Die NIS2-Richtlinie (bis Oktober 2024 in nationales Recht umzusetzen) erweitert den Umfang der Cybersicherheitspflichten in den EU-Mitgliedstaaten erheblich. KENSAI unterstützt wesentliche und wichtige Einrichtungen dabei, die Anforderungen von NIS2 Artikel 21 durch kontinuierliche Schwachstellenbewertungen zu erfüllen.
NIS2-Bewertung starten → Demo vereinbarenNIS2 erweitert den Anwendungsbereich von NIS1 drastisch und umfasst nun zwei Kategorien von Einrichtungen:
| Kategorie | Sektoren | Aufsicht |
|---|---|---|
| Wesentliche Einrichtungen | Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Wasser, digitale Infrastruktur, Verwaltung von ICT-Diensten, öffentliche Verwaltung, Weltraum | Proaktive Aufsicht; verpflichtende Audits |
| Wichtige Einrichtungen | Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter, Forschung | Reaktive Aufsicht; anlassbezogene Untersuchungen |
Größenschwellen: Gilt grundsätzlich für mittlere und größere Einrichtungen (≥50 Beschäftigte oder ≥10 Mio. € Umsatz). In einigen Sektoren (kritische Infrastruktur) gibt es keine Größenschwelle.
Artikel 21 verlangt „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“. Zu den zentralen Anforderungen für das Schwachstellenmanagement gehören:
Richtlinien zur Risikoanalyse einschließlich der systematischen Identifizierung von Schwachstellen in Systemen, die für die Erbringung wesentlicher Dienste eingesetzt werden.
Sicherheitsmaßnahmen während des gesamten Systemlebenszyklus, einschließlich Schwachstellenmanagement und Richtlinien zur Offenlegung von Schwachstellen.
Organisationen müssen über Verfahren verfügen, mit denen die Wirksamkeit der Maßnahmen zum Cybersicherheitsrisikomanagement bewertet wird. Sicherheitstests sind dabei der wichtigste technische Mechanismus.
Sicherheitsmaßnahmen zur Behandlung von Schwachstellen in der Lieferkette, einschließlich der Bewertung der Sicherheitspraktiken unmittelbarer Lieferanten und Dienstleister.
Wesentlichen Einrichtungen drohen maximale Bußgelder von 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gelten 7.000.000 € oder 1,4 % des weltweiten Umsatzes. NIS2 führt außerdem eine persönliche Haftung der Geschäftsleitung ein — leitende Führungskräfte können für Fahrlässigkeit, die zu NIS2-Verstößen führt, persönlich haftbar gemacht werden.
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat Umsetzungshinweise veröffentlicht, welche die technischen Anforderungen von NIS2 präzisieren. Die Erwartungen an das Schwachstellenmanagement umfassen:
Erkennt und inventarisiert automatisch alle ICT-Ressourcen, die an der Erbringung wesentlicher Dienste beteiligt sind — die Grundlage für NIS2-Compliance.
Konfigurieren Sie Häufigkeit und Tiefe der Scans entsprechend der Kritikalität der Ressourcen — Systeme für wesentliche Dienste werden häufiger und gründlicher getestet.
Das Management der externen Angriffsfläche von ICT-Lieferanten erfüllt die Anforderungen an die Sicherheit der Lieferkette gemäß NIS2 Artikel 21(2)(h).
NIS2 nimmt die Geschäftsleitung persönlich in die Haftung — KENSAI bietet Dashboards für Führungskräfte, die dem Vorstand Einblick in Schwachstellenrisiken geben.
Erstellen Sie prüfungsfertige Dokumentationen für Kontrollen durch die zuständige nationale Behörde — einschließlich Scanverlauf, Behebungsnachweisen und Richtliniendokumentation.
Verknüpfen Sie Schwachstellen mit der 24-Stunden-Meldepflicht für Sicherheitsvorfälle — erkennen Sie sofort, wenn eine Schwachstelle aktiv ausgenutzt wird.
| Aspekt | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Anwendungsbereich | Nur Betreiber wesentlicher Dienste | Wesentliche und wichtige Einrichtungen (zehnmal mehr Organisationen) |
| Sicherheitsmaßnahmen | Unpräzise „geeignete Maßnahmen“ | Konkrete Liste mit zehn Sicherheitsmaßnahmen |
| Aufsicht | Zurückhaltende nationale Ansätze | Harmonisierte, EU-weite proaktive Aufsicht |
| Bußgelder | Je nach Mitgliedstaat unterschiedlich | Harmonisierte Höchstbeträge (10 Mio. € / 2 % des Umsatzes) |
| Haftung der Geschäftsleitung | Nicht festgelegt | Persönliche Haftung von Führungskräften |
| Lieferkette | Nicht vorgeschrieben | Ausdrücklich vorgeschrieben |
Aufgrund der persönlichen Haftung der Geschäftsleitung und Bußgeldern von bis zu 2 % des weltweiten Umsatzes ist NIS2-Compliance ein Thema für die oberste Führungsebene. KENSAI bietet das automatisierte Schwachstellenmanagement und die Dokumentation, die erforderlich sind, um gegenüber den zuständigen nationalen Behörden die NIS2-Compliance nachzuweisen.
NIS2-Compliance starten → Mit einem NIS2-Experten sprechen