Cybersecurity
Internet und Digitales
Die EU NIS2 Risikomanagement-Maßnahmen Art. 21 werden für bestimmte Internet-Provider verbindlich durch einen Implementing Act der Kommission konkretisiert. Der Implementing Act ist im Oktober 2024 als Durchführungsverordnung (EU) 2024/2690 in Kraft getreten.
Die Commission Regulation definiert für Internet- und IT-Provider im Annex, welche technischen und methodischen Anforderungen zu beachten sind. Art. 21 (5) UA 1
- DNS-Provider und TLDs
- Cloud Computing Provider und CDNs
- Rechenzentrums-Dienste
- Managed Service Provider und Managed Security Service Provider
- Online-Marktplätze, Suchmaschinen und soziale Netzwerke
- Trust Service Provider
Der Implementing Act hat nach §30 (3) BSIG Vorrang vor dem Gesetz und ist für die oben definierten Provider-Gruppen verbindlich. Die Sicherheitsmaßnahmen sind im Annex der Commission Implementing Regulation enthalten und definieren für die einzelnen Punkte aus Art. 21 (2) detaillierte Vorgaben. Aus unserem Mapping zu ISO 27001, KRITIS und NIS2 lassen sich die 159 Kontrollen gruppieren:
| Gruppe | Kap. | Anforderungen | # |
|---|---|---|---|
| Management und Vorgaben | 1 2 7 12 |
Policy security of network and information systems Risk management policy Effectiveness of cybersecurity Asset management |
8 Kontrollen 11 Kontrollen 3 Kontrollen 13 Kontrollen |
| Vorfallsmanagement | 3 | Incident Management | 22 Kontrollen |
| Kontinuität | 4 | Business Continuity | 14 Kontrollen |
| Lieferkette | 5 | Supply Chain | 8 Kontrollen |
| IT-Sicherheit und Netzwerke | 6 9 11 |
Security in acquisition and development Cryptography Access control |
31 Kontrollen 3 Kontrollen 21 Kontrollen |
| Personalsicherheit | 10 8 |
Human resources security Cyber hygiene |
10 Kontrollen 8 Kontrollen |
| Physische Sicherheit | 13 | Physical Security | 9 Kontrollen |
Im Vergleich mit ISO 27001 und KRITIS finden sich tiefere Anforderungen als in bisherigen Standards.
- Starker Fokus auf Krisenmanagement, Business Continuity (BCM) und Vorsorge
- Schwerpunkt auf Review- und Verbesserungen in allen Einzelthemen
- Regelmäßiger expliziter Einbezug von Drittparteien und Externen
- Einige sehr spezifische Anforderungen (Netzwerke, Accounts, Systeme)
- Existierende ISMS-Controlsets werden erweitert und vertieft werden müssen
- Manche Lücken könnten durch Management Systeme selbst abgefangen werden
Für betroffene Einrichtungen wird es Handlungsbedarf im ISMS geben.
Allgemeine Sektoren
Die EU NIS2-Direktive definiert in Art. 21 umfangreiche Maßnahmen zu Risikomanagement, die betroffene Einrichtungen umsetzen müssen. Diese Maßnahmen umfassen Themen von Policies über Incident Management bis Authentisierung und sind im deutschen NIS2-Gesetz in §30 definiert.
Nach Art. 21 (5) UAbs 2 der EU NIS2-Richtlinie kann die europäische Kommission über einen Implementing Act für alle Sektoren Cybersecurity-Maßnahmen regeln,
- welche technischen und methodischen Anforderungen und
- welche sektorspezifischen Anforderungen zu beachten sind.
Diese Anforderungen würden eine Konkretisierung der notwendigen Sicherheitsmaßnahmen darstellen und für alle betroffenen besonders wichtigen und wichtigen Einrichtungen gelten.
Ein solcher Implementing Act hätte nach §30 (4) des NIS2-Umsetzungsgesetzes Vorrang gegenüber den in §30 (2) geforderten Risikomanagementmaßnahmen. Falls der Act erlassen wird, ist davon auszugehen, dass die Maßnahmen konkreter und detaillierter als im Gesetz beschrieben werden – zur Orientierung von Betreibern.
Meldepflichten
Erhebliche Vorfälle
Einrichtungen müssen in NIS2 erhebliche Sicherheitsvorfälle an nationale Behörden melden. Nach Art. 23 (11) der EU NIS2-Richtlinie muss die EU-Kommission bis Oktober 2024 einen Implementing Act erlassen, der definiert, wann ein Sicherheitsvorfall als erheblich einzustufen und damit zu melden ist.
Dies ist mit der EU-Durchführungsverordnung (EU) 2024/2690 seit 2024 umgesetzt.
Scope und Betroffenheit
Der Act gilt für DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke Durchführungsrechtsakte
.
Für andere Sektoren und Einrichtungen sind diese Vorgaben nicht verbindlich, können aber als Orientierung für Kriterien von erheblichen Sicherheitsvorfällen dienen, speziell Art. 3.
Vorgaben
Neben den technisch-methodischen Vorgaben für Cloud in Art. 2 (+ Annex) definiert der Implementing Act allgemeine und Betreiber-spezifische Vorgaben für Sicherheitsvorfälle in Art. 2-14 Die Kriterien betreffen die Feststellung von erheblichen Sicherheitvorfällen, die mindestens meldepflichtig sind.
| Betreiber | Erhebliche Sicherheitsvorfälle Vorfälle mit folgenden (möglichen) Konsequenzen: |
|---|---|
| Alle Betreiber Art. 3 |
|
| Wiederkehrende Incidents Art. 4 |
|
| DNS-Provider Art. 5 |
|
| TLD-Registries Art. 6 |
|
| Cloud-Provider Art. 7 |
|
| Rechenzentren Art. 8 |
|
| CDN-Betreiber Art. 9 |
|
| MSP und MSSP Art. 10 |
|
| Marktplätze Art. 11 |
|
| Suchmaschinen Art. 12 |
|
| Soziale Netzwerke Art. 13 |
|
| Trust Services Art. 14 |
|
Status
Der Implementing Act C(2024) 7151 ist mit dem Implementing Act für Maßnahmen für Internet-Provider zusammengefasst und im Oktober 2024 in Kraft getreten.
Im deutschen NIS2-Umsetzungsgesetz darf das Innenministerium über §2 (2) mit einer Rechtsverordnung die Definition von erheblich regeln. Ein Implementing Act der EU hat gegenüber dieser Rechtsverordnung jedoch auch Vorrang.