiellen oder immateriellen Schaden verursacht.

Sonderbestimmungen für IKT-Dienstleister und Vertrauensdiensteanbieter können die Meldefristen weiter verkürzen.

3. Sicherheit der Lieferkette (Artikel 21(2)(d))

NIS2 macht die Sicherheit der Lieferkette zu einer erstrangigen rechtlichen Verpflichtung für betroffene Einrichtungen:

• Einrichtungen müssen die Cybersicherheitspraktiken von direkten Lieferanten und Dienstleistern bewerten.
• Verträge mit Lieferanten müssen Cybersicherheitsklauseln enthalten, die die erforderlichen Sicherheitsstandards festlegen.
• Einrichtungen müssen regelmäßige Risikobewertungen der Lieferantensicherheit durchführen.
• Die ENISA und die nationalen Behörden können Leitlinien oder Anforderungen für bestimmte Lieferantenkategorien herausgeben.

Für Hardwarehersteller: Wenn zu Ihren Kunden wesentliche oder wichtige Einrichtungen gemäß NIS2 gehören, sind diese nun gesetzlich verpflichtet, Ihre Cybersicherheitsposition im Rahmen ihrer Verpflichtungen zur Sicherheit der Lieferkette zu bewerten. Dies schafft eine starke Marktnachfrage für Hardwarehersteller, auditierbare Sicherheitspraktiken nachzuweisen – SBOM-Dokumentation, Schwachstellenmanagement-Programme und Nachweise über einen sicheren Entwicklungslebenszyklus. Unternehmen, die diesen Nachweis als Standardleistung erbringen können, werden einen erheblichen Wettbewerbsvorteil haben.

4. Verantwortlichkeit der Leitungsebene (Artikel 20)

NIS2 führt die bedeutendste Governance-Anforderung in der Geschichte des EU-Cybersicherheitsrechts ein: die Verantwortlichkeit und Haftung der Leitungsorgane:

• Leitungsorgane (Vorstände, Geschäftsführer) müssen die Cybersicherheits-Risikomanagementmaßnahmen billigen.
• Leitungsorgane müssen die Umsetzung überwachen.
• Mitglieder von Leitungsorganen müssen an Cybersicherheitsschulungen teilnehmen, um ausreichende Kenntnisse zur Bewertung von Cybersicherheitsrisiken zu erlangen.
• Werden diese Pflichten verletzt, können das nationale Recht und die Behörden:
  • Mitglieder von Leitungsorganen nach Maßgabe des nationalen Rechts haftbar machen
  • bei wesentlichen Einrichtungen als letztes Mittel ein vorübergehendes Verbot für eine Person beantragen, Leitungsfunktionen auszuüben (Artikel 32 Absatz 5)

Dies ist ein fundamentaler Wandel: Cybersicherheit ist nicht länger nur eine Aufgabe der IT-Abteilung. Sie ist nun eine rechtliche Verpflichtung auf Vorstandsebene, und die Leitungsorgane können für Verstöße verantwortlich gemacht werden.

NIS2 und Hardwarehersteller: Der Lieferketteneffekt

Auch wenn ein Hardwarehersteller nicht direkt in den Anwendungsbereich von NIS2 fällt (z. B. ein kleines Unternehmen unterhalb der Größenschwellen), schafft NIS2 durch die Lieferkette erhebliche marktgetriebene Anforderungen:

Kundengesteuerte Sicherheitsanforderungen

NIS2-regulierte Kunden sind gesetzlich verpflichtet, die Cybersicherheit ihrer Lieferanten zu bewerten. Das bedeutet, dass Hardwarehersteller zunehmend mit Folgendem konfrontiert werden:

• Sicherheitsfragebögen und Audits von Großkunden
• Vertragliche Cybersicherheitsanforderungen in Lieferverträgen
• Anforderungen zur Bereitstellung von SBOMs, Richtlinien zur Offenlegung von Schwachstellen und Sicherheitszertifizierungen
• Potenzieller Verlust von Aufträgen, wenn sie keine angemessene Sicherheitsposition nachweisen können

Harmonisiertes Nachfragesignal

Da NIS2 in allen 27 EU-Mitgliedstaaten harmonisiert ist, gelten diese Anforderungen einheitlich – ein Hardwarehersteller, der in die gesamte EU liefert, sieht sich mit konsistenten Anforderungen konfrontiert, unabhängig davon, in welchem Land sein Kunde ansässig ist.

Hersteller von Medizinprodukten und Elektronik

Große Hersteller von Medizinprodukten und Elektronik werden direkt als wichtige Einrichtungen gemäß NIS2 eingestuft. Für diese Unternehmen ist die Einhaltung nicht optional – sie sind direkt reguliert.

NIS2 vs. CRA – Unterschiedlich, aber komplementär

Die beiden wichtigsten EU-Cybersicherheitsverordnungen adressieren unterschiedliche Dimensionen desselben Problems:

NIS2 sichert Organisationen. Der CRA sichert die Produkte, die diese Organisationen entwickeln und verkaufen. Ein Unternehmen, das vernetzte Hardware herstellt, unterliegt gleichzeitig der NIS2-Richtlinie (wie es seine eigene Sicherheit betreibt) und dem CRA (wie es seine Produkte entwirft).

Durchsetzung und Sanktionen

NIS2 schafft erstmals einen harmonisierten Durchsetzungsrahmen in allen Mitgliedstaaten:

Wesentliche Einrichtungen

• Maximales Bußgeld, durch nationales Recht festgelegt auf mindestens 10.000.000 € oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Ex-ante- und Ex-post-Aufsicht: Behörden können ohne Vorfall als Auslöser prüfen

Wichtige Einrichtungen

• Maximales Bußgeld, durch nationales Recht festgelegt auf mindestens 7.000.000 € oder 1,4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist
• Ex-post-Aufsicht: Behörden werden bei Nachweisen oder Hinweisen auf eine Nichteinhaltung tätig

Haftung der Leitungsorgane und weitere Maßnahmen

• Haftung der Mitglieder von Leitungsorganen nach Maßgabe des nationalen Rechts
• Anweisung, Aspekte des Verstoßes entsprechend bestimmten Vorgaben öffentlich bekannt zu machen (Artikel 32 Absatz 4 Buchstabe h und Artikel 33 Absatz 4 Buchstabe g)
• Bei wesentlichen Einrichtungen als letztes Mittel: vorübergehendes Verbot der Ausübung von Leitungsfunktionen (Artikel 32 Absatz 5)

Zeitplan und aktueller Stand

Verwandte Begriffe

• CRA – Das produktfokussierte Gegenstück zu NIS2; Hardwarehersteller müssen beide einhalten.
• NIS2 – Kurzübersicht zu NIS2 im Glossar.
• ENISA – Agentur der Europäischen Union für Cybersicherheit, die die Umsetzung von NIS2 und die Zusammenarbeit zwischen den Mitgliedstaaten unterstützt.
• SBOM – Softwarestückliste (Software Bill of Materials); wird zunehmend als Nachweis für die Sicherheit der Lieferkette unter NIS2 gefordert.
• Post-Market Surveillance – Überschneidet sich mit den Pflichten zur kontinuierlichen Überwachung gemäß Artikel 21 der NIS2-Richtlinie.
• IoT – Vernetzte IoT-Geräte in den Lieferketten von NIS2-regulierten Einrichtungen unterliegen einer zunehmenden Sicherheitsprüfung.

Hardwarehersteller, die an NIS2-regulierte Einrichtungen liefern, stehen unter wachsendem Druck, auditierbare Cybersicherheitspraktiken nachzuweisen. Inovasense unterstützt Hersteller dabei, die Nachweise für Sicherheitsprogramme zu erbringen, die von NIS2-regulierten Kunden gefordert werden: Schwachstellenmanagement-Prozesse, SBOM-Erstellung, Dokumentation des sicheren Entwicklungslebenszyklus und Implementierungen für eingebettete Sicherheit, die technisch verifizierbare Nachweise für Sicherheitsmaßnahmen liefern. Unsere EU-Compliance-Beratung deckt das gesamte Spektrum ab – die Lieferkettenverpflichtungen aus NIS2 zusammen mit den Produktanforderungen des CRA.

Offizielle Referenzen

• Richtlinie (EU) 2022/2555 (NIS2) – Volltext – EUR-Lex, Amtsblatt der Europäischen Union