Die NIS-2-Richtlinie: Stärkung der Cybersicherheit gegen Cyberkriminalität

2024 hat die Cyberkriminalität einen neuen Höchststand erreicht, der Regierungen und Branchen weltweit beeinträchtigt und die Sicherheit kritischer Daten und Infrastrukturen bedroht. Einem Bericht von Cybersecurity Ventures zufolge werden sich die Kosten für Cyberkriminalität bis 2025 auf 10,5 Billionen US-Dollar jährlich belaufen, gegenüber 3 Billionen US-Dollar im Jahr 2015{{Footnote.A74148}}.

Dieser Anstieg wird durch immer raffiniertere Cyberangriffe, Ransomware-Vorfälle und Datenverletzungen verursacht, wobei die Häufigkeit und Schwere der Angriffe jedes Jahr zunimmt. Der Global Risk Report 2023{{Footnote.A74149}} des Weltwirtschaftsforums hebt hervor, dass Cyber-Bedrohungen zu den größten globalen Risiken gehören, was den dringenden Bedarf an robusten Cybersicherheitsmaßnahmen verdeutlicht.

Um diese eskalierende Bedrohung zu bekämpfen, hat die Europäische Union die NIS-2-Richtlinie als wichtige Aktualisierung der ursprünglichen NIS-Richtlinie (Richtlinie über Netz- und Informationssysteme) aus dem Jahr 2016 eingeführt, mit einem erweiterten Anwendungsbereich, der mehr kritische Infrastrukturen und Anbieter wichtiger Serviceleistungen umfasst.

Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheit für kritische Infrastrukturen in der gesamten EU zu verbessern, indem sie für mehr Resilienz und stärkeren Schutz vor Datenverletzungen und Störungen durch böswillige Akteure sorgt.

Sicherheitsexperte David Clarke erklärt die wichtigsten Unterschiede zwischen NIS und NIS2

Umfang und Geltungsbereich: Die ursprüngliche NIS-Richtlinie konzentrierte sich in erster Linie auf Betreiber wesentlicher Dienste und Anbieter digitaler Dienste. NIS2 erweitert den Anwendungsbereich auf mittlere und große Unternehmen aus einem breiteren Spektrum von Sektoren, darunter Gesundheitswesen, Verkehr, Energie, Banken und Behörden. Dies bedeutet, dass immer mehr Organisationen und staatliche Stellen strenge Cybersicherheitsstandards einhalten müssen.

Sicherheitsanforderungen: Mit NIS2 werden detailliertere Sicherheitsanforderungen eingeführt. Organisationen müssen Maßnahmen zum Risikomanagement ergreifen, regelmäßige Sicherheitsbewertungen durchführen und Strategien zur Reaktion auf Zwischenfälle entwickeln. Die Richtlinie schreibt die Verwendung von Verschlüsselung und Zugangskontrollen vor, um sensible Daten zu schützen.

Meldung von Vorfällen: Die ursprüngliche NIS-Richtlinie verlangt von den Stellen, dass sie bedeutende Vorfälle ohne unnötige Verzögerung melden. NIS2 verschärft diese Anforderung und schreibt vor, dass Vorfälle innerhalb von 24 Stunden nach ihrer Feststellung gemeldet werden müssen, um eine schnellere Reaktion auf Angriffe und damit verbundene Störungen zu gewährleisten.

Beaufsichtigung und Durchsetzung: NIS2 stärkt die Rolle der nationalen Behörden bei der Überwachung und Durchsetzung der Einhaltung der Vorschriften. Die Strafen für Verstöße sind ebenfalls strenger und können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist.

Sicherheit der Lieferkette: NIS2 unterstreicht die Bedeutung der Sicherung der kritischen Lieferkette und verpflichtet Unternehmen und Regierungen, die von ihren Zulieferern und Dienstleistern ausgehenden Cybersicherheitsrisiken zu bewerten und zu verwalten.

Wer ist betroffen?

Der erweiterte Anwendungsbereich von NIS2 bedeutet, dass ein breites Spektrum von Sektoren betroffen sein wird. Dazu gehören die Bereiche Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und -verteilung, digitale Infrastrukturen, Regierungen sowie die Luft- und Raumfahrtindustrie. Mittlere und große Unternehmen in diesen Sektoren müssen die Einhaltung der neuen Richtlinie ab dem 17. Oktober 2024 sicherstellen.

Mögliche Geldstrafen und Bußgelder

Die Nichteinhaltung der NIS-2-Richtlinie kann zu erheblichen Geldstrafen führen. Organisationen, die die geforderten Standards nicht einhalten oder Vorfälle nicht umgehend melden, können mit Strafen von bis zu 10 Millionen Euro oder 2 % ihres weltweiten Jahresumsatzes belegt werden. Diese strengen Strafen machen deutlich, wie wichtig es ist, die Richtlinie einzuhalten, um finanzielle und rufschädigende Nachteile zu vermeiden.

Nicht in der EU?

Auch diejenigen, die nicht in der EU ansässig sind, sind von NIS2 betroffen. Wenn Ihre Organisation in oder mit einer EU-Einheit tätig ist, unterliegen Sie diesen Vorschriften – und den daraus resultierenden Strafen bei Nichteinhaltung.