Die EU Network & Information Security Directive (NIS2) ist ein umfassendes regulatorisches Rahmenwerk zur Verbesserung der Cybersicherheit und -resilienz kritischer Infrastrukturen innerhalb der Europäischen Union. NIS2 baut auf der ursprünglichen NIS-Richtlinie auf, erweitert ihren Geltungsbereich, um mehr Sektoren abzudecken, und legt strengere Sicherheitsanforderungen fest. Es verpflichtet Organisationen, robuste Cybersicherheitsmaßnahmen umzusetzen, bedeutende Vorfälle zu melden und einen wirksamen Risikomanagement sicherzustellen, um sich vor Cyberbedrohungen zu schützen. Ziel der Richtlinie ist es, ein hohes gemeinsames Maß an Cybersicherheit in der EU zu schaffen und den Schutz von wichtigen Diensten und kritischer Infrastruktur zu verbessern.

The key requirements of the Network & Information Security Directive (NIS2) include:

1. Erweiterter Anwendungsbereich: Die NIS2 deckt zusätzlich zu den von der ursprünglichen NIS-Richtlinie erfassten Sektoren ein breiteres Spektrum an Sektoren ab, darunter das Gesundheitswesen, die digitale Infrastruktur, die öffentliche Verwaltung und den Lebensmittelsektor.
2. Risikomanagement und Sicherheitsmassnahmen: Organisationen müssen solide Risikomanagementpraktiken und Sicherheitsmassnahmen zum Schutz ihrer Netzwerke und Informationssysteme einführen. Dazu gehören Maßnahmen zur Prävention, Erkennung und Reaktion auf Cyber-Bedrohungen.
3. Meldung von Vorfällen: Unternehmen müssen bedeutende Vorfälle im Bereich der Cybersicherheit innerhalb von 24 Stunden nach ihrer Entdeckung den zuständigen Behörden melden. Dies gewährleistet eine rechtzeitige Reaktion und Koordinierung, um die Auswirkungen zu mildern.
4. Sicherheit der Lieferkette: Unternehmen müssen die mit ihren Lieferketten und Dienstleistern verbundenen Risiken kontrollieren und sicherstellen, dass auch Dritte die Sicherheitsstandards einhalten.
5. Governance und Rechenschaftspflicht: Die NIS2 schreibt vor, dass Organisationen eine verantwortliche Person oder ein Team für Cybersicherheit innerhalb ihrer Geschäftsleitung benennen, um Rechenschaftspflicht und wirksame Aufsicht zu gewährleisten.
6. Sanktionen und Durchsetzung: Die Richtlinie sieht strengere Strafen für die Nichteinhaltung der Vorschriften vor, einschließlich erheblicher Geldstrafen, um die Einhaltung der Anforderungen zu gewährleisten.
7. Zusammenarbeit und Informationsaustausch: Die NIS2 fördert die verstärkte Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten, den zuständigen Behörden und den Beteiligten, um die kollektive Widerstandsfähigkeit im Bereich der Cybersicherheit zu verbessern.

Diese Anforderungen zielen darauf ab, die allgemeine Cybersicherheit kritischer Infrastrukturen und grundlegender Dienste in der gesamten Europäischen Union zu verbessern und eine koordinierte und robuste Verteidigung gegen sich entwickelnde Cyberbedrohungen zu gewährleisten.

Die NIS2-Richtlinie betont die Überwachung und Durchsetzung durch zuständige Behörden und schafft einen klaren Rahmen für diese Aktivitäten in den Mitgliedstaaten. Sie spezifiziert Aufsichtsmaßnahmen wie regelmäßige Audits, Vor-Ort- und Off-Site-Checks, Informationsanfragen und Zugang zu Dokumenten oder Beweisen, um eine effektive Einhaltung sicherzustellen.

NIS2 unterscheidet zwischen Überwachungsregimes bei wesentlichen und wichtigen Einrichtungen, um Verpflichtungen auszugleichen. Es führt auch einen konsistenten Rahmen für Sanktionen in der EU ein, der Mindestverwaltungsgelder für Verstöße gegen Cybersicherheitsrisikomanagement- und Berichtspflichten auflistet. Diese Sanktionen umfassen verbindliche Anweisungen, Aufforderungen zur Umsetzung von Sicherheitsaudit-Empfehlungen, Aufforderungen zur Einhaltung von NIS-Anforderungen und Verwaltungsgelder.

Bei Geldstrafen setzt NIS2 höhere Strafen für wesentliche Einrichtungen fest, mit einem Höchstbetrag von 10.000.000 € oder 2% des weltweiten Jahresumsatzes und bei wichtigen Einrichtungen mit einem Höchstbetrag von 7.000.000 € oder 1,4% des weltweiten Jahresumsatzes. Die zuständigen Behörden müssen die Einzelheiten jedes Falles, einschließlich Art und Schwere der Verstöße und entstandener Schäden, berücksichtigen. Zusätzlich hält NIS2 das Senior Management von abgedeckten Einrichtungen für Cybersicherheitsmaßnahmen verantwortlich.

IS2 wirkt sich auf kleine und mittlere Unternehmen (KMU) aus, da sie dazu verpflichtet sind:

1. Einhaltung von Cybersicherheitsstandards, wenn sie in kritischen Sektoren tätig sind.
2. Umfassende Risikomanagement-Praktiken einzuführen.
3. Wesentliche Vorfälle im Bereich der Cybersicherheit innerhalb von 24 Stunden zu melden.
4. Verwaltung der Risiken für die Cybersicherheit in der Lieferkette.
5. Bereitstellung von Ressourcen für Compliance- und Sicherheitsmassnahmen.

Die NIS2 ist zwar eine Herausforderung, zielt aber darauf ab, die allgemeine Widerstandsfähigkeit von KMU im Bereich der Cybersicherheit zu verbessern. Die Mitgliedstaaten können den KMU bei der Erfüllung dieser Anforderungen Unterstützung und Anleitung bieten.

Die Frist für EU-Mitgliedsstaaten, die Richtlinie über Netzwerk- und Informationssicherheit (NIS2) in nationales Recht umzusetzen, läuft am 17. Oktober 2024 ab. Bis zu diesem Datum muss jeder Mitgliedsstaat die notwendigen gesetzlichen und regulatorischen Maßnahmen verabschiedet haben, um sicherzustellen, dass die Richtlinie auf nationaler Ebene umgesetzt wird. Für Organisationen läuft die Frist zur Einhaltung der NIS2-Anforderungen am 18. Oktober 2024 ab. Das bedeutet, dass Organisationen innerhalb der EU die nationalen Umsetzungen bis zum 17. Oktober 2024 einhalten müssen. Organisationen sollten frühzeitig mit ihren Compliance-Bemühungen beginnen, um sich sowohl an die nationalen Vorschriften als auch an den gesamten NIS2-Rahmen bis zu diesen Fristen anzupassen.

Unsere GRC-Toolbox bietet robuste Funktionen, die entwickelt wurden, um eine nahtlose NIS2-Konformität für Ihre Organisation zu gewährleisten. Diese skalierbare Lösung ermöglicht ein proaktives Management und eine Minderung von Cybersicherheitsrisiken durch einen fortschrittlichen, datengesteuerten Ansatz. Durch Erfassung und Analyse von Daten im gesamten Unternehmen bietet sie einen dynamischen und umfassenden Überblick über potenzielle Bedrohungen und Schwachstellen. Im Falle eines Cybersicherheitsvorfalls rationalisiert Swiss GRC den gesamten Vorfalldaten-Management-Prozess und gewährleistet die Einhaltung der strengen 24-Stunden-Berichterstattungsvorschriften von NIS2. Es erleichtert eine schnelle Reaktion, um Ausfallzeiten und Schwere zu minimieren, und unterstützt eine gründliche Ursachenanalyse, um Rückfälle zu vermeiden. Die GRC-Toolbox verbessert auch Ihr Cybersicherheits-Framework, indem sie bei der Entwicklung und Durchsetzung von Richtlinien unterstützt, das Risiko von Lieferketten verwaltet und regelmässige Audits durchführt, um eine kontinuierliche Konformität aufrechtzuerhalten und die allgemeine Cyber-Resilienz zu stärken.