Mit Inkrafttreten der NIS-2-Durchführungsverordnung (EU) 2024/2690 am 7. November 2024 wird ein wesentlicher Aspekt der NIS-2-Richtlinie implementiert. Mit der neuen Verordnung definiert die EU-Kommission verbindliche Mindestanforderungen an Risikomanagementmaßnahmen und legt fest, ab wann ein Sicherheitsvorfall als erheblich gilt.
Die Verordnung richtet sich ausschließlich an spezifische Anbieter digitaler Dienste und Infrastrukturen, darunter:
- Anbieter von DNS-Diensten und TLD-Namenregistern
- Anbieter von Cloud-Computing- und Rechenzentrumsdiensten
- Betreiber von Inhaltszustellnetzen
- Anbieter von verwalteten Diensten (MSP) und Sicherheitsdiensten (MSSP)
- Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerkplattformen
- Vertrauensdiensteanbieter
Andere Sektoren unterliegen nicht den Bestimmungen dieser Verordnung.
Neue Anforderungen an das Risikomanagement
Gemäß der NIS-2-Durchführungsverordnung werden von den betroffenen Unternehmen umfangreiche Risikomanagementmaßnahmen gefordert, zu denen folgende Punkte zählen:
- Regelmäßige Risikobewertungen, um potenzielleSicherheitsrisiken frühzeitig zu erkennen
- Implementierung technischer und organisatorischer Sicherheitsmaßnahmen, die auf den identifizierten Risiken basieren
- Dokumentation und Nachverfolgbarkeit der Risikomanagementprozesse und der ergriffenen Maßnahmen
- Schulungen und Sensibilisierung des Personals, um Sicherheitsbewusstsein zu fördern
Die genannten Anforderungen sind auf europäischen und internationalen Standards begründet und zielen darauf ab, Unternehmen bei der Bewältigung zunehmender Sicherheitsherausforderungen zu unterstützen. Ein Sicherheitsvorfall wird als erheblich eingestuft, wenn er kritische Dienste stört oder die Vertraulichkeit, Integrität oder Verfügbarkeit von Netz- und Informationssystemen erheblich gefährdet. Die spezifischen Kriterien, wie etwa die Dauer eines Ausfalls oder die Anzahl der betroffenen Nutzer:innen, können je nach Branche und Art des Dienstes variieren.
Die unmittelbar geltende Verordnung bedarf einer nationalen Ausgestaltung, die in Deutschland durch das BSI im Rahmen des geplanten NIS-2-Umsetzungsgesetzes erfolgen wird. Gegenstand dieser weiteren Konkretisierungen werden insbesondere die Präzisierung der Kriterien sein, anhand derer bestimmt wird, welche Vorfälle gemäß § 2 Abs. 11 Nis2UmsuCG als erheblich zu betrachten sind.
