Der europäische Kontext
In der EU regulieren EU NIS2 und EU RCE die Sicherheit Kritischer Infrastrukturen. Beide legen Mindeststandards fest, die ab 2024 in EU-Staaten in nationalen Gesetzen umgesetzt werden müssen. Der Kern von NIS2 ist Cybersecurity, während sich RCE auf Resilienz und Krisen konzentriert. Neben NIS2 reguliert die DORA-Verordnung Finanzunternehmen in der EU.
EU RCE wird in Deutschland bis 2024 vom KRITIS-Dachgesetz umgesetzt, EU NIS 2 vom NIS2-Umsetzungsgesetz. Die Lage in den EU-Mitgliedsstaaten ist sehr uneinheitlich, in vielen Ländern ist die Gesetzgebung undurchsichtig. Implementing Acts konkretisieren einige Vorgaben EU-weit. Den Artikel zur NIS2 Implementation in Germany gibt es auch in Englisch.
KRITIS in der EU
Regulierung
NIS2 und RCE/CER regeln die Sicherheit von Betreibern in der EU mit ähnlicher Struktur und Methodik aber anderen Schwerpunkten – NIS 2 regelt Cybersecurity und RCE Resilienz. Die Regeln gehen deutlich weiter als die bisherige KRITIS-Regulierung. EU DORA reguliert als sektorspezifische Umsetzung Finanzunternehmen, die von NIS2 ausgenommen sind.
Schutzziele
RCE reguliert Resilienz, also Ausfallsicherheit von kritischen Betreibern in der EU, um die Auswirkungen disruptiver Störungen der Betreiber auf die Versorgung zu minimieren.
NIS2 reguliert die Informationssicherheit von kritischen Betreibern, um die Auswirkungen von Cyber Angriffen und Störungen auf IT-Systeme und Netzwerke zu minimieren.
DORA reguliert die digitale operationale Resilienz von Finanzunternehmen und kritischen IKT-Drittdienstleistern, um die Widerstandsfähigkeit des EU-Finanzmarktes zu stärken.
Maßnahmen
Alle drei Regelwerke verlangen von Unternehmen Maßnahmen und Vorfallsmeldungen:
RCE fordert Resilienz bei Betreibern durch Vorsorge, physische Sicherheit, Krisen-Management und BCM, personelle Sicherheit und Awareness.
NIS2 fordert Cybersecurity bei Betreibern durch Policies, Incident und BCM, IT-Sicherheit in der Supply Chain und Einkauf, Asset Management, Kryptographie und sichere Kommunikation.
DORA fordert Cybersecurity und Resilienz bei Finanzunternehmen durch Risikomanagement, Incident Management, Tests, Informationsaustausch und Management von IKT-Drittparteien. Kritische IKT-Drittdienstleistern müssen ebenfalls eigene umfangreiche Pflichten erfüllen.
Betreiber
NIS2 und RCE regulieren kritische Betreiber in teilweise deckungsgleichen EU-Sektoren mit deutlich einfacherer Methodik als die deutschen Schwellenwerte.
RCE fordert nationale Identifizierung der Betreiber durch die Staaten nach Risikoanalyse und disruptivem Effekt.
NIS2 legt betroffene Betreiber nach Unternehmensgröße (2003/361/EC) fest: ab 50 Mitarbeitern und 10 Mio EUR Umsatz.
DORA zählt die betroffenen Finanzunternehmen (z. B. Kreditinstitute, Zahlungsdienstleister, Ratingagenturen, Versicherungsunternehmen) mit Verweis auf EU-Richtlinien auf.
Aufsicht
RCE fordert in Mitgliedstaaten eine Behörde für Resilienz, die Betreiber identifiziert, Aufsicht ausübt und Vorgaben zur Umsetzung macht.
NIS2 fordert in Mitgliedstaaten eine Behörde für Cybersecurity, ein CSIRT und Krisen-Management. Es soll starke nationale Aufsicht, Vorgaben und Enforcement geben.
DORA nutzt zur Aufsicht von Finanzunternehmen bereits bestehende nationale Aufsichten. Für kritische IKT-Drittdienstleister wird eine eigene (neue) EU-Aufsicht etabliert.
Zusammenarbeit in der EU
RCE bindet die Kommission stark in die EU-weite Aufsicht für Resilienz ein und richtet zur Kooperation die CERG ein. Informationen werden auf EU-Ebene gesammelt.
NIS2 hat eine EU-Landschaft mit der ENISA, der Cooperation Group zur Kooperation, dem CSIRT-Netzwerk und EU-CyCLONe und der Kommission, mit viel Informationsaustausch.
DORA strebt eine Kooperation zwischen nationalen Behörden und EU-Behörden wie ESA, EZB und ENISA vor, plus Kooperation zwischen DORA- und NIS2-Behörden.
EU-Staaten
Die EU NIS2-Richtlinie muss von EU-Mitgliedsstaaten bis Oktober 2024 in nationales Recht umgesetzt werden. Der Umsetzungsstand variiert hierbei stark — einige Länder haben bereits Entwürfe verfasst haben und befinden sich im öffentlichen Diskurs.
Neben einer Übersicht über NIS2 in der EU gibt es einzelne Artikel zu bestimmten Ländern, wo genug Informationen verfügbar sind. Die Artikel sind auf Englisch.
Die Informationslage (April 2024) ist eher uneinheitlich — bei vielen Ländern haben wir keine oder nur sehr wenige öffentlichen Informationen gefunden. Hier waren noch keine Fortschritte erkennbar: Bulgarien, Dänemark, Estland, Griechenland, Irland, Lettland, Litauen, Luxemburg, Malta, Portugal, Rumänien, Slowakei, Slowenien, Spanien und Zypern.
Kritische Sektoren in der EU
Die betroffenen EU-Sektoren sind zwischen den Direktiven harmonisiert — NIS2 reguliert zwei Gruppen, RCE eine Gruppe, die deutschen KRITIS-Sektoren sind teils ähnlich.
| NIS2 EU | RCE EU | NIS2 Deutschland |
|---|---|---|
| Identifikation durch Unternehmensgröße |
Bestimmung Betreiber durch den Staat |
Identifikation durch Unternehmensgröße + tw. Schwellenwerte |
| Annex I | Critical Entities | Anlage 1 |
| Energie | Energie | Energie |
| Transport | Transport | Transport/Verkehr |
| Bankwesen | Bankwesen^ | Finanz/Versicherung |
| Finanzmärkte | Finanzmärkte^ | Finanz/Versicherung |
| Gesundheit | Gesundheit | Gesundheit |
| Trinkwasser | Trinkwasser | Wasser |
| Abwasser | Abwasser | Wasser |
| Digitale Infrastruktur* | Digitale Infrastruktur^ | Digitale Infrastruktur |
| ICT Service Management | - | Digitale Infrastruktur |
| Öffentliche Verwaltung* | Öffentliche Verwaltung | Bundesverwaltung** |
| Weltraum | Weltraum | Weltraum |
| Kritische Anlagen** | ||
| Annex II | Anlage 2 | |
| Post und Kurier | Post und Kurier | |
| Abfallwirtschaft | Entsorgung | |
| Chemikalien | Chemie | |
| Lebensmittel | Ernährung | Lebensmittel |
| Industrie | Verarbeitendes Gewerbe | |
| Digitale Dienste | Digitale Dienste | |
| Forschung | Forschung |
Zeitleiste
NIS2 und RCE wurde Ende 2022 in der EU verabschiedet und müssen bis Oktober 2024 national umgesetzt werden.
| Version | Status | Datum | Akteur |
|---|---|---|---|
| NIS 2 | Entwurfsversion (Proposal) | Dez 2020 | Kommission |
| RCE/CER | Entwurfsversion (Proposal) | Dez 2020 | Kommission |
| NIS 2 | Kompromissvorschlag NIS 2 | Okt 2021 | EU Parlament |
| NIS 2 | Einigkeit NIS 2 | Mai 2022 | EU Parlament + Kommission |
| NIS 2 | Zustimmung NIS 2 | Nov 2022 | EU Parlament |
| RCE/CER | Zustimmung RCE | Nov 2022 | EU Parlament |
| NIS 2 | Annahme NIS 2 | Nov 2022 | Rat der EU |
| NIS 2 | EU 2022/2555 | Dez 2022 | Amtsblatt |
| RCE/CER | EU 2022/2557 | Dez 2022 | Amtsblatt |
| NIS 2 | Umsetzung in der EU | bis Okt 24 | EU-Mitgliedstaaten |
| RCE | Umsetzung in der EU | bis Okt 24 | EU-Mitgliedstaaten |
| NIS 2 | NIS2-Umsetzungsgesetz | 2025 Q1? | Deutschland |
| RCE | KRITIS-Dachgesetz | 2025 H1? | Deutschland |
Weitere Informationen
Literatur
- Neue Cybersicherheitsstrategie der EU und neue Vorschriften zur Erhöhung der Widerstandsfähigkeit kritischer physischer und digitaler Einrichtungen, Website der Europäischen Kommission, 16.12.2020
- Proposal for directive on measures for high common level of cybersecurity across the Union, European Commission website, 8.3.2021
Quellen
- EU decides to strengthen cybersecurity and resilience across the Union: Council adopts new legislation , Council of the EU, Press release ,28 November 2022
- European Parliament legislative resolution of 10 November 2022 on the proposal for a directive of the European Parliament and of the Council on measures for a high common level of cybersecurity across the Union repealing Directive (EU) 2016/1148 (COM(2020)0823 – C9-0422/2020 – 2020/0359(COD)), 10.11.2022 EU-Parlament
- European Parliament legislative resolution of 22 November 2022 on the proposal for a directive of the European Parliament and of the Council on the resilience of critical entities, COM(2020)0829 – C9-0421/2020 – 2020/0365(COD), 22.11.2022