Stärkung der EU-weiten Cybersicherheit und Widerstandsfähigkeit
Das Richtlinie über Netzwerk- und Informationssicherheit (NIS2) zielt darauf ab, die Cybersicherheitskapazitäten von in Europa tätigen Organisationen zu verbessern. Die Richtlinie skizziert drei Hauptpfeiler, die Organisationen und Mitgliedstaaten dabei unterstützen werden, das Cybersicherheitsrisikomanagement zu verbessern, die Berichterstattung über Vorfälle zu verbessern und die grenzüberschreitende Kommunikation über Cyberbedrohungen und -maßnahmen zu erleichtern.
Der Europäische Rechnungshof veröffentlichte 2019 einen Brief in dem zehn Herausforderungen behandelt wurden, mit denen die EU bei der Schaffung einer Cybersicherheitspolitik für Europa konfrontiert ist. Eine der Herausforderungen betraf Lücken im EU-Recht und dessen ungleichmäßige Umsetzung. Durch NIS 2 werden einige der Lücken in NIS 1 wirksamer behoben, indem eine stärker präskriptive Version der ursprünglichen Richtlinie herausgegeben wird.
NIS 2 verbessert die vorherige NIS-Richtlinie, indem es die Messlatte für den Schutz kritischer Infrastrukturen in den EU-Ländern höher legt, die Anzahl der betroffenen Sektoren erweitert und Bußgelder für Verstöße festlegt.
Die drei Säulen der NIS-2-Richtlinie
Risikomanagement im Bereich Cybersicherheit
Organisationen müssen umfassende Risikomanagementmaßnahmen ergreifen. Dazu gehören die Durchführung regelmäßiger Risikobewertungen, die Umsetzung geeigneter Sicherheitsrichtlinien und die Sicherstellung, dass sowohl technische als auch organisatorische Maßnahmen zur Bewältigung und Minderung potenzieller Cybersicherheitsbedrohungen getroffen werden. Ziel ist es, einen proaktiven Cybersicherheitsansatz zu entwickeln, bei dem Risiken identifiziert und angegangen werden, bevor sie erheblichen Schaden anrichten können.
Meldung von Vorfällen
Die rechtzeitige und genaue Meldung von Cybersicherheitsvorfällen ist im Rahmen von NIS 2 von entscheidender Bedeutung. Unternehmen müssen wichtige Vorfälle umgehend den zuständigen Behörden melden, um sicherzustellen, dass die Reaktionen sowohl auf nationaler als auch auf EU-Ebene wirksam koordiniert werden können. In dieser Säule werden Transparenz und Rechenschaftspflicht betont, was dazu beiträgt, die Auswirkungen von Cybervorfällen zu mildern und eine Kultur der Wachsamkeit und Vorsorge zu fördern.
Teilen von Informationen
Die Richtlinie fördert einen verbesserten Informationsaustausch zwischen dem öffentlichen und dem privaten Sektor sowie zwischen verschiedenen Organisationen innerhalb desselben Sektors. Durch den Austausch von Bedrohungsinformationen, bewährten Verfahren und Erkenntnissen aus früheren Vorfällen können Unternehmen eine kollektive Abwehr gegen Cyberbedrohungen aufbauen. Dieser kollaborative Ansatz zielt darauf ab, die allgemeine Widerstandsfähigkeit zu verbessern und eine besser informierte und vernetzte Cybersicherheitsgemeinschaft zu schaffen.
Die Macht einer Richtlinie in der EU
In der EU gibt es verschiedene Arten von Gesetzgebungsakten, und die Unterschiede sind wichtig, um zu verstehen, wie sie angewendet und durchgesetzt werden.
NIS 2 ist eine EU vom Europäischen Parlament und vom Rat angenommene Richtlinie im November 2022 und gilt für Organisationen, die in Europa tätig sind.
Innerhalb der EU ist eine „Richtlinie“ ein Gesetzgebungsakt, der „ein Ziel festlegt, das die EU-Länder erreichen müssen“. Dies erfolgt im Rahmen des Umsetzungsprozesses, bei dem es sich um einen „Prozess der Umsetzung von EU-Richtlinien in das nationale Recht der EU-Mitgliedstaaten“ handelt.
Im Gegensatz zu einer Verordnung gilt eine Richtlinie nicht unmittelbar in allen Mitgliedstaaten. Vielmehr verpflichtet sie jeden Mitgliedstaat, die Maßnahmen der Richtlinie innerhalb einer bestimmten Frist in nationales Recht umzusetzen. Für NIS 2 ist die Frist für die Umsetzung der Richtlinie der 17. Oktober 2024.
Der Umsetzungsprozess wird von der Europäischen Kommission überwacht. Die Kommission wird bestätigen, dass jeder Mitgliedstaat die erforderliche Frist für die Umsetzung der neuen Richtlinie in nationales Recht eingehalten hat und dass der Text der neuen nationalen Rechtsvorschriften den Zielen der Richtlinie entspricht.
Wenn ein Mitgliedstaat die Umsetzungsfrist nicht einhält, kann die Kommission gegen den Mitgliedstaat eine Geldbuße oder eine Sanktion verhängen.
Während Regierungen in ganz Europa neue Gesetze ausarbeiten, bereiten sich Unternehmen, die in Europa in Sektoren tätig sind, die unter die Kategorien „wesentlich“ oder „wichtig“ der NIS-2-Richtlinie fallen, darauf vor, die auf dem Text der Richtlinie beruhenden Konformitätsanforderungen zu erfüllen.
.png)