NIS-2

Das Netzsicherheitsgesetz zielt darauf ab, Unternehmen gegen die Folgen von Cyberkriminalität zu schützen, die in letzter Konsequenz die Sicherheit aller Bürger:innen betreffen können.
Die NIS-2-EU-Richtlinie ist am 16. Januar 2023 in Kraft getreten und muss von den EU-Mitgliedsstaaten bis zum 17. Oktober 2024 umgesetzt werden. Diese Richtlinie stellt die Nachfolgerin der 2016 verabschiedeten NIS-Richtlinie dar und verfolgt das Ziel, bestehenden regulatorischen Defiziten entgegenzuwirken. Von NIS-2 sind mehr Organisationen und Wirtschaftszweige als unter NIS-1 betroffen, auch die Sicherheitsanforderungen wurden erhöht, die Aufsichtsmaßnahmen erweitert und die Sanktionen bei Nichteinhaltung verschärft.

Betroffene Organisationen müssen Maßnahmen implementieren, die darauf abzielen, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen. Zusätzlich haben sie einen Prozess zur Meldung von Cybersicherheitsvorfällen einzuführen.

In den Anwendungsbereich von NIS-2 fallen öffentliche und private Einrichtungen, die den Sektoren mit hoher Kritikalität und sonstigen kritischen Sektoren zuzuordnen sind und gewisse finanzielle Schwellenwerte und Mitarbeiterzahlen überschreiten.
Konkret sind das mittlere (50-250 Beschäftigte, 10-50 Mio. Euro Umsatz, bis zu 43 Mio. Euro Bilanzsumme) und große (mehr als 250 Beschäftigte, mehr als 50 Mio. Euro Umsatz, mehr als 43 Mio. Euro Bilanzsumme) Unternehmen.

NIS-2-"Selbsttest" der WKO: 

wko.at Online-Ratgeber - Cybersicherheitsrichtlinie - NIS2 

Unabhängig von ihrer Größe können Unternehmen, die spezifische Dienstleistungen anbieten, unter die NIS-2 Regelung fallen:

• Vertrauensdienstanbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste
• TLD-Namenregister und DNS-Diensteanbieter, ausgenommen Betreiber von Root-Namenservern
• Unternehmen, die alleiniger Anbieter in einem Mitgliedstaat sind, welches essenziell für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten ist

Zu den Sektoren mit hoher Kritikalität gehören folgende:

• Energie (Elektrizitäts- und Gasversorgung, Ölraffinerien, Fernwärme, Fernkälte)
• Verkehr (Flughäfen, Flugverkehrskontrolle, Eisenbahnen, Straßenverkehr und Seehäfen)
• Finanzmarkt (Banken, Börsen, Zahlungsdienstleister und Versicherungen)
• Gesundheitswesen (Spitäler und Krankenhäuser inkl. Labore, Gesundheitsdienstleister, Pharmaindustrie, Medizintechnik)
• Digitale Infrastruktur
• Verwaltung von IKT-Diensten (B2B)
• Wasserversorgung
• Abwasserentsorgung
• öffentliche Einrichtungen des Bundes (Bundesministerien, Gerichtshöfe, Rechnungshof, Volksanwaltschaft, Präsidentschaftskanzlei, Parlamentsdirektion inkl. Organisationseinheiten und Infrastruktur)
• öffentliche Einrichtungen der Länder (Ämter der Landesregierung, Dienststellen der Länder und Gemeinden)
• Weltraum

Unter die Kategorie der sonstigen kritischen Sektoren fallen:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Lebensmittel (Vertrieb und Produktion)
• verarbeitendes/herstellendes Gewerbe
• Chemie (Herstellung und Handel)
• Anbieter digitaler Dienste (Plattformen für Dienste sozialer Netzwerke)
• Forschungseinrichtungen

Neben der Sektoren- und Größeneinteilung wird darüber hinaus zwischen wesentlichen und wichtigen Einrichtungen unterschieden. Bei der Umsetzung der geforderten Sicherheitsmaßnahmen spielt es keine Rolle, ob ein Unternehmen als wesentliche oder wichtige Einrichtung klassifiziert ist. Wesentliche Einrichtungen stehen jedoch unter strengerer Aufsicht und müssen bei Nicht-Einhaltung der NIS-2-Maßnahmen mit höheren Bußgeldern rechnen.

Unabhängig davon, ob Unternehmen als wesentlich oder wichtig im Sinne der NIS-2-Regelung gelten, müssen sie die geforderten Sicherheitsmaßnahmen umsetzen. Hinsichtlich der Aufsicht und der Sanktionen gibt es jedoch Unterschiede. Die Einhaltung des Risikomanagements muss von Leitungsorganen überwacht werden, die bei Verstößen verantwortlich gemacht werden können.

Unternehmen, die in den Anwendungsbereich von NIS-2 fallen, müssen die Vorschriften, die sich aus der Richtlinie bzw. aus den daraus folgenden nationalen Gesetzestexten ergeben, einhalten. Diese Vorschriften beziehen sich nicht nur auf den wesentlichen Dienst, sondern auf das gesamte Unternehmen:

• Erstellung von Risikoanalyse- und Informationssicherheitskonzepten
• Erkennung und Bewältigung von Sicherheitsvorfällen
• Personalsicherheit, Zugriffskontrollen und Management von Anlagen
• Backup- und Krisenmanagement
• Sicherheit der Lieferkette, einschließlich Unterauftragnehmern
• Implementierung von Cyberhygieneverfahren sowie Schulungen, Fort- und Weiterbildungen zur Cybersicherheit
• Einsatz von Kryptografie und Verschlüsselungstechnologie
• Lösungen für Multi-Faktor-Authentifizierungen oder kontinuierliche Authentifizierungen
• Verwendung von sicherer Sprach-, Video- und Textkommunikation

Unternehmen, die unter die NIS-2-Richtlinie fallen, müssen sich einerseits bei der zuständigen Behörde registrieren lassen. Anderseits sind diese bei Cybervorfällen, die eine schwerwiegende Betriebsstörung hervorrufen, gegenüber den Behörden meldepflichtig.

"Nach der Problemerkennung besteht ein 24-Stunden-Zeitfenster, in dem gemeldet werden muss, ob der Vorfall auf einer rechtswidrigen oder böswilligen Handlung beruht bzw. grenzübergreifende Auswirkungen haben kann (= Frühwarnung). Binnen 72 Stunden ist eine erste Einschätzung des Cybersicherheitsvorfalls abzugeben. Ein Monat nach der Meldung ist ein Zwischen- bzw. Abschlussbericht mit einer ausführlichen Beschreibung des Cybersicherheitsvorfalls zu übermitteln." nis.gv.at