Die neuen Meldepflichten unter NIS2

Die digitale Landschaft ist ständig in Bewegung, und mit ihr wachsen die Herausforderungen im Bereich der Cybersicherheit. Um der zunehmenden Anzahl von Cyberangriffen und Sicherheitsvorfällen innerhalb der EU zu begegnen, hat die Europäische Union die NIS2-Richtlinie (Network and Information Security Directive) erlassen. Mit dieser Weiterentwicklung der ursprünglichen NIS-Richtlinie gehen strengere Vorschriften einher, insbesondere was die Meldepflichten bei Sicherheitsvorfällen betrifft. In diesem Blogbeitrag werfen wir einen Blick auf die neuen Meldepflichten unter NIS2, welche meldepflichtigen Sicherheitsvorfälle und welche Fristen es gibt.

In diesem Artikel:

• Was ist die NIS2-Verordnung?
• Neue Meldepflichten für Sicherheitsvorfälle nach §32
• Fristen für die Meldung
• Strafen bei Nichteinhaltung
• Vorbereitung auf NIS2

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie wurde entwickelt, um die Cyber- und Informationssicherheit in der EU zu stärken. Sie umfasst eine breite Palette von organisatorischen und technischen Aspekten. Ziel der überarbeiteten Version der ersten EU-weiten Cybersicherheitsvorschrift ist es, ein hohes gemeinsames Niveau an Sicherheit von IT- und Informationssystemen in der EU sicherzustellen. Sie deckt wichtige Sektoren ab, darunter Energie, Transport, Wasserwirtschaft, Gesundheitswesen und digitale Infrastrukturen. Mehr zur NIS2-Richtlinie können Sie hier lesen.

Neue Meldepflichten für Sicherheitsvorfälle nach §32

NIS2 verschärft die Anforderungen an die Meldepflichten für Sicherheitsvorfälle. Die Unternehmen sind verpflichtet, erhebliche Sicherheitsvorfälle innerhalb bestimmter Fristen zu melden, oft „unverzüglich“. Dies soll eine transparentere Risikobewertung und eine verstärkte gemeinsame Reaktion auf Cyberbedrohungen ermöglichen.

Was sind meldepflichtige Sicherheitsvorfälle?

Sicherheitsvorfälle, die unter die neuen Meldepflichten fallen würden, können von Fehlkonfigurationen bis hin zu ausgeklügelten Cyberangriffen reichen. Hier sind Beispiele für solche Vorfälle, die im Rahmen von NIS2 meldepflichtig sein können:

1. Datenschutzverletzungen: Eindringen in Unternehmensnetzwerke mit dem Ziel, sensible Daten zu stehlen. Zum Beispiel persönliche Informationen von Kunden oder Mitarbeitern, Unternehmensgeheimnisse oder geistiges Eigentum.
2. Ransomware-Attacken: Verschlüsselung von Unternehmensdaten durch bösartige Software und Forderung eines Lösegelds für die Freischaltung. Selbst wenn die Daten durch Backups oder andere Mittel wiederhergestellt werden, kann der Vorfall unter die NIS2 Meldepflichten fallen.
3. DDoS-Angriffe (Distributed Denial of Service): Überflutung einer Website, eines Servers oder einer Netzwerkressource mit schädlichem Traffic, wodurch der Dienst für Nutzer unzugänglich wird.
4. Phishing-Angriffe: Versuche, über gefälschte E-Mails oder Websites vertrauliche Informationen zu erlangen, die die Cybersicherheit des Unternehmens kompromittieren könnten.
5. Sicherheitslücken in Hardware und Software: Der Missbrauch von Schwachstellen in kritischen Systemen, welche nicht rechtzeitig durch Patches oder Updates behoben wurden, könnte zu schwerwiegenden Ausfällen oder Sicherheitsverletzungen führen.
6. Unberechtigter Zugriff: Fälle, in denen Mitarbeiter oder Außenstehende ohne Befugnis auf vertrauliche Daten oder Systeme zugreifen. Sei es durch Fehlkonfigurationen, Schwachstellen oder bösartige Absichten.
7. Verlust von Datenträgern oder Geräten: Verlust oder Diebstahl von Laptops, Smartphones, USB-Sticks oder anderen Geräten, die sensible Informationen enthalten könnten.
8. Supply-Chain-Angriffe: Kompromittierung von Software oder Dienstleistungen der Lieferkette, die zu einer Beeinträchtigung des eigenen Betriebs führen könnte.
9. Manipulation von Software oder Daten: Vorfälle, in denen interne oder externe Akteure Software oder Daten absichtlich so manipulieren, dass die Integrität oder Verfügbarkeit der Dienste beeinträchtigt wird.
10. Ausfälle der IT-Infrastruktur: Technische Probleme oder Ausfälle kritischer IT-Komponenten durch Fehler oder Fehlkonfigurationen, die zu einer Unterbrechung von Diensten führen.

Wem müssen Sicherheitsvorfälle gemeldet werden?

Sogenannte „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ sind verpflichtet, bestimmte Informationen an eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete gemeinsame Meldestelle zu melden.

Fristen für die Meldung

• Unternehmen müssen die Behörden „unverzüglich“ innerhalb von 24 Stunden nach Feststellung eines Sicherheitsvorfalls, in Form einer frühen Erstmeldung, informieren.
• Innerhalb von 72 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls soll die Erstmeldung bestätigt oder aktualisiert werden, sodass eine erste Bewertung stattfinden kann.
• Auf Nachfrage müssen relevante Statusaktualisierungen erfolgen
• Spätestens einen Monat nach Meldung muss eine ausführliche Abschlussmeldung inklusive Schilderung der getroffenen Maßnahmen und möglicher grenzüberschreitender Auswirkungen erfolgen.

Strafen bei Nichteinhaltung

Die NIS2-Richtlinie sieht erhebliche Strafen für Unternehmen und Einrichtungen vor, die den Meldepflichten nicht nachkommen. Diese können bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Unternehmens betragen.

Vorbereitung auf NIS2

Unternehmen sollten ihre internen Prozesse überarbeiten, um sicherzustellen, dass sie den Meldepflichten nachkommen können. Dazu gehören die Einrichtung effizienter Aufdeckungs- und Meldesysteme, die Schulung von Mitarbeitern und die ständige Überwachung der Cybersicherheitslage. Diese Proaktivität ist unerlässlich, da die digitale Welt zunehmend miteinander verbunden ist und Cyberangriffe immer fortgeschrittener werden. Während die Implementierung solcher Vorschriften eine Herausforderung darstellen kann, ist sie ein entscheidender Schritt zur Gewährleistung der Resilienz und Sicherheit europäischer Netz- und Informationssysteme.

Ist Ihr Unternehmen auf die NIS2-Richtlinie vorbereitet? Optimalen Schutz bieten Softwarelösungen wie die Security Suite der actago GmbH. Diese überwacht automatisiert Ihre IT-Systeme und schlägt im Falle potenzieller Sicherheitslücken proaktiv Alarm. Treten Sie mit uns in Kontakt und erfahren Sie mehr.