NIS 2 vs NIS1 – Das sind die wichtigsten Unterschiede
Mit der neuen NIS 2-Richtlinie tritt ein aktualisierter Rechtsrahmen in Kraft, der deutlich über den der ursprünglichen NIS1-Richtlinie hinausgeht. Warum brauchte es eine neue Version? Die Bedrohungslage im Cyberraum hat sich in den letzten Jahren dramatisch verschärft, und die erste NIS-Richtlinie (2016) stieß an Ihre Grenzen. Im direkten Vergleich werden die Neuerungen der NIS 2 Richtlinie deutlich. NIS 2 soll ein EU-weit einheitliches hohes Sicherheitsniveau schaffen und reagiert auf die Mängel von NIS1, z.B. uneinheitliche Umsetzung in Mitgliedstaaten, sowie auf neue Herausforderungen durch die fortschreitende Digitalisierung.
Was sind die größten Änderungen auf den ersten Blick?
Kurz gesagt: ein wesentlich erweiterter Anwendungsbereich, strengere Sicherheitsauflagen, umfangreichere Meldepflichten und spürbar härtere Sanktionen bei Verstößen.
Was genau ist die NIS1-Richtlinie?
Um die Unterschiede zwischen NIS1 und NIS 2 zu verstehen, bedarf es eines Vergleichs der NIS Richtlinien. An dieser Stelle lohnt ein kurzer Blick zurück: Die NIS1 (Richtlinie (EU) 2016/1148) war die erste EU-weite Cybersecurity-Richtlinie, die 2016 in Kraft trat. Sie zielte darauf ab, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in Europa zu gewährleisten. Konkret verpflichtete NIS1 die EU-Staaten zu mehr Zusammenarbeit im Bereich Cybersecurity und legte Mindestsicherheitsanforderungen und Meldepflichten für bestimmte Branchen fest. Im Fokus standen damals vor allem Betreiber Kritischer Infrastrukturen (KRITIS) – also Unternehmen aus lebenswichtigen Sektoren wie Energie, Verkehr, Gesundheitswesen, Finanzwesen, Trinkwasser oder digitaler Infrastruktur – sowie einige Anbieter digitaler Dienste (etwa große Online-Marktplätze, Cloud-Computing-Anbieter oder Suchmaschinen). Diese Unternehmen wurden unter NIS1 als „Betreiber wesentlicher Dienste” eingestuft und mussten eine Reihe von Pflichten erfüllen:
- IT-Sicherheit nach Stand der Technik: Die betroffenen KRITIS-Unternehmen mussten und müssen angemessene technische und organisatorische Sicherheitsmaßnahmen einführen, orientiert am aktuellen Stand der Technik. In Deutschland wurde dies z.B. durch das IT-Sicherheitsgesetz konkretisiert – KRITIS-Betreiber sind verpflichtet, ihre IT-Infrastruktur nach dem „Stand der Technik” abzusichern.
- Meldepflicht von Vorfällen: Unternehmen unter NIS1 mussten schwerwiegende IT-Sicherheitsvorfälle unverzüglich den zuständigen Behörden (in Deutschland dem BSI) melden. Dadurch sollte sichergestellt werden, dass Cyberangriffe auf kritische Versorgungseinrichtungen schnell bekannt werden und koordiniert darauf reagiert werden kann.
- Benennung von Kontaktstellen: Außerdem waren Ansprechpartner zu benennen und Prozesse für Incident Response (IR) zu entwickeln und vorzuhalten – Mit dem Ziel jederzeit einen kompetenten Kontakt im Unternehmen erreichen zu können.
NIS1 war somit ein erster Meilenstein zur Verbesserung der Cyber-Resilienz in Europa. In Deutschland wurde sie ab 2017 durch das Gesetz zur Umsetzung der Richtlinie (EU) 2016/1148 und bestehende Regelungen (wie das IT-Sicherheitsgesetz und die BSI-Kritisverordnung) in nationales Recht umgesetzt. Allerdings zeigte sich im Laufe der Zeit, dass die digitale Bedrohungslage rasant wuchs (Stichwort: steigende Ransomware-Angriffe) und die bestehenden Regeln lückenhaft oder uneinheitlich angewendet wurden.
Hier setzt NIS 2 an.
Die wichtigsten Neuerungen bei NIS 2
Die Neuerungen unter NIS 2 fallen im direkten Vergleich der NIS-Richtlinien (NIS1 vs. NIS 2) beträchtlich aus. Die EU hat Ende 2022 die NIS 2-Richtlinie verabschiedet, um die Cybersicherheit flächendeckend zu verbessern und an die aktuelle Lage anzupassen. NIS 2 ersetzt NIS1 vollständig und erweitert bzw. verschärft viele Vorgaben. Zu den zentralen Änderungen zählen insbesondere ein erweiterter Anwendungsbereich, strengere Vorgaben für Sicherheitsmaßnahmen, neue Meldewege und höhere Sanktionen. Auch die Geschäftsleitung der Unternehmen wird stärker in die Pflicht genommen. Im Folgenden beleuchten wir die wichtigsten Unterschiede zwischen NIS1 und NIS 2 im Detail:
Erweiterter Anwendungsbereich bei NIS 2
Ein markanter Unterschied zwischen NIS1 und NIS 2 liegt im erweiterten Anwendungsbereich der NIS 2-Richtlinie. NIS 2 umfasst deutlich mehr Sektoren und Unternehmen als zuvor. Waren unter NIS1 noch sechs kritische Sektoren definiert (Energie, Transport, Banken, Gesundheitsversorgung, Trinkwasser, digitale Infrastruktur) und darin nur große, „wesentliche” Versorger erfasst, so zieht NIS 2 die Kreise wesentlich weiter.
Insgesamt fallen nun 18 Sektoren unter die neuen Cybersicherheits-Regeln – die EU schafft damit einen einheitlichen Rahmen für betroffene Unternehmen und Einrichtungen in allen Mitgliedstaaten.
Welche neuen Branchen fallen unter NIS 2, die vorher nicht betroffen waren? Neu hinzugekommen sind unter anderem: Anbieter öffentlicher elektronischer Kommunikationsdienste (Telekommunikation), weitere digitale Dienste wie große Online-Plattformen/soziale Netzwerke, die Abfall- und Abwasserwirtschaft, die Herstellung kritischer Produkte (z.B. bestimmte Medizinprodukte oder Chemikalien), Post- und Kurierdienste, die öffentliche Verwaltung (auf nationaler und regionaler Ebene) sowie der Weltraum-Sektor. Damit schließt NIS 2 nun Bereiche ein, die für das gesellschaftliche Funktionieren immer wichtiger geworden sind, aber zuvor nicht einheitlich reguliert waren.
Ein weiteres Novum ist die Einführung von Größenschwellen: In der Regel gelten die Pflichten der NIS 2-Richtlinie für mittlere und große Unternehmen in den genannten Sektoren – also grob gesagt für Firmen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz (und Bilanzsumme). Kleine Unternehmen sind meist ausgenommen, es sei denn, sie sind alleiniger Betreiber einer kritischen Dienstleistung. Diese Fokussierung stellt sicher, dass vor allem relevante Marktakteure reguliert werden. Insgesamt steigt durch den erweiterten Anwendungsbereich die Zahl der regulierten Unternehmen merklich an – Schätzungen zufolge werden allein in Deutschland rund 29.000 Einrichtungen von NIS 2 betroffen sein (gegenüber einigen tausend unter NIS1). Für bereits regulierte KRITIS-Betreiber bleibt vieles beim Alten, aber viele bislang nicht erfasste Unternehmen müssen sich nun erstmals auf Cybersecurity-Pflichten einstellen.
Verschärfte Meldepflichten unter NIS 2
Zu den Neuerungen unter NIS 2 zählt auch, dass die zeitliche und inhaltliche Komponente der Meldepflicht bei Sicherheitsvorfällen deutlich konkreter und strenger gefasst wird. Unter NIS1 mussten „erhebliche Störungen” zwar gemeldet werden, jedoch fehlten oft klare Fristen („unverzüglich” ließ Interpretationsspielraum). NIS 2 schafft nun ein verbindliches Meldesystem mit abgestuften Fristen: Sicherheitsvorfälle mit erheblicher Auswirkung sind spätestens binnen 24 Stunden nach Entdeckung an die zuständige Stelle zu melden. Diese Erstmeldung („early warning”) soll zumindest grundlegende Informationen zum Vorfall enthalten. Anschließend ist innerhalb von 72 Stunden nach dem Vorfall ein ausführlicher Folgebericht mit Details und ergriffenen Gegenmaßnahmen nachzureichen. Spätestens nach einem Monat muss ein Abschlussbericht vorliegen. Diese gestuften Meldungen ermöglichen es den Behörden, frühzeitig ein Lagebild zu erhalten und bei Bedarf zu unterstützen.
Welche Vorfälle müssen jetzt gemeldet werden? NIS 2 präzisiert den Begriff „erheblicher Sicherheitsvorfall”. Meldepflichtig ist jeder Cybervorfall, der zu erheblichen Betriebsstörungen oder Schäden führen könnte – also nicht erst wenn der Schaden eingetreten ist. Damit wird der Meldeumfang erweitert, um auch Angriffsversuche frühzeitig bekannt zu machen. Beispiele wären etwa Ransomware-Angriffe, die kritische IT-Systeme lahmlegen könnten, selbst wenn die Auswirkungen noch begrenzt sind. Unternehmen tun gut daran, klare interne Prozesse zu etablieren, um solche Incidents schnell zu erkennen, zu bewerten und dann fristgerecht an die Behörde (in Deutschland: BSI bzw. das nationale CERT) zu melden. Versäumnisse bei der Meldung können nun – anders als früher – empfindliche Bußgelder nach sich ziehen.
Erhöhte Sicherheitsanforderungen und Sanktionen
Mit NIS 2 steigen die Sicherheitsanforderungen für betroffene Unternehmen signifikant. Reichten unter NIS1 allgemein „Stand der Technik”-Maßnahmen, so macht NIS 2 konkretere Vorgaben und verlangt ein systematisches Risikomanagement hinsichtlich der Cybersecurity. Unternehmen müssen nun eine Reihe von technisch-organisatorischen Maßnahmen umsetzen (aufgeführt in Artikel 21 NIS 2): Dazu zählen u.a. regelmäßige Risikoanalysen, Maßnahmen zur Vorfallprävention und -reaktion, Notfallpläne, Sicherstellung von Business Continuity, Supply-Chain-Security (Sicherheit in der Lieferkette) sowie regelmäßige Schulungen der Mitarbeiter im Bereich IT-Sicherheit.
Neu ist insbesondere, dass das Top-Management stärker in die Verantwortung genommen wird: Die Geschäftsleitung muss Cybersecurity-Risiken überwachen, geeignete Sicherheitsstrategien etablieren und hierfür ausreichend Ressourcen zur Verfügung stellen. NIS 2 verankert explizit eine Haftung der Leitungsebene bei grober Vernachlässigung der Cybersecurity – IT-Sicherheit wird damit zur Chefsache. Dieser Schritt soll gewährleisten, dass Cybersicherheit in Organisationen nicht mehr bloß “IT-Thema” ist, sondern auf Vorstandsebene verankert wird. Für Unternehmen bedeutet das ggf. Anpassung der Governance: z.B. Einführung von Verantwortlichen auf Management-Level, regelmäßige Berichte an den Vorstand über das Sicherheitsniveau, etc.
Die Sanktionen bei Verstößen wurden deutlich verschärft. Damit schafft NIS 2 einen europaweit einheitlichen, empfindlichen Bußgeldrahmen. Ähnlich der DSGVO führt NIS 2 nun höchstmögliche Geldbußen ein, die sich am Umsatz des Unternehmens orientieren. Konkret müssen die Mitgliedstaaten Strafen von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes (je nachdem welcher Wert höher ist) für Verstöße bei wesentlichen Einrichtungen vorsehen. Für wichtige Einrichtungen (die etwas niedrigere Kategorie) liegen die Obergrenzen bei bis zu 7 Millionen Euro oder 1,4% des Jahresumsatzes. Diese harmonisierten Maximalstrafen sorgen EU-weit für erheblichen Druck – zumal auch die persönliche Haftung von Führungskräften im Raum steht, sollten diese ihre Pflichten grob verletzt haben. Zum Vergleich: Unter NIS1 waren die Bußgelder in Deutschland im BSI-Gesetz bislang gedeckelt (in vielen Fällen auf niedrige sechsstellige Beträge). NIS 2 schafft hier eine ganz neue Durchsetzungsschärfe. Zusätzlich zu Geldstrafen können Behörden weitere Maßnahmen ergreifen, etwa verbindliche Sicherheitsanweisungen erteilen oder Audits anordnen.
Subsumiert sendet NIS 2 die Botschaft: Cybersicherheit ist Pflichtaufgabe, kein Nice-to-have – und Verstöße werden nicht mehr als Kavaliersdelikt behandelt.
Die Vorteile von NIS 2 gegenüber NIS 1 bestehen allerdings darin, dass all diese Pflichten bekannt sind und es wenig bis keinen Spielraum für Interpretationen gibt. Für Unternehmen bedeutet das, dass sie sich frühzeitig auf die kommenden Änderungen einstellen und ihr Geschäft bereits jetzt danach ausrichten können!
Haben wir Ihr Interesse geweckt? Holen Sie sich jetzt ein Angebot ein! (Kopie)
Wir unterstützen Sie bei der Analyse und der Entwicklung einer durchgehend sicheren IT-Infrastruktur und sorgen dank modernster Sicherheitstechnik für ein Höchstmaß an Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Daten.
Die Neuerungen von NIS 2 gegenüber NIS1 auf einen Blick
Abschließend fassen wir die Änderungen bzw. die Vorteile von NIS 2 gegenüber NIS1 stichpunktartig zusammen. Unternehmen sollten diese Punkte kennen, um die Auswirkungen der neuen Richtlinie einschätzen zu können:
- Erweiterter Geltungsbereich: NIS 2 erfasst deutlich mehr Sektoren (18 statt zuvor 6) und bezieht erstmals Bereiche wie Abwasser- und Abfallwirtschaft, Hersteller kritischer Produkte und von Lebensmitteln, Post- und Kurierdienste und Raumfahrt ein – dadurch werden mehr Unternehmen in die Pflicht genommen.
- Klar definierte Pflichten: NIS 2 schreibt konkrete Maßnahmen vor (Risikomanagement, Incident Response, Supply-Chain-Security etc.) und verlangt regelmäßige Überprüfung der Sicherheitsvorkehrungen. Die Anforderungen an die Informationssicherheit werden strenger und detaillierter.
- Strengere Meldepflichten: Sicherheitsvorfälle müssen künftig schneller gemeldet werden – die Erstmeldung hat innerhalb von 24 Stunden zu erfolgen. Zudem erweitert sich der Kreis der meldepflichtigen Vorfälle. Ziel ist eine verbesserte Reaktion auf Cyberangriffe und eine effizientere Zusammenarbeit mit den Behörden.
- Einheitliche Standards in der EU: Die Richtlinie gilt in allen Mitgliedstaaten gleichermaßen für die definierten Sektoren. Unternehmen in der EU unterliegen damit vergleichbaren Regeln, was auch grenzüberschreitend für fairere Wettbewerbsbedingungen und ein gemeinsames Sicherheitsniveau sorgt.
- Härtere Durchsetzung & Sanktionen: NIS 2 ist kein zahnloser Tiger: hohe Bußgelder bei Verstößen (bis zu 10 Mio. € bzw. 2% Umsatz) und die Möglichkeit, Unternehmen bei Nichteinhaltung spürbar zu sanktionieren erhöhen die Verbindlichkeit enorm.
- Verantwortung des Managements: Cybersicherheit muss nun von oben gelebt werden. Die Unternehmensleitung ist für die Umsetzung verantwortlich und persönlich in der Pflicht, was die IT-Sicherheit intern erheblich priorisiert.
Unternehmen, die zu den nun erfassten Sektoren gehören oder an der Schwelle liegen, sollten sich frühzeitig mit den neuen Vorschriften vertraut machen. Der direkte Vergleich NIS1 vs NIS 2 lässt erkennen, dass die EU neue hybride Bedrohungen ernst nimmt und ihre Cybersecurity-Strategie dementsprechend anpasst. Für betroffene Firmen heißt das: höhere Anforderungen, aber auch mehr Unterstützung (durch einheitliche Regeln und staatliche Stellen wie das BSI).
NIS 2 zielt darauf ab, Europa resilienter gegen Cyberangriffe zu machen – indem alle kritischen Räder im Getriebe der Wirtschaft und der Verwaltung besser geschützt und vernetzt werden.
Jetzt handeln für NIS 2-Compliance
Obwohl das NIS 2-Umsetzungsgesetz noch nicht verabschiedet ist, stehen die wesentlichen Anforderungen bereits fest. Unternehmen sollten die verbleibende Zeit bis zur Verabschiedung nutzen, um Prozesse, Technik und Governance an die kommenden Vorgaben anzupassen. So vermeiden sie hektische Nachbesserungen, hohe Bußgelder und potenzielle Reputationsschäden.
Die Investition in Cybersicherheit ist damit nicht nur eine regulatorische Pflicht, sondern auch ein wichtiger Baustein für die Zukunftsfähigkeit Ihres Unternehmens.