Die NIS2-Richtlinie,
verständlich erklärt

NIS2 ist die Richtlinie (EU) 2022/2555 — das Rahmenwerk der Europäischen Union für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union. Sie ersetzt die ursprüngliche Richtlinie zur Netz- und Informationssicherheit von 2016 (NIS1), die weit weniger Organisationen erfasste und grosse Unterschiede liess, wie die Mitgliedstaaten sie anwendeten. NIS2 ist die Antwort der EU auf ein Jahrzehnt wachsender Angriffe auf die Dienste, von denen Wirtschaft und Gesellschaft abhängen.

Entscheidend zu verstehen ist, dass NIS2 eine Richtlinie ist, keine Verordnung und keine Zertifizierung. Es gibt kein "NIS2-Zertifikat" zu erwerben. Eine Richtlinie legt das von der EU gewünschte Ergebnis fest und überlässt es jedem Mitgliedstaat, das nationale Gesetz zu schreiben, das es liefert. In der Praxis erfüllen Sie also nicht NIS2 direkt, sondern die nationale Umsetzung Ihres Landes, in der die genauen Pflichten, Behörden und Sanktionen tatsächlich verankert sind.

NIS2 hebt die Messlatte gleich auf drei Wegen an: Sie zieht weit mehr Organisationen in den Anwendungsbereich, sie benennt die Sicherheitsmassnahmen, die sie ergreifen müssen, und sie macht die Geschäftsleitung dafür verantwortlich, ob diese Massnahmen geschehen. Die folgenden Abschnitte gehen jeden davon durch.

NIS2 sortiert die erfassten Organisationen in zwei Klassen (wesentliche Einrichtungen und wichtige Einrichtungen), und die Aufteilung folgt weitgehend Sektor und Grösse. Die Richtlinie listet Sektoren mit hoher Kritikalität auf (Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von ICT-Diensten, öffentliche Verwaltung und Weltraum) und weitere kritische Sektoren (Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung). Das sind insgesamt rund achtzehn Sektoren — eine drastische Ausweitung gegenüber NIS1.

Eine Grössenschwelle entscheidet dann, wer tatsächlich erfasst ist: In der Regel fallen mittlere und grosse Einrichtungen in diesen Sektoren in den Anwendungsbereich, während Kleinst- und Kleinunternehmen meist ausgenommen sind — wobei einige Einrichtungstypen wegen ihrer Rolle unabhängig von der Grösse erfasst sind. Am klarsten liest man es: zuerst Sektor, dann Grösse, dann die Sonderfälle.

Beide Klassen tragen weitgehend dieselben Sicherheits- und Meldepflichten. Was sich unterscheidet, ist die Aufsicht: Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht (Behörden können sie prüfen, ohne abzuwarten, bis etwas schiefgeht), während wichtige Einrichtungen reaktiv beaufsichtigt werden, wobei Behörden eingreifen, sobald es Hinweise auf ein Problem gibt. So oder so sind die Pflichten, die Sie erfüllen müssen, im Wesentlichen dieselben.

Artikel 21 ist das Herzstück von NIS2. Er verlangt von erfassten Einrichtungen "geeignete und verhältnismässige technische, operative und organisatorische Massnahmen", um die Risiken für ihre Netz- und Informationssysteme zu steuern, auf Allgefahren-Basis — das heisst, Sie berücksichtigen alles von Cyberangriffen bis zu physischen und umweltbezogenen Bedrohungen, nicht nur Hacker.

Die Richtlinie benennt dann eine Grundausstattung an Massnahmen, die jede Einrichtung adressieren soll: Richtlinien zur Risikoanalyse und Informationssicherheit; Vorfallbehandlung; Geschäftskontinuität, einschliesslich Backup-Management und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschliesslich Schwachstellenbehandlung und -offenlegung; Richtlinien zur Bewertung, ob die Massnahmen wirken; grundlegende Cyberhygiene und Schulung; Kryptografie und, wo angebracht, Verschlüsselung; Personalsicherheit, Zugangskontrollrichtlinien und Asset-Management; sowie der Einsatz von Multi-Faktor-Authentifizierung und gesicherter Kommunikation.

Es ist eine Liste, die ein Sicherheitsteam wiedererkennt — sie deckt sich eng mit etablierter Praxis und mit den Massnahmen aus ISO 27001. Was NIS2 hinzufügt, ist die Kraft des Gesetzes dahinter und die Erwartung, dass die Massnahmen verhältnismässig zum tatsächlich getragenen Risiko sind: Ein grosser Energiebetreiber und ein mittelgrosser Hersteller werden an derselben Grundlage gemessen, wenden sie aber auf sehr unterschiedliche Risikobilder an.

NIS2 setzt eine der knappsten Meldefristen im EU-Cybersicherheitsrecht, und es ist die Pflicht, die Teams am häufigsten unterschätzen. Wenn ein Vorfall "erheblich" ist (grob gesagt einer, der eine schwere Betriebsstörung oder finanzielle Einbusse verursacht oder verursachen könnte oder andere durch materiellen Schaden trifft), startet eine mehrstufige Meldefrist gegenüber Ihrem nationalen CSIRT oder der zuständigen Behörde.

Die Stufen sind fest. Eine Frühwarnung ist innerhalb von 24 Stunden fällig, nachdem Sie vom erheblichen Vorfall Kenntnis erlangt haben — eine kurze, erste Meldung, die kennzeichnet, ob der Vorfall bösartig wirkt oder grenzüberschreitende Auswirkungen haben könnte. Eine ausführlichere Vorfallmeldung folgt innerhalb von 72 Stunden und ergänzt die Frühwarnung um eine erste Bewertung, Schweregrad, Auswirkung und allfällige Kompromittierungsindikatoren. Ein Abschlussbericht ist dann innerhalb eines Monats fällig und legt eine ausführliche Beschreibung dar, die Art der Bedrohung oder die Ursache, die ergriffene Behebung und allfällige grenzüberschreitende Wirkungen.

Die praktische Folge ist, dass die NIS2-Meldung kein einzelnes Formular ist, das man einreicht, wenn sich der Staub gelegt hat — sie ist eine Abfolge, die beginnt, während Sie noch mitten im Löschen sind. Im Voraus zu wissen, wer einen Vorfall als erheblich erklärt, wer die 24-Stunden-Warnung verfasst und wo die Nachweise liegen, ist der Unterschied zwischen Frist eingehalten und Frist verpasst. Deshalb drängt die Richtlinie Einrichtungen dazu, die Vorfallbehandlung zu definieren und einzuüben, bevor etwas geschieht.

NIS2 holt die Cybersicherheit bewusst aus der IT-Abteilung heraus und legt sie auf den Tisch der Geschäftsleitung. Leitungsorgane müssen die Risikomanagement-Massnahmen der Einrichtung genehmigen, ihre Umsetzung überwachen und können haftbar gemacht werden, wenn sie das versäumen. Das ist keine beiläufige Formulierung — die Führung verantwortlich zu machen, ist eine der Änderungen, die die Richtlinie liefern soll.

Konkret heisst das: Von den Personen, die die Organisation führen, wird erwartet, dass sie die Cyberrisiken des Geschäfts verstehen, freigeben, wie diese Risiken behandelt werden, und geeignete Schulungen absolvieren, um das fundiert tun zu können. Wo das nationale Recht es vorsieht, können Aufsichtsbehörden Führungskräfte persönlich verantwortlich machen — und in schweren Fällen Massnahmen ergreifen, die die Geschäftsleitung direkt betreffen, nicht nur die Einrichtung mit einem Bussgeld belegen.

Für eine Sicherheitsverantwortliche ist das eher ein nützlicher Hebel als eine Last: NIS2 verschafft der Sicherheit Aufmerksamkeit im Vorstand, für die man zuvor argumentieren musste. Es bedeutet aber auch, dass das Programm für die Führung lesbar sein muss — sie kann nicht genehmigen und überwachen, was sie nicht sieht. Ein Bild aus Massnahmen und Nachweisen, das ein nicht spezialisierter Vorstand lesen kann, ist nun eine Konformitätsanforderung, keine nette Beigabe.

Weil NIS2 eine Richtlinie ist, entfaltet sie rechtliche Wirkung nur über die nationale Umsetzung. Die Umsetzungsfrist war der 17. Oktober 2024 — bis dahin mussten die Mitgliedstaaten nationales Recht erlassen haben, das die Richtlinie anwendet. In der Praxis waren mehrere Staaten in Verzug, weshalb das genaue Gesetz, die benannte zuständige Behörde und das CSIRT sowie die Details zu Registrierung und Sanktionen je nach Land verschieden sind und sich weiter einpendeln.

Was das für Sie bedeutet, ist konkret: Die Pflichten, die Sie tatsächlich erfüllen müssen, stehen im NIS2-Gesetz Ihres Mitgliedstaats, nicht in der Richtlinie selbst. Zwei Organisationen im selben Sektor in zwei verschiedenen EU-Ländern können dieselben Grundpflichten haben, aber unterschiedliche Meldeportale, Registrierungsschritte und Bussgeldhöhen. Bestimmen Sie die für Sie geltende nationale Umsetzung und lesen Sie die Richtlinie als das gemeinsame Rückgrat darunter.

Für Organisationen mit Sitz in der Schweiz gilt NIS2 nicht unmittelbar, doch sie erreicht Sie in dem Moment, in dem Sie in der EU tätig sind, in der Lieferkette einer erfassten Einrichtung sitzen oder von einem EU-Kunden gebeten werden, gleichwertige Massnahmen nachzuweisen. Die NIS2-Grundlage als die zu erreichende Messlatte zu behandeln, ist für jedes Unternehmen mit grenzüberschreitendem Geschäft zunehmend die pragmatische Haltung.

Die Sicherheit der Lieferkette wird in den Massnahmen nach Artikel 21 ausdrücklich genannt, und sie ist in der Praxis einer der anspruchsvolleren Teile von NIS2. Erfasste Einrichtungen müssen die Cybersicherheitsrisiken steuern, die über ihre Lieferanten und Diensteanbieter hereinkommen (die Schwachstellen, die Sicherheitspraktiken und die Entwicklungsqualität der Anbieter, von denen sie abhängen), nicht nur ihre eigenen Systeme.

Diese Pflicht endet nicht bei Ihren direkten Lieferanten, sondern breitet sich nach aussen aus. Weil erfasste Einrichtungen die Sicherheit der Unternehmen prüfen müssen, auf die sie sich stützen, spüren Organisationen, die selbst nicht unter NIS2 fallen, sie zunehmend trotzdem — in Gestalt der Sicherheitsfragen, Vertragsklauseln und Nachweisanfragen, die von erfassten Kunden herabfliessen. Für viele kleinere Anbieter ist die erste Begegnung mit NIS2 ein Kunde, der sie bittet, die Grundlage nachzuweisen, was für sich genommen ein Grund ist, ein verwaltetes Programm vorzeigen zu können.

Die beiden ergänzen sich, sie sind keine Alternativen, und Teams betreiben routinemässig beide. ISO 27001 ist ein freiwilliger internationaler Standard, gegen den Sie sich zertifizieren können; NIS2 ist verbindliches EU-Recht, das Sie über Ihre nationale Umsetzung erfüllen. Sie können ein ISO-27001-Zertifikat halten und trotzdem NIS2-Pflichten haben, und NIS2 zu erfüllen verschafft Ihnen kein Zertifikat.

Die gute Nachricht ist, dass die Überschneidung gross ist. Die Risikomanagement-Massnahmen nach Artikel 21 decken sich stark mit den Massnahmen aus ISO 27001 — Risikoanalyse, Vorfallbehandlung, Geschäftskontinuität, Zugangskontrolle, Kryptografie, Lieferantensicherheit und der Rest sind gemeinsamer Boden. Ein funktionierendes ISO-27001-ISMS bringt Sie weit in Richtung der NIS2-Grundlage, und die Nachweise, die Sie für das eine pflegen, dienen weitgehend auch dem anderen.

Wo NIS2 über ISO 27001 hinausgeht, ist in seinen Besonderheiten: die harte Meldefrist von 24 Stunden, 72 Stunden und einem Monat, die Registrierung bei einer nationalen Behörde und die ausdrückliche persönliche Verantwortung der Geschäftsleitung. Der sinnvolle Ansatz ist, ISO 27001 als Rückgrat des Managementsystems zu nutzen und die NIS2-spezifischen Pflichten (Meldung, Registrierung, Freigabe durch den Vorstand) darüberzulegen, statt zwei Programme nebeneinander aufzubauen.

NIS2 untermauert seine Pflichten mit echter Aufsicht und erheblichen Sanktionen und verlangt von den Mitgliedstaaten, den Behörden Zähne zu geben. Aufsichtsbehörden können Einrichtungen prüfen, Nachweise und Informationen verlangen, verbindliche Anweisungen erteilen und eine Einrichtung anweisen, ihre Sicherheit auf das geforderte Niveau zu bringen. Für wesentliche Einrichtungen ist diese Aufsicht proaktiv; für wichtige Einrichtungen wird sie durch Anzeichen von Verstössen ausgelöst.

Die Richtlinie steckt einen Rahmen für Bussgelder ab, den das nationale Recht dann in Zahlen fasst, wobei die Obergrenzen für wesentliche Einrichtungen höher angesetzt sind als für wichtige. Über Bussgelder hinaus ist die schärfere Folge die persönliche Exponiertheit der Geschäftsleitung und, in schweren Fällen, Massnahmen, die die Führung direkt treffen. Die genauen Zahlen und Verfahren sind in der Umsetzung jedes Mitgliedstaats festgelegt, weshalb die Sanktion, die Ihnen droht, vom für Sie geltenden nationalen Recht abhängt — lesen Sie für die Einzelheiten dieses, nicht die Richtlinie.