NIS2 (NIS-2-Richtlinie) ist die EU-Richtlinie 2022/2555, die Maßnahmen festlegt, mit denen in der gesamten Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll, um das Funktionieren des Binnenmarkts zu verbessern.
Auf einen Blick
Nach Angabe des BSI fallen in Deutschland Unternehmen, die in bestimmten Sektoren tätig sind und gesetzlich festgelegte Schwellenwerte bei Mitarbeitern, Umsatz und Bilanz überschreiten, unter die BSIG-Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“.
Nach der NIS-2-Richtlinie wird mit der bloßen Meldung keine höhere Haftung der meldenden Einrichtung begründet; die Richtlinie richtet sich an die Mitgliedstaaten, für Einrichtungen in Deutschland gilt das BSIG.
Das Gesundheitswesen war bereits in Anhang II der Richtlinie (EU) 2016/1148 erfasst, die durch NIS2 mit Wirkung vom 18. Oktober 2024 aufgehoben wurde.
Was ist NIS2?
NIS2 ist als Richtlinie an die Mitgliedstaaten gerichtet: Nach Artikel 21 Absatz 1 stellen sie sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen. Die Richtlinie unterscheidet wesentliche und wichtige Einrichtungen; das deutsche BSIG verwendet dagegen die Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Pflichten der betroffenen Einrichtungen in Deutschland ergeben sich aus dem BSIG, etwa aus § 30 über technische und organisatorische Maßnahmen.
NIS2 ist die EU-Richtlinie, mit der in der Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll; für Versicherer ist das Verhältnis zu DORA wichtig: Soweit ein Versicherer überhaupt unter das BSIG fällt, gelten nach § 28 Absatz 6 BSIG für bestimmte Finanzunternehmen die §§ 30, 31, 32, 35, 36, 38 und 39 nicht; die Ausnahme betrifft diese einzelnen Vorschriften, nicht das BSIG insgesamt. Die Ausnahme betrifft Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 sowie Unternehmen, für die die Anforderungen dieser Verordnung aufgrund von § 293 Absatz 5 des Versicherungsaufsichtsgesetzes oder § 1a Absatz 2 und 2a des Kreditwesengesetzes gelten.
Wie wird NIS2 in Deutschland umgesetzt?
In Deutschland setzt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung die Richtlinie um; das BSI sprach bei der Verkündung von einer umfassenden Modernisierung des Cybersicherheitsrechts. Nach § 30 BSIG sind besonders wichtige Einrichtungen und wichtige Einrichtungen verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen.
Ein Sicherheitsvorfall gilt nach der Richtlinie unter anderem dann als erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann. Bei einem erheblichen Sicherheitsvorfall melden besonders wichtige Einrichtungen und wichtige Einrichtungen nach § 32 BSIG an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung, unverzüglich, spätestens jedoch innerhalb von 72 Stunden eine Meldung über den Sicherheitsvorfall und spätestens einen Monat nach Übermittlung dieser Meldung eine Abschlussmeldung, vorbehaltlich Absatz 2. Für beide Pflichten gilt die Ausnahme des § 28 Absatz 6 BSIG für bestimmte Finanzunternehmen.
NIS2 im Vergleich
| Kriterium | NIS2 | KRITIS | DORA |
|---|---|---|---|
| Grundlage | Richtlinie (EU) 2022/2555, an die Mitgliedstaaten gerichtet. | Nach § 28 BSIG gelten Betreiber kritischer Anlagen unter anderem als besonders wichtige Einrichtung. | Verordnung (EU) 2022/2554 für Finanzunternehmen nach Artikel 2 Absatz 2. |
| Wirkung auf Einrichtungen | Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen Maßnahmen ergreifen; die Richtlinie gilt unabhängig von der Größe auch für Einrichtungen, die nach Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden. | Nach § 28 BSIG gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtungen. | Nach § 28 Absatz 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und nicht für Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten. |
| Verhältnis zueinander | Sind die Anforderungen sektorspezifischer Rechtsakte der Union in ihrer Wirkung den Verpflichtungen der Richtlinie zumindest gleichwertig, finden die einschlägigen Bestimmungen der Richtlinie, einschließlich der Bestimmungen über Aufsicht und Durchsetzung in Kapitel VII, auf solche Einrichtungen keine Anwendung (Artikel 4). | Betreiber kritischer Anlagen gelten nach § 28 BSIG als besonders wichtige Einrichtungen; zusätzlich müssen sie nach § 31 BSIG Systeme zur Angriffserkennung einsetzen und die Umsetzung der Maßnahmen nach § 39 BSIG zu einem vom Bundesamt festgelegten Zeitpunkt und anschließend alle drei Jahre dem Bundesamt nachweisen (vorbehaltlich der Ausnahmen in § 28 BSIG). | Laut BSI sind von DORA betroffene Einrichtungen von weitergehenden Pflichten für besonders wichtige oder wichtige Einrichtungen nach BSIG ausgenommen. |
Woran erkenne ich, ob ein Unternehmen unter NIS2 fällt?
| Merkmal | Worauf es ankommt |
|---|---|
| Einrichtungsart und Größe nach der Richtlinie | Grundsätzlich gilt die Richtlinie für öffentliche oder private Einrichtungen der in Anhang I oder II genannten Art, die als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen überschreiten und ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben (Artikel 2); unabhängig von der Größe gilt sie unter anderem auch für Einrichtungen, die nach Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden. |
| Kategorien der Richtlinie | Einrichtungen der in Anhang I oder II aufgeführten Art, die nicht als wesentliche Einrichtungen gelten, gelten als wichtige Einrichtungen (Artikel 3); das BSIG nennt dagegen besonders wichtige Einrichtungen und wichtige Einrichtungen. |
| Betreiber kritischer Anlagen | Nach § 28 BSIG gelten als besonders wichtige Einrichtung unter anderem Betreiber kritischer Anlagen. |
| Schwellenwerte nach § 28 BSIG | Das BSI nennt Tätigkeit in bestimmten Sektoren und gesetzlich festgelegte Schwellenwerte für Mitarbeiter, Umsatz und Bilanz. In § 28 BSIG lauten sie für Einrichtungsarten der Anlage 1, die nach Absatz 1 Nummer 4 als besonders wichtige Einrichtungen gelten: mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro; für Einrichtungsarten der Anlagen 1 und 2, die nach Absatz 2 Nummer 3 als wichtige Einrichtungen gelten: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. |
| Ausnahme für Finanzunternehmen | Nach § 28 Absatz 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und nicht für Unternehmen, für die die Anforderungen dieser Verordnung aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten. |
Schutz im Ernstfall
Vorbeugen
- Nach Artikel 21 stellen die Mitgliedstaaten sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Maßnahmen ergreifen; zu den Maßnahmen zählt unter anderem die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
- Besonders wichtige Einrichtungen und wichtige Einrichtungen sind nach § 30 BSIG verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und deren Einhaltung zu dokumentieren; nach § 38 BSIG müssen ihre Geschäftsleitungen diese Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Nach § 28 Absatz 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und nicht für Unternehmen, für die die Anforderungen dieser Verordnung aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten.
- Nach der Richtlinie stellen die Mitgliedstaaten sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel verantwortlich gemacht werden können.
Was tun im Ernstfall
- Besonders wichtige Einrichtungen und wichtige Einrichtungen melden einen erheblichen Sicherheitsvorfall nach § 32 BSIG an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, die frühe Erstmeldung unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung; die Verpflichtung gilt frühestens ab Einrichtung des Meldewegs. Nach § 28 Absatz 6 BSIG gilt § 32 nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und nicht für Unternehmen, für die die Anforderungen dieser Verordnung aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten.
- Die frühe Erstmeldung gibt an, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte; die spätere Meldung bestätigt oder aktualisiert diese Angaben.
- Nach der NIS-2-Richtlinie wird mit der bloßen Meldung keine höhere Haftung der meldenden Einrichtung begründet; die Richtlinie richtet sich an die Mitgliedstaaten, für Einrichtungen in Deutschland gilt das BSIG.
Beispiele aus der Praxis
- Ein Unternehmen, das einer in Anhang I oder II der Richtlinie genannten Art angehört, als mittleres Unternehmen gilt oder die Schwellenwerte für mittlere Unternehmen überschreitet und seine Dienste in der Union erbringt, kann unter die Richtlinie fallen.
- Eine Einrichtung, die einer in Anlage 1 des BSIG bestimmten Einrichtungsart zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt, kann nach § 28 BSIG in den Anwendungsbereich fallen.
- Eine Einrichtung, die nach der Richtlinie (EU) 2022/2557 als kritische Einrichtung eingestuft wurde, kann unabhängig von ihrer Größe unter NIS2 fallen.
- Ein Versicherer kann von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen sein, wenn er ein Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 ist oder wenn für ihn die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten (§ 28 Absatz 6 BSIG).
