Network and Information Security Directive (NISD)

Definition des Begriffs

NISD bezeichnet die Network and Information Security Directive, offiziell Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union. Die Richtlinie trat am 8. August 2016 in Kraft und musste bis zum 9. Mai 2018 in nationales Recht umgesetzt werden. Sie schuf erstmals einen unionsweiten Mindeststandard für Cybersicherheit, Sicherheitsmaßnahmen, Meldung erheblicher Störungen und behördliche Zusammenarbeit. Die NISD wurde mit Wirkung zum 18. Oktober 2024 durch die NIS-2-Richtlinie ersetzt.

Einordnung der Relevanz

Die NISD war der erste horizontale EU-Rechtsakt für Netz- und Informationssicherheit. Sie ergänzte sektorale Vorgaben und bildete die Grundlage für nationale IT-Sicherheitsgesetze, Computer Security Incident Response Teams und Kooperationsstrukturen zwischen den Mitgliedstaaten. Für den Finanzmarkt war sie relevant, weil Bankwesen und Finanzmarktinfrastrukturen zu den erfassten wesentlichen Diensten zählen konnten. Spätere Regelwerke wie NIS-2 und DORA bauten auf dem Ziel auf, digitale Resilienz, Vorfallmanagement und Aufsicht über kritische Dienste zu stärken. Damit prägte die Richtlinie auch spätere Diskussionen über Drittparteienrisiken und operative Kontinuität.

Betroffene

Die Richtlinie betraf Betreiber wesentlicher Dienste und Anbieter digitaler Dienste. Betreiber wesentlicher Dienste wurden von den Mitgliedstaaten in Sektoren wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitaler Infrastruktur identifiziert. Anbieter digitaler Dienste umfassten Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste. Kleine und Kleinstunternehmen konnten im Bereich digitaler Dienste ausgenommen sein.

Anforderungen und Pflichten

1. Nationale Cybersicherheitsstrukturen
   a. nationale Strategien für Netz- und Informationssicherheit;
   b. Benennung zuständiger Behörden und zentraler Kontaktstellen;
   c. Einrichtung oder Benennung von CSIRTs.
2. Sicherheits- und Meldepflichten
   a. angemessene technische und organisatorische Maßnahmen;
   b. Prävention und Begrenzung von Auswirkungen auf Dienste;
   c. Meldung erheblicher Sicherheitsvorfälle an zuständige Stellen.
3. Zusammenarbeit
   a. Kooperationsgruppe für strategischen Informationsaustausch;
   b. CSIRT-Netzwerk für operative Zusammenarbeit;
   c. unionsweite Abstimmung bei grenzüberschreitenden Vorfällen.

Weitere Informationen

Die NISD war eine Richtlinie und erforderte nationale Umsetzung. Dadurch unterschieden sich Anwendungsbereich, Behördenzuständigkeit und Sanktionen zwischen Mitgliedstaaten. Die NIS-2-Richtlinie erweiterte den Kreis betroffener Einrichtungen, präzisierte Risikomanagementpflichten, stärkte Meldeverfahren und verschärfte Aufsicht sowie Durchsetzung.

Weiterführende Details, regulatorische Vorgaben und Methodikbeschreibungen finden Sie auf Regupedia: www.regupedia.de