Wofür steht NIS?

Das Akronym „NIS“ steht für „Network and Information Security“ oder „Netzwerk- und Informationssicherheit“. Aktuell gilt in Österreich das NIS-Gesetz mit welchem die eine EU-Richtlinie aus dem Jahr 2016 umgesetzt wurde. Hiervon waren nur rund 100 Unternehmen in Österreich betroffen.

Warum NIS-2?

Die neue Cybersicherheits-Richtlinie (EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union) zielt darauf ab, die Resilienz und die Reaktion auf Sicherheitsvorfälle des öffentlichen und des privaten Sektors in der EU verbessern. Erforderliche Maßnahmen und Meldepflichten werden verschärft. Betroffen sind mittlere und große Unternehmen aus den sogenannten „wesentlichen“ und „wichtigen Sektoren“. Über die Lieferkette und als Tochterunternehmen eines großen oder mittleren Unternehmens können auch kleine Unternehmen betroffen sein. Angeblich sind dies ca. 15.000 Unternehmen in Österreich.

Ab wann gelten die Regelungen von NIS-2?

Gemäß Artikel 41 Abs. 1 der o.a. Richtlinie gilt:
„Bis zum 17. Oktober 2024 erlassen und veröffentlichen die Mitgliedstaaten die erforderlichen Vorschriften, um dieser Richtlinie nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis. Sie wenden diese Vorschriften ab dem 18. Oktober 2024 an.“

Demgemäß ist aus heutiger Sicht davon auszugehen, dass wahrscheinlich bis spätestens 17. Oktober 2024 ein einhergehendes Gesetz in Österreich in Kraft tritt.

Was sind die wesentlichen Inhalte der NIS-2 Richtlinie?

Die Richtlinie schreibt für einige öffentliche oder private Einrichtungen eine Reihe an Maßnahmen vor, welche u.a. in Artikel 21 (Risikomanagementmaßnahmen im Bereich der Cybersicherheit) dargestellt sind.

Die wichtigsten umzusetzenden Maßnahmen sind in Art. 21 Abs. 1 der Richtlinie dargestellt. Konkret lauten diese wie folgt:

Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen:

1. Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
2. Bewältigung von Sicherheitsvorfällen;
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
7. grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
9. Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.