Directive (EU) 2022/2555 (NIS2)
NIS2-Checkliste zur Umsetzungsbereitschaft
Prüfpunkte für Organisationen, die unter die Richtlinie (EU) 2022/2555 fallen könnten, zu Anwendungsbereich, Governance, Risikomanagementmaßnahmen und Meldepflichten. Die nationalen Umsetzungsgesetze unterscheiden sich, daher jeden Punkt am Recht Ihres Mitgliedstaats prüfen.
1. Anwendungsbereich und Einstufung
Prüfen, ob Ihre Tätigkeiten unter einen in Anhang I oder Anhang II genannten Sektor oder Teilsektor fallen.
Art. 2, Annex I, Annex IIAnhang I nennt Sektoren mit hoher Kritikalität wie Energie, Verkehr, Bankwesen, Gesundheit und digitale Infrastruktur; Anhang II nennt sonstige kritische Sektoren wie Post, verarbeitendes Gewerbe und Anbieter digitaler Dienste.
Prüfen, ob Sie die Schwellenwerte für mittlere Unternehmen nach Empfehlung 2003/361/EG erreichen oder überschreiten.
Art. 2(1)Grundsätzlich gilt die Richtlinie für mittlere und größere Einrichtungen. Partner- und verbundene Unternehmen sind nach der Empfehlung einzurechnen.
Die Ausnahmen prüfen, nach denen Einrichtungen unabhängig von ihrer Größe erfasst werden.
Art. 2(2)Dazu gehören etwa Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter sowie einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat.
Feststellen, ob Sie eine wesentliche oder eine wichtige Einrichtung sind.
Art. 3(1), Art. 3(2)Die Einstufung bestimmt die Aufsichtsregelung und die Höchstbeträge der Geldbußen. Große Einrichtungen in Sektoren nach Anhang I sind in der Regel wesentlich, die meisten übrigen erfassten Einrichtungen wichtig.
Das nationale Umsetzungsgesetz zu NIS2 in jedem Mitgliedstaat Ihrer Tätigkeit ermitteln und dessen besondere Regeln prüfen.
Art. 41Die Mitgliedstaaten mussten ihre Umsetzungsmaßnahmen bis zum 17. Oktober 2024 erlassen und veröffentlichen und ab dem 18. Oktober 2024 anwenden; mehrere haben verspätet umgesetzt und der Stand ändert sich laufend, daher die auf EUR-Lex gelisteten nationalen Maßnahmen je Land prüfen. Mitgliedstaaten können über die Mindestvorgaben hinausgehen, daher können Anwendungsbereich, Fristen und Behörden abweichen. Unmittelbar gilt für Sie das nationale Gesetz, nicht die Richtlinie.
Sich bei der zuständigen Behörde registrieren oder bestätigen, dass Sie erfasst und gelistet sind.
Art. 3(3), Art. 3(4), Art. 26, Art. 27Die Mitgliedstaaten führen eine Liste der wesentlichen und wichtigen Einrichtungen. Bestimmte digitale Anbieter, darunter DNS-, TLD-, Domainregistrierungs-, Cloud-, Rechenzentrums- und CDN-Anbieter, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke, übermitteln ihre Angaben nach Art. 27 im Mitgliedstaat ihrer Hauptniederlassung (Art. 26) und müssen Änderungen binnen drei Monaten melden.
2. Governance
Die Risikomanagementmaßnahmen im Bereich der Cybersicherheit von den Leitungsorganen förmlich billigen und ihre Umsetzung überwachen lassen.
Art. 20(1)Die Billigung dokumentieren und regelmäßige Überprüfungen einplanen. Die Leitungsorgane können für Verstöße der Einrichtung gegen Art. 21 verantwortlich gemacht werden.
Sicherstellen, dass die Mitglieder der Leitungsorgane an Cybersicherheitsschulungen teilnehmen, und Beschäftigten regelmäßig entsprechende Schulungen anbieten.
Art. 20(2)Die Schulungen sollen ausreichende Kenntnisse vermitteln, um Risiken zu erkennen und Risikomanagementpraktiken sowie deren Auswirkungen auf die erbrachten Dienste zu bewerten.
3. Risikomanagementmaßnahmen im Bereich der Cybersicherheit
Geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes festlegen.
Art. 21(1), Art. 21(2)Stand der Technik, einschlägige Normen, Kosten, Risikoexposition, Größe sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen berücksichtigen. Auch physische Risiken einbeziehen, nicht nur Cyberbedrohungen.
Konzepte in Bezug auf die Risikoanalyse und die Sicherheit für Informationssysteme festlegen.
Art. 21(2)(a)Eine dokumentierte Risikobewertung der Netz- und Informationssysteme und ein daraus abgeleitetes Informationssicherheitskonzept pflegen.
Einen Prozess zur Bewältigung von Sicherheitsvorfällen einrichten.
Art. 21(2)(b)Festlegen, wie Sicherheitsvorfälle erkannt, analysiert, eingedämmt und behoben werden, wer zuständig ist und wie die Meldepflichten nach Art. 23 ausgelöst werden.
Die Aufrechterhaltung des Betriebs planen, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.
Art. 21(2)(c)Getestete Backups, dokumentierte Wiederherstellungsverfahren mit Wiederherstellungszielen und eine geübte Krisenorganisation vorhalten.
Die Sicherheit der Lieferkette steuern, einschließlich der Sicherheit der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
Art. 21(2)(d)Schwachstellen und Sicherheitspraktiken der Anbieter bewerten und Sicherheitsanforderungen vertraglich festlegen. Nach Art. 21(3) sind Produktqualität und sichere Entwicklungsverfahren der Anbieter zu berücksichtigen.
Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen gewährleisten, einschließlich Management und Offenlegung von Schwachstellen.
Art. 21(2)(e)Sichere Entwicklungspraktiken, Patch-Management und einen veröffentlichten Weg anwenden, über den Dritte Ihnen Schwachstellen melden können.
Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen im Bereich der Cybersicherheit festlegen.
Art. 21(2)(f)Interne Audits, Sicherheitstests und Kennzahlen nutzen und die Ergebnisse in die Risikobewertung zurückführen.
Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit umsetzen.
Art. 21(2)(g)Themen wie Updates, sichere Konfiguration, Umgang mit Passwörtern und Phishing-Erkennung abdecken und die Teilnahme an Schulungen nachverfolgen.
Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung festlegen.
Art. 21(2)(h)Zulässige Algorithmen, Schlüsselverwaltung und die Fälle festlegen, in denen Daten bei der Übertragung und im Ruhezustand zu verschlüsseln sind.
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen regeln.
Art. 21(2)(i)Ein Inventar der Anlagen führen, Zugriffe nach dem Prinzip der minimalen Rechte vergeben und regelmäßig prüfen sowie Ein-, Um- und Austritte geregelt abwickeln.
Gegebenenfalls Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gesicherte Notfallkommunikationssysteme einsetzen.
Art. 21(2)(j)MFA für Fern- und privilegierte Zugriffe durchsetzen, Sprach-, Video- und Textkanäle schützen und einen unabhängigen Kanal für den Einsatz während eines Vorfalls bereithalten.
Als DNS-, TLD-, Cloud-, Rechenzentrums- oder CDN-Anbieter, Anbieter verwalteter Dienste oder verwalteter Sicherheitsdienste, Online-Marktplatz, Suchmaschine, Plattform für soziale Netzwerke oder Vertrauensdiensteanbieter die technischen Anforderungen der Durchführungsverordnung (EU) 2024/2690 prüfen.
Art. 21(5), Art. 23(11)Ihr Anhang legt die technischen und methodischen Anforderungen an jede Maßnahme nach Art. 21(2)(a) bis (j) fest, und die Artikel 3 bis 14 bestimmen, wann ein Sicherheitsvorfall für diese Einrichtungen erheblich ist.
4. Meldepflichten
Kriterien festlegen, anhand derer ein erheblicher Sicherheitsvorfall erkannt wird.
Art. 23(3)Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt.
In der Lage sein, binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung an das CSIRT oder die zuständige Behörde zu übermitteln.
Art. 23(4)(a)Angeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte.
Binnen 72 Stunden nach Kenntniserlangung eine Meldung über den Sicherheitsvorfall übermitteln.
Art. 23(4)(b)Die Frühwarnung aktualisieren und eine erste Bewertung von Schweregrad und Auswirkungen sowie, soweit verfügbar, Kompromittierungsindikatoren angeben. Vertrauensdiensteanbieter müssen Vorfälle mit Auswirkungen auf ihre Vertrauensdienste binnen 24 Stunden melden.
Auf Ersuchen einen Zwischenbericht und spätestens einen Monat nach der Meldung einen Abschlussbericht vorlegen.
Art. 23(4)(c)-(e)Der Abschlussbericht enthält eine ausführliche Beschreibung, die wahrscheinliche Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen. Dauert der Vorfall an, ist ein Fortschrittsbericht und der Abschlussbericht binnen eines Monats nach seiner Behandlung vorzulegen.
Vorbereitet sein, die Empfänger Ihrer Dienste gegebenenfalls über erhebliche Sicherheitsvorfälle und erhebliche Cyberbedrohungen zu unterrichten.
Art. 23(1), Art. 23(2)Bei erheblichen Cyberbedrohungen die betroffenen Empfänger über mögliche eigene Abhilfemaßnahmen und gegebenenfalls über die Bedrohung selbst informieren.
5. Zertifizierung, Normen und Aufsicht
Prüfen, ob Ihr Mitgliedstaat zertifizierte IKT-Produkte, -Dienste oder -Prozesse nach europäischen Schemata für die Cybersicherheitszertifizierung vorschreibt.
Art. 24Wo vorgeschrieben, zertifizierte Komponenten zum Nachweis der Einhaltung von Teilen des Art. 21 einsetzen. Nach der Verordnung (EU) 2019/881 angenommene Schemata verfolgen.
Ihre Maßnahmen an einschlägigen europäischen und internationalen Normen und technischen Spezifikationen ausrichten.
Art. 25Rahmenwerke wie ISO/IEC 27001 können Nachweise strukturieren, eine Zertifizierung danach belegt aber allein noch nicht die Einhaltung von NIS2.
Nachweise für Prüfungen, Audits und Informationsersuchen der zuständigen Behörde bereithalten.
Art. 32, Art. 33Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht mit regelmäßigen und gezielten Audits; wichtige Einrichtungen werden nachträglich beaufsichtigt, in der Regel bei Hinweisen auf Verstöße.
Die für Ihre Einstufung geltenden Höchstbeträge der Geldbußen kennen.
Art. 34(4), Art. 34(5)Bei Verstößen gegen Art. 21 oder Art. 23 beträgt das Höchstmaß mindestens: für wesentliche Einrichtungen 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen 7 Mio. EUR oder 1,4 %, je nachdem, welcher Betrag höher ist. Nationales Recht kann höhere Beträge vorsehen.
Diese Checklisten fassen die offiziellen Texte für Ihre Planung zusammen. Sie sind keine Rechtsberatung, und nationale Gesetze oder Leitlinien können weitere Anforderungen enthalten. Prüfen Sie den offiziellen Text, bevor Sie sich auf einen Punkt verlassen.
Alle ChecklistenPassende Leistung: Proaktive Cybersicherheitslösungen
Sollen wir uns Ihre Lücken ansehen?
Wir führen Gap-Analysen zu diesen Regelwerken durch und helfen, die Lücken zu schließen.