NIS-2-Richtlinie

Die NIS-2-Richtlinie (EU 2022/2555) ist eine EU-Vorschrift zur Erhöhung der Cybersicherheit, insbesondere für kritische Infrastrukturen. NIS steht für Netzwerk- und Informationssicherheit. Die Richtlinie trat am 16. Januar 2023 in Kraft und ist bis Oktober 2024 in nationales Recht umzusetzen. Als Nachfolgerin der ersten NIS-Richtlinie von 2016 weitet NIS-2 den Geltungsbereich deutlich aus: Sie erstreckt sich nun auf 18 kritische Sektoren – darunter Energieversorgung, Gesundheitswesen und Transport – und bezieht auch viele mittelgroße Unternehmen in die Pflichten mit ein. Für viele Betriebe, die bislang nicht unter solche Regelungen fielen, bedeutet dies erstmals verbindliche IT-Sicherheitsauflagen. Ziel der Richtlinie ist es, ein einheitlich hohes Niveau an Netzwerk- und Informationssicherheit in der EU zu schaffen. Konkret verlangt NIS-2, dass betroffene Organisationen umfassende Maßnahmen zum Cyber-Risikomanagement ergreifen. Dazu zählen regelmäßige IT-Sicherheitsaudits, die Einführung von Notfallplänen (Incident Response) sowie technische und organisatorische Schutzvorkehrungen gegen Cyberangriffe. Außerdem gelten strenge Meldepflichten: Wesentliche IT-Sicherheitsvorfälle müssen innerhalb kurzer Fristen an die zuständigen Stellen gemeldet werden. Die Unternehmensleitung ist direkt für die Umsetzung verantwortlich und kann bei Verstößen haftbar gemacht werden. Es drohen hohe Geldbußen bei Nichteinhaltung. In Österreich erfordert die Umsetzung eine Anpassung des nationalen NIS-Gesetzes. Besonders Energieversorger und Netzbetreiber müssen künftig verstärkte Sicherheitsauflagen erfüllen, um die Stromversorgung vor Cyber-Bedrohungen zu schützen. Insgesamt markiert NIS-2 einen wichtigen Schritt hin zu mehr Resilienz und einheitlichen Cybersicherheitsstandards in Europa.