Die Umsetzung in den Mitgliedsstaaten erwies sich insgesamt als schwierig, was dazu führte, dass die EU-Kommission sich veranlasst sah, Ende 2020 eine Überarbeitung der NIS-Richtlinie im Entwurf vorzunehmen, um durch die fortschreitende Digitalisierung und die damit in Zusammenhang stehende wachsende Bedrohungslage für kritische Infrastrukturen sowie die Zunahme von Cyberangriffen zu reagieren. Die vorgeschlagene Ausweitung des Geltungsbereichs der NIS 2.0, die mehr Einrichtungen und Sektoren dazu verpflichtet, Maßnahmen zur Absicherung zu ergreifen, würde dazu beitragen, das Niveau der Cybersicherheit in Europa langfristig zu erhöhen. Am 10.11.2022 hat das EU-Parlament dem Entwurf der NIS 2.0 Richtlinie zugestimmt (T9-0383/2022).
Änderungen in NIS 2.0
Änderungen bzw. Neuerungen der NIS 2.0 sind u. a.:
- Erweiterung der KRITIS-Sektoren und der betroffenen Unternehmen (Art.2 und 3)
- Sehr starke Erhöhung der Anzahl der betroffenen Unternehmen - Schwellenwerte durften in der Vergangenheit durch die Mitgliedstaaten festgelegt werden, was in Deutschland durch die hohen Schwellenwerte (abgeleitet aus der Anzahl versorgter Personen) je nach Sektor und Anlagenart realisiert wurde. Künftig werden die Schwellenwerte unternehmensgrößenbezogen durch die NIS Direktive vorgegeben, was künftig mittlere und große Unternehmen betreffen wird. Inwieweit bei nationaler Umsetzung der Richtlinie bei der Definition der Unternehmen, die schlussendlich in den Anwendungsbereich der NIS 2 Richtlinie national fallen, Erleichterung durch die Berücksichtigung der Verhältnismäßigkeit, des höherwertigen Risikomanagements und eindeutiger Kritikalitätskriterien Einfluss finden, bleibt abzuwarten. Die Größenordnung der NIS stellt sich derzeit wie folgt dar:
- Mittlere Unternehmen: 50 bis 250 Beschäftigte, 10 bis 50 Mio. Euro Umsatz, ‹ 43 Mio. Euro Bilanzsumme
- Große Unternehmen: mehr als 250 Beschäftigte, mehr als 50 Mio. Euro Umsatz, mehr als 43 Mio. Euro Bilanzsumme
- Erhöhung der Anzahl an Sektoren von Betreibern (sog. Entities) auf insgesamt 18. Hierbei ist zu differenzieren zwischen elf „essentiell“ (wesentlichen) sowie sieben „important“ (wichtigen) Sektoren.
- Die NIS 2.0 erweitert die KRITIS-Betreiber ebenfalls um den Sektor „Öffentliche Verwaltung“ (Regionale Regierung, Zentralregierung, Regionale Regierung (kritisch)) sowie weitere Industriezweige. Darüber hinaus sind Teilsektoren in der NIS-Richtlinie neu mit aufgenommen worden, bspw. im Bereich Energie Wasserstoff sowie Fernwärme und -kälte.
- Ausgewählte Sektoren (u. a. „Digitale Infrastruktur“) sollen unabhängig ihrer Größe reguliert werden.
- Sehr starke Erhöhung der Anzahl der betroffenen Unternehmen - Schwellenwerte durften in der Vergangenheit durch die Mitgliedstaaten festgelegt werden, was in Deutschland durch die hohen Schwellenwerte (abgeleitet aus der Anzahl versorgter Personen) je nach Sektor und Anlagenart realisiert wurde. Künftig werden die Schwellenwerte unternehmensgrößenbezogen durch die NIS Direktive vorgegeben, was künftig mittlere und große Unternehmen betreffen wird. Inwieweit bei nationaler Umsetzung der Richtlinie bei der Definition der Unternehmen, die schlussendlich in den Anwendungsbereich der NIS 2 Richtlinie national fallen, Erleichterung durch die Berücksichtigung der Verhältnismäßigkeit, des höherwertigen Risikomanagements und eindeutiger Kritikalitätskriterien Einfluss finden, bleibt abzuwarten. Die Größenordnung der NIS stellt sich derzeit wie folgt dar:
- Maßnahmen zur Optimierung der Cyber-Security
- Die Richtlinie gibt erstmals Mindestanforderungen an Cyber-Security vor (Art.20).
- Definition von 14 Cyber Security Maßnahmen, welche Betreiber in der EU umsetzen müssen, u. a. Supply Chain/Lieferkettenmanagement, Business Continuity, Authentification Management, Kryptographie (Art.21).
- Kritische Betreiber von digitalen Diensten und Infrastrukturen müssen sich bei der ENISA registrieren (Art.25).
- Jeder Mitgliedsstaat muss Anbieter von essentiell und important Entities an die EU-Kommission melden (Art, 3).
- Erhöhung der Sanktionen (Maximalstrafen in Höhe von 10 MIo. Euro oder 2 Promille des weltweiten Umsatzes bei Essential Sektoren und 7 Mio. Euro oder 1,4 Promille des weltweiten Umsatzes bei important Sektoren.
Ausblick
Das IT-SiG 2.0 nahm einige Anpassungen, wie bspw. die Meldung von Cybersicherheitsvorfällen innerhalb eines definierten Zeitraums, die Aufnahme weiterer Sektoren sowie erhöhte Cyber-Security Anforderungen, aus der NIS 2.0 bereits auf. Allerdings sind die Anforderungen noch nicht vollständig umgesetzt - bspw. spezifische festgelegte Maßnahmen im Bereich Lieferkettenmangement oder die Definition der Betroffenheit von großen und mittleren Unternehmen. Bei der Umsetzung in nationales Recht sind einige Vorgaben zu berücksichtigen - wie bspw. die Differenzierung zwischen den essentiell und important Entities, was es so in dem IT-SiG. 2.0 bisher nicht gab.
Nach Zustimmung zur NIS 2.0 Richtlinie ist das Inkrafttreten der Richtlinie, was bereits kurzfristig erfolgen wird, noch ausstehend. Ab diesem Zeitpunkt besteht dann eine verpflichtende Überführung in nationales Recht innerhalb von 21 Monaten.
