NIS2-Cyberrecht für wichtige Unternehmen: Was ist der Unterschied zwischen NIS1 und NIS2?

Ab dem 16. Januar 2023 gilt die europäische NIS2-Richtlinie für wichtige Unternehmen. In den Niederlanden kennen wir die neue Cyber-Richtlinie als NIB2. Sie ist der Nachfolger der NIB1. Wie andere EU-Länder haben auch die Niederlande bis zum 17. Oktober 2024 Zeit, ihre nationalen Vorschriften an den europäischen Standard anzupassen. Was wird sich ändern? Wir listen es für Sie auf.

Das NIS-Cyber-Gesetz gilt jetzt für wesentliche Unternehmen. Das heißt, die ursprüngliche NIS1 gilt für diese Sektoren. Ab 2024 werden die Leitlinien auch für "Schlüsselunternehmen" gelten. Das wird die Cybersicherheit in den Niederlanden und in Europa bei einer größeren Anzahl von mittleren und großen Unternehmen verbessern.

Was ist die NIS2-Leitlinie?

NIS2 ist der Nachfolger von NIS1, die vor Jahren für wichtige Unternehmen eingeführt wurde. Die neue NIS2-Richtlinie (offiziell: Richtlinie (EU) 2022/2555) wurde von ENISA, der Agentur der Europäischen Union für Cybersicherheit, veröffentlicht. Die Richtlinie schreibt Mindestsicherheitsanforderungen sowie die Verpflichtung zur Meldung von (schwerwiegenden) Vorfällen an die nationale Behörde oder das Europäische Computer Security Incident Response Team (CSIRT) vor. Die neue Richtlinie ersetzt die ursprüngliche Richtlinie, die 2016 in Kraft trat.

Dies sind die wichtigsten Unterschiede zwischen der NIS1 und der NIS2:

• Richtlinie gilt für mehr Sektoren
  Die NIS2 gilt nicht nur für Großunternehmen, sondern auch für wichtige Unternehmen. Mehr mittlere und große Unternehmen müssen mit der Einhaltung der Richtlinie beginnen. Darüber hinaus kann die niederländische Regierung kleinere Unternehmen mit einem hohen Sicherheitsrisiko benennen, die ebenfalls mit der Einhaltung der Richtlinie beginnen müssen.
• Liste der grundlegenden Mindestsicherheit
  Die Richtlinie ist konkreter, denn sie enthält eine Liste von Mindestsicherheitsmaßnahmen, die die Unternehmen umsetzen müssen. Die Richtlinie schreibt einen Risikomanagement-Ansatz vor.
• Einteilung in wesentliche und Schlüsselsektoren
  Die neue NIS-Richtlinie unterteilt die Unternehmen in wesentliche und Schlüsselsektoren. Die Unterscheidung zwischen Betreibern wesentlicher Dienste und Anbietern digitaler Dienste entfällt.
• Sicherheit in der Kette angehen
  Unternehmen müssen damit beginnen, sich mit den Sicherheitsrisiken in ihrer Lieferkette zu befassen. Dazu gehören auch Risiken, die durch Lieferantenbeziehungen entstehen.
• Strengere Überwachung
  Die nationalen Behörden dürfen strenger überwachen und durchsetzen. Die neue Richtlinie zieht Sanktionsregelungen und Meldepflichten in allen Mitgliedsstaaten gleich(er).

Was sind wesentliche Unternehmen?

Die NIS-Richtlinie gilt für wesentliche Unternehmen. Diese Sektoren sind:

• Energie
• Trinkwasser
• Abwasser
• Transport
• Bankwesen
• Finanzmärkte
• Digitale Infrastruktur
• Öffentliche Verwaltungen
• Gesundheitspflege
• Weltraum

Tipp: Sie fragen sich, welche Unternehmen genau "wesentlich" oder "wichtig" sind? Laden Sie die Tabelle Sektoren, die von NIB2 abgedeckt werden von CBS herunter.

Die neue NIS2-Richtlinie wird auch für Großunternehmen gelten. Diese Sektoren sind:

• Post- und Kurierdienste
• Verarbeitung und Vertrieb
• Abfallverwertung
• Digitale Anbieter
• Produzierende Unternehmen
• Chemische Industrie
• Lebensmittelindustrie

Unterschied in der Aufsicht zwischen wesentlichen und wichtigen Unternehmen

Die lokalen Behörden werden Schlüsselunternehmen proaktiv überwachen. Die Überwachung von Schlüsselunternehmen erfolgt im Nachhinein, wenn es Hinweise auf einen Vorfall gibt.

Wichtige und wichtige Unternehmen haben eine Meldepflicht und eine Sorgfaltspflicht. Sie müssen in ihrer Lieferkette Sicherheitsvorkehrungen treffen und klar kommunizieren, wie sie mit Cybervorfällen umgehen.

Warum ist die neue Leitlinie wichtig?

Die neue NIS2-Richtlinie soll die Netz- und Informationssysteme von Unternehmen sicherer machen. Auf diese Weise sollen die Niederlande und die gesamte Europäische Union weniger anfällig für Cyberangriffe werden.

Ministerin Dilan Yeşilgöz-Zegerius (Justiz und Sicherheit) sagte: "Wir sind zunehmend von digitalen Prozessen abhängig, insbesondere seit Corona arbeiten wir immer mehr von zu Hause aus. Darüber hinaus sehen wir eine wachsende digitale Bedrohung sowohl durch Kriminelle als auch durch staatliche Akteure, die angesichts des Krieges an der Ostgrenze Europas vorerst nicht abnehmen wird. Deshalb ist es jetzt notwendig, den nächsten Schritt zu tun, um das Niveau der Cybersicherheit in der EU zu erhöhen. Auf diese Weise werden wir verhindern, dass digitale Vorfälle unsere Gesellschaft stören."

Minister Micky Adriaansens (Wirtschaft und Klima) fügt hinzu: "Wir müssen vor den Risiken von Cyberangriffen auf der Hut sein. Die Auswirkungen können erheblich sein, wie leere Regale in Geschäften oder Produktionsausfälle in der Industrie. Der Umgang mit der digitalen Sicherheit liegt nach wie vor in der Verantwortung der einzelnen Unternehmen und Verbraucher. Aber mit dieser Gesetzgebung können wir einen Schritt tun, um sicherzustellen, dass das Niveau von cyber security bei (mittelständischen) Unternehmen in wichtigeren Sektoren steigt."

Werden Sie mit einer Geldstrafe belegt, wenn Sie die Vorschriften nicht einhalten?

Unternehmen, die sich nicht an die neue Richtlinie halten, erhalten eine Verwarnung, dann eine Mahnung und riskieren schließlich eine hohe Geldstrafe. Das maximale Bußgeld beträgt 10 Millionen Euro oder zwei Prozent des gesamten Jahresumsatzes von mittleren und großen Unternehmen.

Verhütung von Schäden durch Cyberkriminalität: Was können Sie tun?

Auch ohne ein Cyber-Gesetz wie das NIB2 in den Niederlanden ist es wichtig, Cyber-Kriminalität ernst zu nehmen. Sie schützen Ihr Unternehmen zum Beispiel mit:

• Sicherheit durch Design
  Beginnen Sie jede Sitzung mit dem Thema (digitale) Sicherheit. Welche Maßnahmen ergreifen Sie, um Missbrauch zu verhindern, und welche Risiken und Schwachstellen gibt es? Indem Sie dies als Standard betrachten, richten Sie (neue) Systeme standardmäßig sicherer ein.
• Sichere Verbindung
  Verwenden Sie eine sichere Verbindung für Ihr Unternehmen. Verhindern Sie, dass andere unerwünscht Daten einsehen oder gar stehlen. Die sichere Verbindung ist weltweit, jederzeit und von jedem Ort aus verfügbar.
• Mitarbeiter in Cybersicherheit schulen
  Wer die Risiken nicht kennt, kann sich unmöglich dagegen schützen. Schulen Sie Ihre Mitarbeiter und sorgen Sie dafür, dass sie Schwachstellen erkennen und nicht in Fallen tappen, wenn Cyberkriminelle sie aufstellen.

Wie EyeOn Guardey zur Einhaltung von NIS2 einsetzt

Unternehmen, die NIS2 einhalten müssen, sind verpflichtet, ihren Mitarbeitern security awareness Schulungen anzubieten.

Unser Kunde Gezamenlijke Brandweer Amsterdam (eine niederländische Feuerwehr) ist eine wichtige Organisation und muss sich daher an die NIS2-Verordnung halten. Um sicherzustellen, dass ihre Mitarbeiter darauf vorbereitet sind, Cyber-Bedrohungen zu erkennen, nutzen sie Guardey, um security awareness Schulungen anzubieten. Jede Woche spielt ihr Team eine kurze 3-stündige Herausforderung, die ihnen hilft, langsam Wissen über cyber security aufzubauen.

Lesen Sie die ganze Geschichte hier

Machen Sie es sich leicht mit Guardey

Wir bei Guardey verstehen, dass Sie viel um die Ohren haben. Wie halten Sie NIS2 ein, welche Schwachstellen gibt es in Ihrem Unternehmen und wie verhindern Sie einen Hack, eine Datenverletzung oder andere Cyberkriminalität?

Deshalb möchten wir es Ihnen leicht machen. Mit Guardey entscheiden Sie sich für eine komplette cyber security Lösung auf einen Schlag. Wir sind Plug & Play, sowohl für eine sichere Verbindung, gegen bösartige Software und um Ihre Mitarbeiter professionell (aber mit Spaß!) zu schulen.

Möchten Sie die Website Ihres Unternehmens cyber security verbessern und die neue NIS2-Richtlinie einhalten? Entdecken Sie unsere Lösung oder stellen Sie uns Ihre Fragen. Wir erklären Ihnen gerne, wie Sie sich mit Guardey auf sehr zugängliche, einfache und kostengünstige Weise schützen können.