Nach dem Lesen können Sie klären, ob NIS2 für Sie gilt und welche Pflichten daraus folgen.
Definition
Sie ersetzt die erste NIS-Richtlinie und gilt über nationale Gesetze, die bis zum 17. Oktober 2024 fällig waren. Da jeder Mitgliedstaat sein eigenes schreibt, unterscheiden sich die Einzelheiten von Land zu Land.
Die Anhänge I und II listen die Sektoren auf, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Lebensmittel und die Herstellung bestimmter Waren. Einrichtungen gelten als wesentlich oder wichtig, eine Unterscheidung, die vor allem die Aufsicht und die Höchstbußgelder betrifft.
Warum es wichtig ist
Artikel 20 bringt das Thema in die Leitungsebene. Das Leitungsorgan muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen, und es kann für Versäumnisse haftbar gemacht werden.
Artikel 34 setzt die Obergrenze der Bußgelder auf mindestens 10 Millionen € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen € oder 1,4 % für wichtige.
Wie es funktioniert
Beginnen Sie beim Anwendungsbereich: Ihr Sektor, Ihre Größe und Ihr nationales Gesetz. In der Regel erfasst die Richtlinie mittlere und große Unternehmen, während bestimmte Einrichtungen unabhängig von ihrer Größe darunter fallen. Registrieren Sie sich bei der nationalen Behörde, wo das Gesetz es verlangt.
Setzen Sie dann die Maßnahmen nach Artikel 21 um, die einem gefahrenübergreifenden Ansatz folgen und dem Risiko angemessen sein sollen.
Organisieren Sie schließlich die Meldungen nach Artikel 23: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
Ein Praxisbeispiel
Ein Lebensmittelhersteller mit 300 Beschäftigten findet Herstellung und Vertrieb von Lebensmitteln in Anhang II und schließt daraus, dass er eine wichtige Einrichtung ist. Seine Geschäftsleitung billigt die Maßnahmen und nimmt an der Schulung teil.
Sein Vorfallprozess erhält zwei Dinge: eine benannte Person, die entscheidet, ob ein Vorfall erheblich ist, und die Kontaktdaten des nationalen CSIRT.
Bewährte Praktiken
- Lesen Sie neben der Richtlinie auch das nationale Gesetz, denn Fristen und Registrierung unterscheiden sich.
- Üben Sie die 24-Stunden-Frühwarnung. Sie ist kürzer, als sie klingt, wenn die ersten Stunden damit vergehen, zu verstehen, was passiert ist.
- Wenn Sie bereits ISO/IEC 27001 umsetzen, bauen Sie darauf auf und prüfen Sie, was fehlt.
Häufige Fehler
- Anzunehmen, wer nicht unter die erste NIS-Richtlinie fiel, falle auch nicht unter NIS2. Der Anwendungsbereich ist deutlich gewachsen.
- Das Thema der IT zu überlassen, obwohl die Haftung bei der Leitung liegt.
- Es zu ignorieren, weil man selbst nicht betroffen ist. Betroffene Kunden geben ihre Anforderungen per Vertrag weiter.
- Bis zu einem Vorfall zu warten, um herauszufinden, wer ihn meldet.
Fragen
- Gilt NIS2 für kleine Unternehmen?
- In der Regel nicht, aber Artikel 2 bezieht bestimmte Einrichtungen unabhängig von ihrer Größe ein, etwa manche Anbieter digitaler Infrastruktur oder den einzigen Anbieter eines kritischen Dienstes.
- Was unterscheidet wesentliche von wichtigen Einrichtungen?
- Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht und höheren Höchstbußgeldern. Wichtige Einrichtungen werden vor allem nachträglich beaufsichtigt. Die Maßnahmen sind dieselben.
- Reicht ISO 27001 für NIS2?
- Sie deckt einen großen Teil von Artikel 21 ab. Meldefristen für Vorfälle, Registrierung und nationale Regeln brauchen dennoch eigene Aufmerksamkeit.
- Gibt es ein offizielles NIS2-Zertifikat?
- Die Richtlinie schafft kein allgemeines Zertifikat. Die Mitgliedstaaten können bestimmte europäische Zertifizierungsschemata vorschreiben.
- Was gilt nach NIS2 als erheblicher Vorfall?
- Nach Artikel 23 einer, der schwere Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder anderen erheblichen Schaden zufügt.