Netz- und Informationssicherheit (NIS)

Definition des Begriffs

NIS bezeichnet Netz- und Informationssicherheit im europäischen Regulierungsrahmen für Cybersicherheit. Der Begriff ist vor allem mit der Richtlinie (EU) 2016/1148, der ersten NIS-Richtlinie, und ihrer Nachfolgeregelung, der Richtlinie (EU) 2022/2555, NIS-2-Richtlinie, verbunden. Die NIS-2-Richtlinie trat am 16. Januar 2023 in Kraft und musste bis 17. Oktober 2024 in nationales Recht umgesetzt werden. Mit Wirkung zum 18. Oktober 2024 ersetzte sie die ursprüngliche NIS-Richtlinie. Ziel ist ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union durch Mindestvorgaben für Risikomanagement, Meldung erheblicher Sicherheitsvorfälle, Aufsicht und Zusammenarbeit der Mitgliedstaaten.

Einordnung der Relevanz

NIS bildet einen horizontalen Rahmen für Cybersicherheit in kritischen und wirtschaftlich wichtigen Sektoren. Der Rechtsakt ergänzt sektorale Regelwerke, etwa DORA für Finanzunternehmen, den Cybersecurity Act und nationale IT-Sicherheitsgesetze. Für den Finanzmarkt ist NIS relevant, soweit Institute, Marktinfrastrukturen, Zahlungsdienste, Dienstleister oder verbundene Lieferketten unter NIS-2 oder unter speziellere Vorgaben fallen. Die Richtlinie stärkt zugleich den europäischen Informationsaustausch über CSIRTs, zuständige Behörden und Kooperationsgruppen. Dadurch wird Cybersicherheit stärker als unionsweites Risiko für Marktstabilität, Dienstleistungskontinuität und Verbraucherschutz behandelt.

Betroffene

Erfasst werden wesentliche und wichtige Einrichtungen in zahlreichen Sektoren. Dazu zählen insbesondere Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung. Die konkrete Einordnung hängt von Sektor, Unternehmensgröße, Kritikalität und nationaler Umsetzung ab.

Anforderungen und Pflichten

1. Risikomanagementmaßnahmen
   a. technische, operative und organisatorische Sicherheitsmaßnahmen;
   b. Konzepte zu Risikoanalyse, Informationssicherheit, Vorfallbewältigung und Geschäftskontinuität;
   c. Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Schwachstellenmanagement.

2. Meldepflichten
   a. Frühwarnung bei erheblichen Sicherheitsvorfällen;
   b. Vorfallmeldung mit Bewertung von Schwere, Auswirkungen und Indikatoren;
   c. Abschlussbericht nach Analyse des Vorfalls.

3. Governance und Aufsicht
   a. Verantwortung der Leitungsorgane für Cybersicherheitsmaßnahmen;
   b. Schulungen, Überwachung und mögliche Sanktionen;
   c. behördliche Prüfungen, Auskunftsverlangen und Durchsetzungsmaßnahmen.

Weitere Informationen

Die Umsetzung erfolgt durch nationale Gesetze und zuständige Behörden. Technische Details können durch Leitlinien, Durchführungsrechtsakte und nationale Verwaltungspraxis konkretisiert werden. Für Finanzunternehmen ist die Abgrenzung zu DORA besonders wichtig, da DORA als spezielleres Regelwerk für digitale operationelle Resilienz viele ICT-Risikopflichten unmittelbar regelt.

Weiterführende Details, regulatorische Vorgaben und Methodikbeschreibungen finden Sie auf Regupedia: www.regupedia.de