NIS-2-Richtlinie / Cybersicherheitsgesetz

Die NIS-2-Richtlinie der Europäischen Union oder auch „zweite Richtlinie zur Sicherung von Netz- und Informationssystemen“ schafft den Rahmen für ein EU-weites einheitliches Niveau zur Informationssicherheit.

Die Richtlinie ist eine Reaktion auf die zunehmende Bedrohungslage im Cyberbereich, die Risiken für Unternehmen und öffentliche Einrichtungen aller Größen erhöht. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert den Kreis der betroffenen Unternehmen, Behörden und Einrichtungen von ca. 6.500 auf ca. 30.000. Sie ist im Jahr 2023 in Kraft getreten und zwei Jahre später in deutsches (Bundes-)Recht durch das sogenannte Cybersicherheitsgesetz überführt worden.

Sie verlangt, dass die Mitgliedsstaaten der EU eigene nationale Cybersicherheitsstrategien erstellen, und außerdem, dass sie Einrichtungen für die Bearbeitung von Sicherheitsvorfällen schaffen. Zudem macht sie strengere und einheitliche Vorgaben für die IT-Sicherheit in Unternehmen und Behörden, um die Resilienz und Reaktion auf Cybervorfälle zu verbessern sowie Störungen kritischer Infrastrukturen zu verhindern und die Funktionsfähigkeit des Binnenmarktes zu stärken. Betroffen von der NIS-2-Richtlinie sind öffentliche und private Einrichtungen in den kritischen Sektoren wie beispielsweise Energie, Wasser, Verkehr und Gesundheit, die festgelegte Schwellenwerte überschreiten.

Die Umsetzung in Deutschland erfolgte durch das oben genannte „Cybersicherheitsgesetz“, ein Artikelgesetz, das eine Vielzahl verschiedener Gesetze an die Richtlinie anpasste, u.a. das BSI-Gesetz, aber auch z.B. die Personalausweisverordnung und das Atomgesetz. Die Richtlinie selbst hat keine unmittelbare Wirkung.

Die Umsetzung der NIS-2-Richtlinie in den Ländern und Kommunen für die öffentlichen Einrichtungen wird dezentral vorgenommen; dies wird auf der nächsten Seite dargestellt.