NIS2-Richtlinie

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ersetzt die NIS-Richtlinie von 2016, erweitert den Kreis der betroffenen Unternehmen deutlich und verpflichtet „wesentliche“ und „wichtige“ Einrichtungen zu einem dokumentierten Risikomanagement, zu Meldepflichten bei Sicherheitsvorfällen und zur Absicherung der Lieferkette. Die Mitgliedstaaten mussten die Richtlinie bis Oktober 2024 in nationales Recht umsetzen; in Österreich geschieht das über das Netz- und Informationssystemsicherheitsgesetz (NISG), in Deutschland über das NIS2-Umsetzungsgesetz. Maßgeblich ist der jeweilige nationale Rechtsstand.

Warum NIS2 wichtig ist

NIS2 betrifft nach Schätzungen der EU-Kommission über 100.000 Unternehmen in der EU, darunter viele mittelständische Betriebe, die bisher keiner Cybersecurity-Regulierung unterlagen. Betroffen sind 18 Sektoren, unter anderem Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (etwa Maschinenbau, Elektronik, Fahrzeugbau), digitale Dienste und Forschung. Als Faustregel gilt: mittlere Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem dieser Sektoren fallen darunter, in einigen Sektoren unabhängig von der Größe. Die Geschäftsleitung haftet für die Umsetzung; Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes bei wesentlichen Einrichtungen.

Was NIS2 verlangt

Artikel 21 nennt zehn Mindestmaßnahmen, darunter:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup und Krisenmanagement
• Sicherheit der Lieferkette, einschließlich der Beziehungen zu Zulieferern und Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Dazu kommen die Meldepflichten: Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.

So unterstützt blacklens.io die NIS2-Umsetzung

blacklens.io liefert die technischen Nachweise für mehrere Artikel-21-Maßnahmen: ein laufend aktualisiertes Asset-Inventar über externe, interne und Cloud-Systeme (Asset-Management), einen dokumentierten Schwachstellen-Workflow mit Priorisierung, Zuweisung und Retest (Schwachstellenmanagement), die Überwachung von Ransomware-Leak-Sites gegen Ihre Lieferanten-Watchlist (Lieferkette), die Erkennung fehlender MFA und phishing-resistenter Authentifizierung im Identitätsinventar (Zugriffskontrolle) sowie Darknet Monitoring für kompromittierte Zugangsdaten. Executive- und Schwachstellen-Reports lassen sich zeitgesteuert erzeugen und dienen als Nachweis gegenüber Auditoren und Behörden. Die Plattform ersetzt keine Organisationsmaßnahmen, Schulungen oder Notfallpläne, liefert aber die technische Datengrundlage dafür.

Bin ich von NIS2 betroffen?

Wenn Ihr Unternehmen in einem der 18 Sektoren tätig ist und mindestens 50 Mitarbeiter oder 10 Millionen Euro Jahresumsatz hat, sehr wahrscheinlich ja. Auch kleinere Unternehmen können betroffen sein, wenn sie als Zulieferer einer betroffenen Einrichtung vertraglich verpflichtet werden. Verbindliche Auskunft geben die nationalen Umsetzungsgesetze und die zuständige Behörde.

Reicht ein jährlicher Pentest für NIS2?

Nein. NIS2 verlangt ein laufendes Risikomanagement und ein Verfahren für den Umgang mit Schwachstellen, nicht eine punktuelle Prüfung. Ein Pentest ist ein sinnvoller Baustein zur Validierung, ersetzt aber weder das Inventar noch die kontinuierliche Überwachung.

Was hat die Lieferkette mit meiner IT-Sicherheit zu tun?

NIS2 verpflichtet Sie, Risiken bei Zulieferern und Dienstleistern zu bewerten. Wird ein Lieferant Opfer von Ransomware, können Ihre Daten betroffen sein oder Ihre Produktion stillstehen. Die Überwachung von Leak-Sites gegen eine Lieferanten-Watchlist macht solche Vorfälle sichtbar, oft bevor der Lieferant selbst informiert.