NIS 2
Die Richtlinie NIS-2 („Network and Information Security Directive 2“) ist die überarbeitete und erweiterte Fassung der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Sie wurde im Dezember 2022 verabschiedet und sollte von den Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden, in Österreich kam es jedoch zu Verzögerungen. Österreich setzt diese Vorgaben nun mit dem Netz- und Informationssystemsicherheitsgesetz 2026 um (NISG 2026) um, das am 01.10.2026 in Kraft treten wird. Ziel von NIS-2 ist es, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der Europäischen Union sicherzustellen. Während die erste NIS-Richtlinie noch relativ begrenzte Bereiche abdeckte, erweitert NIS-2 den Anwendungsbereich erheblich und bezieht nun eine Vielzahl zusätzlicher Branchen und Einrichtungen ein, darunter Energie, Verkehr, Gesundheit, Trinkwasserversorgung, Abwasserentsorgung, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt und zahlreiche private Unternehmen, die für das Funktionieren von Wirtschaft und Gesellschaft von hoher Relevanz sind. Ein zentrales Element von NIS-2 ist die Pflicht für Unternehmen, umfassende technische und organisatorische Maßnahmen zu implementieren, um Risiken für ihre Informationssicherheit zu minimieren. Dazu gehören unter anderem Maßnahmen zur Zugangskontrolle, zu Verschlüsselung, zu kontinuierlichem Monitoring sowie zur Sicherstellung von Business Continuity. Außerdem verlangt NIS-2 ein strukturiertes Meldewesen: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung gemeldet werden, gefolgt von einer detaillierten Meldung innerhalb von 72 Stunden. Darüber hinaus legt die Richtlinie großen Wert auf die Verantwortung der Unternehmensführung: Manager und Vorstände müssen für die Umsetzung und Einhaltung der Sicherheitsanforderungen persönlich sorgen und können im Falle von Pflichtverletzungen haftbar gemacht werden. Verstöße gegen die Richtlinie können mit empfindlichen Bußgeldern geahndet werden, die in ihrer Höhe vergleichbar mit denen der DSGVO sind. NIS-2 markiert somit einen Meilenstein in der europäischen Cybersicherheitsgesetzgebung, da sie Unternehmen unabhängig von Größe oder Branche zwingt, Informationssicherheit als zentrale Managementaufgabe zu betrachten.
