NIS2-Scorebericht van

Ihre Antwort:

A: Verbesserung der Cybersicherheit in europäischen Unternehmen
B: Verringerung des Risikos von Datenschutzverletzungen
C: Angleichung der europäischen Maßnahmen cyber security
D: Alle der oben genannten Punkte sind richtig

Die NIS2 ist das neue europäische Cybersicherheitsgesetz. Das Gesetz soll europäische Unternehmen besser vor Cyberkriminalität schützen. Dieser bessere Schutz soll zum Beispiel das Risiko von Datenschutzverletzungen verringern.

Darüber hinaus sollen die europäischen Sicherheitsmaßnahmen harmonisiert werden. Darüber spricht der Europaparlamentarier Bart Groothuis in der Handelskammer: "Die technische Entwicklung schreitet sehr schnell voran. NIS 1 ist seit 2018 in Kraft und ist veraltet. Nicht jeder Mitgliedsstaat wendet das Gesetz überall gleich oder streng an. Wenn man nun Geschäfte mit anderen europäischen Ländern macht oder eine Niederlassung in mehreren Ländern hat, gelten überall unterschiedliche Regeln. Das kann nicht funktionieren. Wir werden da eine einheitliche Linie ziehen."

Ihre Antwort:

B: Organisationen mit mehr als 50 Millionen Euro Umsatz
C: Wesentliche und wichtige Organisationen in bestimmten Sektoren

Die NIS2 gilt für alle wesentlichen und wichtigen Organisationen in den in der nachstehenden Tabelle aufgeführten Sektoren. Es gelten die folgenden Kriterien:

Wesentliche Organisationen...
...sind große Organisationen, die in einem Sektor der Gruppe A in der nachstehenden Tabelle tätig sind.

Eine Organisation ist groß bei:

1. 250 oder mehr Beschäftigte oder;

2. Jährlicher Nettoumsatz von 50 Millionen Euro oder eine Bilanzsumme von 43 Millionen Euro oder mehr.

Große Organisationen...
...sind mittelgroße Unternehmen, die in einem Wirtschaftszweig der Gruppe A oder B in der nachstehenden Tabelle tätig sind.

Eine Organisation ist mittelgroß bei:

1. 50 oder mehr Beschäftigte oder;

2. Ein Jahresumsatz oder eine Bilanzsumme von mindestens 10 Millionen Euro.

Ihre Antwort:

A: Nur wichtige Organisationen werden geprüft
B: Wesentliche Organisationen werden vor und nach der Prüfung geprüft, wichtige Organisationen erst danach.
C: Es gibt keine Unterscheidung zwischen wesentlichen und wichtigen Organisationen.

Die Kontrolle der wesentlichen Organisationen wird strenger sein als die der wichtigen Organisationen. Wesentliche Organisationen werden im Voraus kontrolliert.

DigitalTrustCenter des Ministeriums für Wirtschaft und Klima können Sie dazu Folgendes lesen: "Wesentliche Unternehmen unterliegen einer intensiveren Aufsicht, die sowohl ex ante als auch ex post überwacht wird. Bedeutende Unternehmen unterliegen einer leichteren Form der Überwachung, die nur ex post erfolgt. Zum Beispiel, wenn es Hinweise auf die Nichteinhaltung von Gesetzen gibt oder wenn ein Zwischenfall eingetreten ist.

Ihre Antwort:

A: Ja
B: Nein

Die NIS2 wird auch für KMU gelten. Das heißt, für wesentliche und wichtige Organisationen in den genannten Sektoren.

erklärt der Europaabgeordnete Bart Groothuis in der Handelskammer: "Jeder, der eine wesentliche Dienstleistung für Verbraucher erbringt, fällt unter das neue Gesetz. Also auch kleine Dienstleistungsanbieter. Wir streiten noch darüber, was genau wir unter 'wesentlich' verstehen. Internetdienstleister, kleine Fabriken, Unternehmen, die sich mit Wasser oder Energie beschäftigen: diese Arten von Unternehmen werden als wesentlich betrachtet."

Ihre Antwort:

A: Eine Richtlinie, in der es um Sicherheitsempfehlungen geht
B: Eine Rechtsvorschrift, die ein Mindestmaß an Grundsicherheit vorschreibt.
C: Eine europäische Richtlinie, die von den Mitgliedstaaten in Gesetze umgesetzt werden muss.

Die NIS2 ist die neue europäische Cyber-Gesetzgebung. Es handelt sich um eine europäische Richtlinie, die die Mitgliedsstaaten in ihre nationale Gesetzgebung integrieren.

In den Niederlanden wurde die NIS daher 2018 in das Gesetz über die Sicherheit von Netzwerken und Informationssystemen (Wbni) integriert.

Auf europäischer Ebene wurde im Dezember 2022 eine Einigung über die NIS2 erzielt, die einen Monat später in Kraft trat. Die Mitgliedstaaten müssen sie innerhalb von 21 Monaten in ihr nationales Recht übernehmen. Dies bedeutet, dass die Rechtsvorschriften in den Niederlanden spätestens im Oktober 2024 in Kraft treten werden.

Beachten Sie, dass wir in den Niederlanden von der NIB2 (Netz- und Informationssicherheit) und nicht von der NIS2 sprechen.

Ihre Antwort:

A: Jede Organisation ist für ihre eigenen Systeme verantwortlich
B: Jede Organisation ist für ihre eigenen Systeme und die der Zulieferer und anderer in der Kette verantwortlich.
C: Jede Organisation ist für ihre eigenen Systeme, die der Zulieferer und anderer in der Kette sowie für die anderer (Kooperations-)Partner verantwortlich.

Die NIS2 macht Organisationen verantwortlich für ihre eigenen Systeme, die von Lieferanten und anderen in der Kette sowie die von anderen (Kooperations-)Partnern. Die NIS2 verpflichtet also zum Schutz vor Systemrisiken. Konkret müssen die Organisationen: Die cyber security von Zulieferern bewerten.

- Sicherheitsrisiken bei Unternehmen in der Lieferkette kritisch prüfen

- Teilnahme an Risikobewertungen der Lieferkette in der Branche.

- Einführung einer Risikobewertung und eines Risikomanagements für Dritte in der Lieferkette.

- Ergreifen Sie Maßnahmen für eine sichere elektronische Kommunikation mit Lieferanten.

- Benachrichtigung von Kunden und Behörden über Bedrohungen durch Dritte.

Laut NIS2 sollten Unternehmen aktiv auf Cyberrisiken in der (Liefer-)Kette achten. Organisationen sollten:

- Identifizierung und Bewertung von Bedrohungen für Produkte und Dienstleistungen Dritter.

- Entwicklung von Strategien, Plänen und Lösungen zur Bewältigung von Bedrohungen.

- Ergreifen Sie Maßnahmen zur Sicherung der Beschaffung und Lieferung von Produkten und Dienstleistungen Dritter.

Schließlich sollten Organisationen kontinuierlich überwachen, bewerten und geeignete Maßnahmen ergreifen, um Cyber-Risiken Dritter ernsthaft in Betracht zu ziehen und anzugehen. So ist es beispielsweise wichtig, regelmäßige Bewertungen oder sogar Audits von Dritten durchzuführen. Darüber hinaus sollte regelmäßig auf die Vereinbarungen mit den Lieferanten geachtet werden.

Wenn bei Dritten Sicherheitsmängel festgestellt werden, sollten die Unternehmen selbst Maßnahmen ergreifen und gegebenenfalls auch die Partnerschaft beenden.

Ihre Antwort:

A: Nein, es handelt sich um eine Beratung, für die die Behörden Warnungen aussprechen
B: Ja, bis zu einem Höchstbetrag von 100.000 Euro pro Vorfall
C: Ja, bis zu einem Höchstbetrag von 1.000.000 Euro pro Vorfall
D: Ja, bis zu einem Höchstbetrag von 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes

Wie bei den NIS können die Behörden bei Nichteinhaltung Bußgelder verhängen. Die Geldbuße kann bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Der höhere Betrag bestimmt die Höhe der Geldstrafe.

Ihre Antwort:

A: Geldbußen oder Strafen können niedriger ausfallen
B: Organisationen erhalten eine Zertifizierung
C: Diese Maßnahmen haben keine Auswirkungen

Die Behörden entscheiden, welche Bußgelder oder Strafen sie gegen Organisationen verhängen, die gegen die Vorschriften verstoßen.

Ihre Antwort:

A: Eine sofortige Benachrichtigung im Falle einer Datenschutzverletzung
B: Eine sofortige Benachrichtigung bei jedem Cybervorfall, der den Geschäftsbetrieb beeinträchtigt
C: Ein Abschlussbericht, in dem der Vorfall, die Art der Bedrohung, der Schweregrad und die Folgen sowie die ergriffenen und laufenden Maßnahmen beschrieben werden.
D: Alle oben genannten Punkte

Unternehmen müssen alle Cyber-Vorfälle, die sich auf den Geschäftsbetrieb auswirken, einschließlich Datenschutzverletzungen, unverzüglich melden.

Das National Cyber Security Center schreibt: "Die NIS2-Richtlinie verlangt von den Einrichtungen, dass sie Vorfälle innerhalb von 24 Stunden an die Regulierungsbehörde melden. Dabei handelt es sich um Vorfälle, die die Erbringung der wesentlichen Dienstleistung erheblich beeinträchtigen (können). Im Falle eines Cybervorfalls muss dieser auch dem Computer Security Incident Response Team (CSIRT) gemeldet werden".

Die Meldepflicht umfasst zwei Berichte:

Direkte Berichterstattung:

Organisationen müssen so schnell wie möglich einen Bericht mit den unbedingt erforderlichen Informationen erstellen, z. B. was passiert ist, was die (mögliche) Ursache ist und welche illegale oder bösartige Handlung stattgefunden hat. Die Organisationen erstatten der zuständigen nationalen Behörde oder dem Computer Security Incident Response Team (CSIRT) Bericht. Die Behörde oder das CSIRT wird innerhalb von 24 Stunden auf die Meldung reagieren.

Endgültige Benachrichtigung:

Innerhalb eines Monats nach der ersten Meldung müssen die Organisationen einen Abschlussbericht vorlegen. Dieser Bericht muss Folgendes enthalten:

1. Eine detaillierte Beschreibung des Vorfalls.
2. Die Schwere und die Folgen des Vorfalls.
3. Die Art der Bedrohung oder die Ursache, die wahrscheinlich zu dem Vorfall geführt hat.
4. Durchgeführte und in Arbeit befindliche Maßnahmen.

Ihre Antwort:

A: Oktober 2023
B: März 2024
C: Oktober 2024

Auf europäischer Ebene wurde im Dezember 2022 eine Einigung erzielt. Diese Vereinbarung trat einen Monat später in Kraft. Seitdem haben die Mitgliedstaaten 21 Monate Zeit, die NIS2 in nationales Recht umzusetzen.

Das bedeutet, dass die NIS2 in den Niederlanden spätestens im Oktober 2024 in Kraft treten wird.

Beachten Sie, dass in den Niederlanden von NIB2 (Netz- und Informationssicherheit) statt von NIS2 gesprochen wird.