NIS-2-Richtlinie

Für Beschäftigte bedeutet NIS 2 vor allem klarere interne Regeln, in Frankreich sobald das Umsetzungsgesetz in Kraft ist. Artikel 21 verlangt, dass jede betroffene Einrichtung eine Mindestliste von Maßnahmen ergreift, darunter grundlegende Praktiken der Cyberhygiene, Schulungen zur Cybersicherheit, Richtlinien zur Zugriffskontrolle und, je nach Bedarf, die Multi-Faktor-Authentifizierung¹. Artikel 20 verlangt zudem von den Staaten, die Einrichtungen zu ermutigen, ihr Personal regelmäßig zu schulen, damit jeder Risiken erkennen und Sicherheitspraktiken beurteilen kann¹.

Am stärksten hängt von Ihnen die Meldung von Vorfällen ab. Die Richtlinie verlangt, dass eine Einrichtung innerhalb von 24 Stunden, nachdem sie von einem erheblichen Vorfall Kenntnis erlangt hat, eine Frühwarnung an das CSIRT oder die zuständige Behörde sendet, dann innerhalb von 72 Stunden eine Vorfallmeldung und binnen eines Monats danach einen Abschlussbericht¹. Diese Fristen verlieren ihren Sinn, wenn die Information unterwegs hängen bleibt. Eine verdächtige E-Mail, die am Montag geöffnet und am Donnerstag gemeldet wird, bedeutet drei Tage, in denen ein Angreifer vorankommen konnte, ohne dass jemand nach ihm suchte.

Im Sinne der Richtlinie ist ein Vorfall „erheblich", wenn er eine schwerwiegende Störung der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann oder erhebliche Schäden bei anderen Personen. Die Einstufung obliegt dem Sicherheitsteam; Ihre Aufgabe ist das Melden¹. Betrifft der Vorfall personenbezogene Daten, kommt die Pflicht aus der DSGVO hinzu: die CNIL spätestens 72 Stunden nach einer Verletzung zu benachrichtigen, die ein Risiko für die betroffenen Personen darstellt⁴. Der Artikel zur DSGVO beschreibt dieses Verfahren im Einzelnen.

Im Brain-Programm entspricht dieser Handgriff dem Reflex „Jeden Sicherheitsvorfall dem Cybersicherheitsteam melden". Melden Sie auch eigene Fehler, etwa einen unglücklichen Klick: Ohne Ihre Meldung erfährt das Sicherheitsteam womöglich nie, dass ein Angriff begonnen hat. Der Artikel zur Sanktionskultur erklärt, warum die Angst vor Bestrafung dazu führt, dass Vorfälle verschwiegen werden.

NIS 2 hebt die Cybersicherheit auf die Ebene der Leitungsorgane. Die Richtlinie verlangt, dass sie die Maßnahmen zum Risikomanagement billigen und ihre Umsetzung überwachen, dass sie haftbar gemacht werden können, wenn die Einrichtung gegen diese Pflichten verstößt, und dass ihre Mitglieder an Schulungen teilnehmen¹. In Frankreich gelten diese Pflichten, sobald das Umsetzungsgesetz in Kraft ist.

Bei den Geldbußen müssen die Staaten eine Obergrenze von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorsehen, wobei der höhere Betrag gilt, wenn eine wesentliche Einrichtung ihre Sicherheits- oder Meldepflichten verletzt. Für eine wichtige Einrichtung beträgt diese Obergrenze mindestens 7 Millionen Euro oder 1,4 %¹. Behebt eine wesentliche Einrichtung ihre Mängel trotz der Anordnungen der Behörde nicht, erlaubt die Richtlinie der Behörde außerdem, zu beantragen, dass einer Person mit Leitungsaufgaben, auf der Ebene des Generaldirektors oder gesetzlichen Vertreters, vorübergehend untersagt wird, diese Aufgaben in der Einrichtung wahrzunehmen¹.

Die Sicherheit der Lieferkette gehört zu den Maßnahmen, die die Richtlinie verlangt, einschließlich der Beziehungen zu unmittelbaren Lieferanten und Dienstleistern¹: Ihr ist der Artikel zur Bewertung des Lieferantenrisikos gewidmet. Um die Organisationen zu unterstützen, hat die ANSSI eine Arbeitsfassung ihres Référentiel Cyber France (ReCyF) veröffentlicht, das die Maßnahmen auflistet, die sie zur Erreichung der Sicherheitsziele von NIS 2 empfiehlt². Mit einer Krisenübung am Tisch lässt sich vor einem echten Vorfall prüfen, ob die Meldung in weniger als 24 Stunden abgehen kann.

Die Richtlinie wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht. Die Staaten mussten sie bis spätestens 17. Oktober 2024 umsetzen und ab dem 18. Oktober 2024 anwenden, dem Tag, an dem die NIS-Richtlinie von 2016 aufgehoben wurde¹. Sie mussten außerdem bis spätestens 17. April 2025 die Liste ihrer wesentlichen und wichtigen Einrichtungen erstellen¹.

Artikel 21 legt eine Mindestliste von Maßnahmen fest, die auf einem „gefahrenübergreifenden" Ansatz beruht¹:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme;
• Bewältigung von Vorfällen;
• Aufrechterhaltung des Betriebs, Backups und Krisenmanagement;
• Sicherheit der Lieferkette;
• Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Umgang mit und Offenlegung von Schwachstellen;
• Bewertung der Wirksamkeit der Maßnahmen;
• grundlegende Cyberhygiene und Schulungen zur Cybersicherheit;
• Kryptografie und gegebenenfalls Verschlüsselung;
• Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen;
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation, je nach Bedarf.

Artikel 23 legt den Zeitplan für die Meldung eines erheblichen Vorfalls fest¹:

Fristen, gerechnet ab dem Zeitpunkt, an dem die Einrichtung vom erheblichen Vorfall Kenntnis erlangt
24 Stunden     Frühwarnung an das CSIRT oder die zuständige Behörde
72 Stunden     Vorfallmeldung, mit einer ersten Bewertung von Schwere und Auswirkungen
auf Anfrage    Zwischenbericht
1 Monat        Abschlussbericht, gerechnet ab der Vorfallmeldung

Die Europäische Kommission hat am 28. November 2024 Aufforderungsschreiben versandt, danach am 7. Mai 2025 mit Gründen versehene Stellungnahmen. Am 8. Juli 2026 hat sie Klage beim Gerichtshof der Europäischen Union gegen Irland, Spanien, Frankreich und die Niederlande erhoben und dabei einen Pauschalbetrag sowie tägliche Zwangsgelder bis zur vollständigen Umsetzung beantragt⁵.

In Frankreich läuft die Umsetzung über den Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit. In der eingebrachten Fassung verweist sein Titel II, der der Cybersicherheit gewidmet ist, auf die Richtlinie (EU) 2022/2555 und definiert wesentliche und wichtige Einrichtungen, mit zum Beispiel einer Schwelle von mindestens 50 Beschäftigten für eine wichtige Einrichtung⁶. Die Regierung hat ihn am 15. Oktober 2024 im Senat im beschleunigten Verfahren eingebracht, und der Senat hat ihn am 12. März 2025 angenommen. Der Sonderausschuss der Nationalversammlung hat seinen Text am 10. September 2025 vorgelegt⁷. Die Konferenz der Präsidenten der Nationalversammlung hatte den Gesetzentwurf für die Sitzungen vom 7. und 9. Oktober 2026 angesetzt⁸ und ihn dann am 6. Oktober 2026 von der Tagesordnung genommen, ohne einen neuen Termin festzulegen⁹. Zum Zeitpunkt der Einsichtnahme nennt das Gesetzgebungsdossier keine Beratung in öffentlicher Sitzung der Nationalversammlung⁷.

In der Zwischenzeit fordert die ANSSI die künftigen wesentlichen und wichtigen Einrichtungen auf, ihr Sicherheitsniveau schon jetzt zu erhöhen, und weist darauf hin, dass ihr Referenzwerk ReCyF im Verlauf der parlamentarischen Debatten angepasst werden kann².