Häufig gestellte Fragen (FAQ)

• Welche Arten von Unternehmen müssen die NIS 2-Auflagen einhalten?

  Die NIS 2-Richtlinie betrifft Unternehmen aller Größenordnungen. Der Standard kategorisiert Unternehmen in zwei Gruppen: Systemrelevante Einrichtungen und wichtige Einrichtungen.

  Systemrelevante Einrichtungen sind Sektoren von besonderer Bedeutung – wie etwa der Energiesektor (Strom, Öl, Gas usw.), der Verkehrssektor (Luft-, Schienen-, Wasser- und Straßenverkehr), das Bankwesen, Finanzmarktinfrastrukturen, das Gesundheitswesen, digitale Infrastrukturen (IXPs, DNS-Dienstleister, TLD-Namensregister, Cloud-Computing-Dienstleister, Datacenter) und die öffentliche Verwaltung.

  Wichtige Einrichtungen sind andere bedeutende Branchen wie Post- und Kurierdienste, Abfallwirtschaft, chemische Industrie, Lebensmittelproduktion, Fertigung (bestimmter kritischer Produkte), digitale Provider (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschungseinrichtungen.

• Wie wirkt sich NIS 2 auf Managed Service Provider (MSPs) aus?

  NIS 2 bezieht MSPs ausdrücklich in seinen Geltungsbereich ein und erkennt damit ihre entscheidende Rolle in der Lieferkette systemrelevanter Dienstleistungen an. Das bedeutet, dass für MSPs, die in der EU tätig sind (oder Dienstleistungen für EU-Kund:innen erbringen), folgende Anforderungen gelten:

  • Sie müssen die von der Richtlinie vorgeschriebenen Sicherheitsmaßnahmen einhalten.
  • Sie müssen solide Cyber Security-Maßnahmen implementieren, darunter zuverlässige Backup- und Wiederherstellungsprozesse, Vorfallsreaktionspläne und Berichtserstattungsverfahren.
  • Sie müssen Risiken in der Lieferkette bewältigen können, indem sie ihre direkten Lieferanten und untergeordneten Auftragsverarbeiter bewerten und sicherstellen, dass auch diese die Sicherheitsstandards erfüllen.
  • Sie sollten ihren Kund:innen gegebenenfalls Compliance-bezogene Dienstleistungen anbieten, da viele Unternehmen auf die Hilfe von MSPs angewiesen sind, um die NIS-2-Anforderungen zu erfüllen.
  • Bei Nichteinhaltung drohen erhebliche Strafen, ähnlich wie bei anderen betroffenen Einrichtungen.

• Was sind die wichtigsten Cyber Security-Anforderungen gemäß NIS 2?

  NIS 2 schreibt umfassende Maßnahmen zum Management von Cyber Security-Risiken vor, die sich in vier Hauptbereiche unterteilen lassen:

  • Risikomanagement: Unternehmen müssen geeignete technische, betriebliche und organisatorische Maßnahmen umsetzen — wie etwa Richtlinien zur Risikoanalyse, zur Sicherheit von Informationssystemen, zur Handhabung von Vorfällen, zur Geschäftskontinuität, zur Sicherheit der Lieferkette, zur Sicherheit beim Erwerb/der Wartung von Netzwerken und Informationssystemen, zur Bewertung der Wirksamkeit von Cyber Security-Maßnahmen, zur grundlegenden Cyberhygiene, zu Cybersicherheitsschulungen, zur Verschlüsselung, zur Personalsicherheit, zu Zugangskontrollen, zum Asset Management und zur Multi-Faktor-Authentifizierung.
  • Unternehmerische Verantwortung: Die Führungskräfte sind verpflichtet, Maßnahmen zum Management von Cyber Security-Risiken zu genehmigen, zu überwachen und dafür haftbar zu sein. Außerdem müssen sie regelmäßig an Schulungen zum Thema Cyber Security teilnehmen.
  • Meldepflichten: Systemrelevante und wichtige Einrichtungen müssen über Prozesse verfügen, um Sicherheitsvorfälle mit erheblichen Auswirkungen unverzüglich melden zu können. Dazu gehören auch die Fähigkeiten zu „Frühwarnungen“ innerhalb von 24 Stunden, zu Erstbewertungen innerhalb von 72 Stunden und zur Erstellung eines Abschlussberichts innerhalb eines Monats.
  • Geschäftskontinuität: Die Organisationen müssen über Pläne verfügen, um die Geschäftskontinuität bei und nach größeren Cyber-Vorfällen sicherzustellen – wozu auch Systemwiederherstellungen, Notfallprozeduren und Krisenreaktionsteams gehören.

• Ist die Einhaltung der NIS-2-Vorschriften auch für kleine und mittlere Unternehmen verpflichtend?

  Im Allgemeinen nein. Für Klein- und Kleinstunternehmen (weniger als 50 Mitarbeiter:innen und weniger als 10 Millionen Euro Jahresumsatz) ist die Einhaltung der NIS 2-Vorschriften nicht verpflichtend.

  In bestimmten Ausnahmefällen kann dies jedoch auch für solche Unternehmen verpflichtend werden:

  • Wenn sie aufgrund ihres spezifischen Risikoprofils oder ihrer Kritikalität von einem Mitgliedstaat als „systemrelevante Einrichtung“ eingestuft werden, unabhängig von ihrer Größe.
  • Wenn sie Dienstleistungen erbringen, die für die Wirtschaft und Gesellschaft der EU als entscheidend angesehen werden, auch wenn sie klein sind.
  • Kleine und mittlere Unternehmen (KMU), die in die Kategorie der „wichtigen“ Einrichtungen fallen (in der Regel 50–250 Mitarbeiter:innen oder 10–50 Millionen Euro Jahresumsatz), fallen in den NIS 2-Geltungsbereich.

  Daher sind zwar die meisten Kleinst- und Kleinunternehmen ausgenommen, aber es ist für jedes Unternehmen (egal welcher Größe) von entscheidender Bedeutung, seine Rolle innerhalb wichtiger Lieferketten und seine direkten Einflüsse auf essenzielle Dienste zu bewerten, um festzustellen, ob NIS 2 auf das Unternehmen oder seine Kund:innen zutrifft.