CIR 2024/2690 Leitfaden
Die Durchführungsverordnung der EU-Kommission definiert die technischen Mindestanforderungen für NIS2 - unmittelbar anwendbar, ohne nationale Umsetzung.
Was ist die CIR 2024/2690?
Die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 legt die technischen und methodischen Anforderungen für die Cybersicherheitsmaßnahmen nach Artikel 21 Absatz 2 der NIS2-Richtlinie fest. Sie gilt unmittelbar in allen EU-Mitgliedstaaten - eine nationale Umsetzung ist nicht erforderlich.
Die CIR richtet sich primär an bestimmte Anbietertypen digitaler Infrastruktur (DNS-Diensteanbieter, Cloud-Computing-Dienste, Managed Services u.a.), bildet aber in Deutschland über das BSIG den technischen Mindeststandard für alle betroffenen Einrichtungen. Der Anhang der Verordnung enthält die konkreten Anforderungen, gegliedert nach 13 Maßnahmenbereichen.
Für deutsche Unternehmen ist die CIR besonders relevant, weil §30 BSIG die 10 Maßnahmen des Artikels 21 NIS2-Richtlinie umsetzt und das BSI die CIR-Anforderungen als Mindeststandard heranzieht. Unternehmen, die IT-Grundschutz nach BSI-200-x implementieren, decken die CIR-Anforderungen vollständig ab (§44 Abs. 2 BSIG).
DNS-Diensteanbieter
TLD-Namensregistrierungsstellen
Cloud-Computing-Diensteanbieter
Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste
Online-Marktplätze
Anbieter von Plattformen für soziale Netzwerke
Vertrauensdiensteanbieter
Struktur der Verordnung
Die CIR besteht aus 7 Artikeln und einem umfangreichen Anhang mit den technischen Anforderungen.
Artikel 2 - Technische und methodische Anforderungen
Verweist auf den Anhang, der die konkreten Maßnahmen nach Artikel 21 Abs. 2 NIS2-Richtlinie definiert.
Artikel 3 - Erheblichkeit von Sicherheitsvorfällen
Definiert die Kriterien, wann ein Sicherheitsvorfall als erheblich gilt und meldepflichtig wird.
Artikel 4 - Wiederkehrende erhebliche Vorfälle
Regelt, wann mehrere einzelne Vorfälle als zusammenhängender erheblicher Vorfall zu werten sind.
Artikel 5 - Erheblicher Vorfall bei Vertrauensdiensteanbietern
Spezifische Erheblichkeitskriterien für qualifizierte und nicht qualifizierte Vertrauensdiensteanbieter.
Artikel 6 - Überprüfung
Die Kommission überprüft die Verordnung bis zum 17. Oktober 2027 und danach regelmäßig.
Artikel 7 - Inkrafttreten
Die Verordnung trat am 7. November 2024 in Kraft - 20 Tage nach Veröffentlichung im Amtsblatt der EU.
Konzept für die Sicherheit von Netz- und Informationssystemen
Erfordert ein dokumentiertes, von der Leitungsebene genehmigtes Konzept für die Sicherheit von Netz- und Informationssystemen, das den Ansatz der Einrichtung zum Sicherheitsmanagement festlegt, in geplanten Abständen überprüft und nach erheblichen Vorfällen oder Änderungen aktualisiert wird. Es bildet den Rahmen für alle nachfolgenden Maßnahmen.
Konzept für das Risikomanagement
Erfordert einen Risikomanagementrahmen mit definierter Methodik, die Identifikation von Risiken für Netz- und Informationssysteme, deren Analyse und Bewertung anhand von Risikoakzeptanzkriterien, einen Behandlungsplan sowie die Genehmigung des Restrisikos durch die Leitungsebene, überprüft in geplanten Abständen.
Bewältigung von Sicherheitsvorfällen
Erfordert ein Konzept und Verfahren zur Erkennung, Analyse, Eindämmung, Reaktion auf und Wiederherstellung nach Sicherheitsvorfällen, mit definierten Rollen, Protokollierung, Eskalation und Kommunikation sowie einer strukturierten Nachbereitung, deren Erkenntnisse in die Maßnahmen zurückfließen.
Betriebskontinuität und Krisenmanagement
Erfordert einen Plan für Betriebskontinuität und Notfallwiederherstellung auf Grundlage einer Business-Impact-Analyse, das Management von Backups und Redundanzen mit getesteten Wiederherstellungsverfahren sowie einen Krisenmanagementplan mit definierten Rollen, der in geplanten Abständen überprüft und getestet wird.
Sicherheit der Lieferkette
Erfordert ein Konzept für die Sicherheit der Lieferkette, das die Beziehungen zu direkten Lieferanten und Dienstleistern regelt, einschließlich Sicherheitskriterien für die Auswahl, vertraglicher Anforderungen und eines Verzeichnisses der Lieferanten, das über den gesamten Lebenszyklus der Beziehung gepflegt und überwacht wird.
Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
Erfordert, dass Sicherheit in Erwerb, Entwicklung und Wartung von Systemen integriert wird, einschließlich sicherer Entwicklungspraktiken, Konfigurationsmanagement, Änderungsmanagement, Sicherheitstests, Patch-Management und der Behandlung von Schwachstellen über den gesamten Lebenszyklus.
Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen im Bereich der Cybersicherheit
Erfordert, dass die Einrichtung Konzepte und Verfahren festlegt, um zu beurteilen, ob ihre Risikomanagementmaßnahmen wirksam sind, einschließlich Überwachung, Überprüfung und unabhängiger Bewertung, damit Mängel erkannt und die Maßnahmen im Laufe der Zeit verbessert werden.
Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen zur Cybersicherheit
Erfordert grundlegende Verfahren der Cyberhygiene und ein Programm zur Sensibilisierung für die gesamte Belegschaft, mit rollenspezifischen Schulungen für Personal mit Sicherheitsaufgaben und für die Leitungsebene, die Konzepte, Bedrohungen und Meldepflichten umfassen.
Kryptografie
Erfordert ein Konzept und Verfahren für den Einsatz von Kryptografie, einschließlich der Auswahl von Algorithmen und Schlüssellängen, die den Daten angemessen sind, sowie ein Schlüsselmanagement, das Erzeugung, Speicherung, Rotation und Vernichtung umfasst und am aktuellen Stand der Technik überprüft wird.
Sicherheit des Personals
Erfordert Maßnahmen zur Personalsicherheit über den gesamten Beschäftigungslebenszyklus, einschließlich einer angemessenen Überprüfung vor der Einstellung, definierter Sicherheitsverantwortlichkeiten, von Beschäftigungsbedingungen sowie Verfahren für Rollenwechsel und Beendigung, sodass der Zugang mit dem Ende des Beschäftigungsverhältnisses entfällt.
Zugriffssteuerung
Erfordert ein Konzept zur Zugriffssteuerung mit der Verwaltung von Zugriffsrechten (11.2) und privilegierten Konten (11.3), Administrationssystemen (11.4), eindeutiger Identifikation (11.5), Authentifizierung (11.6) sowie Multi-Faktor- oder kontinuierlicher Authentifizierung (11.7) für den Zugriff auf kritische Systeme und den Fernzugriff, überprüft in geplanten Abständen.
Management der Anlagen
Erfordert ein Konzept für das Management der Anlagen mit Klassifizierung der Anlagen, einem Verzeichnis der Netz- und Informationssysteme und unterstützender Anlagen, Handhabungsregeln entsprechend der Klassifizierung sowie Konzepte für Wechseldatenträger und die sichere Rückgabe oder Entsorgung von Anlagen.
Umgebungs- und physische Sicherheit
Erfordert den Schutz von Einrichtungen vor physischen und umgebungsbedingten Bedrohungen, einschließlich unterstützender Versorgungseinrichtungen, kontrollierten physischen Zugangs zu Systemen sowie Schutz vor Ausfällen wie Stromausfall, Brand und Wasser, verhältnismäßig zum Risiko für die Systeme.
Die CIR definiert den europäischen technischen Mindeststandard. §30 BSIG setzt die NIS2-Maßnahmen in deutsches Recht um und kann über die CIR hinausgehende Anforderungen enthalten. Das BSI zieht die CIR als Referenz für die Bewertung der Angemessenheit technischer Maßnahmen heran.
Für deutsche Unternehmen empfiehlt sich die Implementierung über IT-Grundschutz (BSI-200-1 bis BSI-200-4): Das Grundschutz-Kompendium deckt alle CIR-Anforderungen vollständig ab und bietet eine nach §44 Abs. 2 BSIG anerkannte Nachweismethodik. BSI-Prüfer kennen die Grundschutz-Struktur - das beschleunigt Audits.
Unternehmen mit bestehender ISO 27001-Zertifizierung decken einen Großteil der CIR-Anforderungen ab, müssen jedoch NIS2-spezifische Lücken schließen: Meldepflichten (Art. 23 NIS2-RL/§32 BSIG), erweiterte Lieferkettensorgfalt, Geschäftsführerhaftung (§38 BSIG) und die BSI-Registrierung (§33 BSIG).
- EUR-Lex - Durchführungsverordnung (EU) 2024/2690 der Kommission (OJ L, 2024/2690)
- ENISA - Implementing Guidance on NIS2 Technical Measures (2024)
- secuvera GmbH - Analyse der NIS2-Durchführungsverordnung (CIR) (2024)
- BSI - IT-Grundschutz-Kompendium, Edition 2024
- BSIG - Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, §30, §44