NIS 2 vs NIS 1: was sich tatsachlich geandert hat
Artikel 41 der Richtlinie (EU) 2022/2555 hebt die NIS 1 Richtlinie mit Wirkung vom 18. Oktober 2024 auf. Diese Seite beschreibt, was das in der Praxis bedeutet.
Uberblick
NIS 1 war die Richtlinie (EU) 2016/1148. Sie erfasste sieben Sektoren und unterschied zwei Adressatengruppen: Betreiber wesentlicher Dienste (OES) und Anbieter digitaler Dienste (DSP). Die OES wurden von den Mitgliedstaaten einzeln benannt.
NIS 2 ist die Richtlinie (EU) 2022/2555. Sie erfasst 15 Sektoren in Anhang I und 7 Sektoren in Anhang II, ersetzt die Unterscheidung OES und DSP durch wesentliche und wichtige Einrichtungen und nutzt eine ausdruckliche Grossenschwelle (ab 50 Beschaftigten oder uber 10 Millionen Euro Jahresumsatz).
Artikel 41 NIS 2 hebt die NIS 1 Richtlinie mit Wirkung vom 18. Oktober 2024 auf. Verweise im nationalen Recht auf die alte Richtlinie gelten ab diesem Datum als Verweise auf NIS 2. Nationale Umsetzungsgesetze (etwa das deutsche BSIG in der NIS 2 Fassung) losen die fruhere Architektur des IT-Sicherheitsgesetzes 2.0 ab.
Richtlinie (EU) 2022/2555 Artikel 41
Die Richtlinie (EU) 2016/1148 wird mit Wirkung vom 18. Oktober 2024 aufgehoben.
Das Aufhebungsdatum ist zugleich die Umsetzungsfrist. Verweise auf NIS 1 in anderen EU Rechtsakten gelten als Verweise auf NIS 2.
Durchfuhrungsverordnung (EU) 2024/2690
Diese Verordnung legt die technischen und methodischen Anforderungen der in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 genannten Massnahmen fest [...]
Die Durchfuhrungsverordnung konkretisiert die Massnahmen nach Artikel 21 Absatz 2 fur eine eng umrissene Gruppe digitaler Infrastrukturanbieter. Der Massnahmenkatalog nach Artikel 21 gilt fur alle NIS 2 Einrichtungen.
Deutschland: BSIG in der NIS 2 Fassung
Gesetz uber das Bundesamt fur Sicherheit in der Informationstechnik (BSI-Gesetz).
Deutschland setzt NIS 2 durch Anderung des BSIG um. Die fruhere Architektur des IT-Sicherheitsgesetzes 2.0 (nur KRITIS Betreiber) wird abgelost durch einen weiteren Anwendungsbereich mit wesentlichen und wichtigen Einrichtungen.
Von 7 Sektoren mit OES Benennung zu 15 plus 7 Sektoren mit Grossenschwelle
NIS 1 erfasste sieben Sektoren und verlangte eine Einzelbenennung der OES durch die Mitgliedstaaten. NIS 2 listet 15 Sektoren in Anhang I (wesentliche Einrichtungen) und 7 Sektoren in Anhang II (wichtige Einrichtungen) und gilt automatisch fur Einrichtungen dieser Sektoren, die die Grossenschwelle erreichen (ab 50 Beschaftigten oder uber 10 Millionen Euro Jahresumsatz). Einige Einrichtungstypen sind unabhangig von der Grosse erfasst.
Von Artikel 14 mit allgemein gehaltenen Massnahmen zu Artikel 21 mit zehn Massnahmenbereichen plus Artikel 20 und Artikel 23
Artikel 14 NIS 1 verlangte geeignete und verhaltnismassige Massnahmen in eher allgemeiner Form. Artikel 21 Absatz 2 NIS 2 benennt zehn konkrete Bereiche (Risikoanalyse, Bewaltigung von Sicherheitsvorfallen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitsbewertung, grundlegende Cyberhygiene und Schulung, Kryptographie, Zugriffskontrolle und Anlagenverwaltung, Mehrfaktorauthentifizierung und sichere Kommunikation). Artikel 20 fugt ausdruckliche Pflichten des Leitungsorgans hinzu, Artikel 23 einen strukturierten Meldeprozess und Artikel 27 die Registrierung.
Von nationalem Ermessen zu EU weiten Mindesthochstbetragen
NIS 1 uberliess die Sanktionen weitgehend dem nationalen Recht und fuhrte zu sehr unterschiedlichen Hochstbetragen. Artikel 34 NIS 2 setzt EU weite Mindesthochstbetrage: fur wesentliche Einrichtungen mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Wert hoher ist; fur wichtige Einrichtungen mindestens 7 Millionen Euro oder 1,4 Prozent. Artikel 32 und Artikel 33 erweitern zudem den Katalog der Aufsichts- und Durchsetzungsbefugnisse.
Technische Massnahmen sind weitgehend ubertragbar
Eine Einrichtung, die Artikel 14 NIS 1 bereits umgesetzt hat, erkennt vieles in Artikel 21 Absatz 2 NIS 2 wieder: Bewaltigung von Sicherheitsvorfallen, Aufrechterhaltung des Betriebs, Lieferkette sowie grundlegende Cyberhygiene und Schulung. Die Bezeichnungen und die Detailtiefe haben sich geandert, der inhaltliche Kern blieb bestehen.
Governance und Meldewesen sind neu
Artikel 20 macht das Leitungsorgan dafur verantwortlich, die Risikomanagementmassnahmen zu billigen, ihre Umsetzung zu uberwachen und an Schulungen teilzunehmen. Artikel 23 fuhrt einen dreistufigen Ablauf ein: Fruhwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Beides war in NIS 1 in dieser Form nicht enthalten.
Bundesamt fur Sicherheit in der Informationstechnik (BSI)
Das BSI ist die zustandige Behorde nach dem BSIG. Es betreibt das Einrichtungsregister, veroffentlicht Handreichungen zu Geschaftsfuhrerschulung und weiteren Pflichten und beaufsichtigt wesentliche und wichtige Einrichtungen. KRITIS Betreiber bleiben als Untermenge mit zusatzlichen Pflichten bestehen.
Agentur der Europaischen Union fur Cybersicherheit (ENISA)
Die ENISA veroffentlicht den Technical Implementation Guidance zu den Massnahmen nach Artikel 21 Absatz 2 und betreibt die europaische Schwachstellendatenbank nach Artikel 12. Die Texte sind unverbindlich, werden von Aufsichtsbehorden aber als praktische Basis herangezogen.
BSIG lost Architektur des IT-Sicherheitsgesetzes 2.0 ab
Deutschland setzt NIS 2 durch Anderung des BSIG um. Das fruhere Modell des IT-Sicherheitsgesetzes 2.0 war auf KRITIS Betreiber ausgerichtet. Die NIS 2 Fassung des BSIG erweitert den Anwendungsbereich auf wesentliche und wichtige Einrichtungen und fugt die Pflichten aus Artikel 20, Artikel 23 und Artikel 27 hinzu.
Unsere NIS 1 Unterlagen gelten unverandert weiter.
Die technischen Massnahmen sind weitgehend ubertragbar, der rechtliche Rahmen nicht. NIS 2 fugt Pflichten des Leitungsorgans (Artikel 20), einen dreistufigen Meldeprozess (Artikel 23), eine Registrierung (Artikel 27) und einen strukturierten Massnahmenkatalog (Artikel 21 Absatz 2) hinzu. Altere NIS 1 Unterlagen haben in den Bereichen Governance, Meldefristen und Lieferkette regelmassig Lucken. Sie sind Ausgangspunkt, nicht abgeschlossene Dokumentation.
Es ist dieselbe Behorde, also dieselbe Aufsicht.
In mehreren Mitgliedstaaten ist die Aufsichtsbehorde fur NIS 1 zugleich die Aufsichtsbehorde fur NIS 2 (in Deutschland das BSI). Die Institution ist dieselbe, ihre gesetzlichen Befugnisse und der Kreis der beaufsichtigten Einrichtungen sind es nicht. Artikel 32 und Artikel 33 NIS 2 erweitern den Katalog der Aufsichts- und Durchsetzungsbefugnisse, Artikel 34 fuhrt EU weite Mindesthochstbetrage ein, die es unter NIS 1 nicht gab.
Inhaltlich hat sich nichts Wesentliches geandert.
Anwendungsbereich (15 plus 7 Sektoren mit Grossenschwelle), Governance (Artikel 20 Leitungspflichten), Meldewesen (Artikel 23 Kaskade), Registrierung (Artikel 27) und Sanktionen (Artikel 34 Hochstbetrage) wurden alle verandert. Die Formulierung geeignet und verhaltnismassig steht in beiden Richtlinien, der Katalog dahinter ist in NIS 2 deutlich konkreter.
In der Praxis ist die Migration selten ein Neustart auf der grunen Wiese. Die meisten Einrichtungen ubernehmen Teile ihres NIS 1 Risikoregisters, ihrer Incident Playbooks und ihrer Lieferantenliste und erganzen die neuen Elemente: eine Entscheidung des Leitungsorgans zu den Massnahmen nach Artikel 21 Absatz 2, einen Meldeprozess nach Artikel 23 mit den Zeitstempeln 24 Stunden, 72 Stunden und ein Monat, einen Eintrag im Register nach Artikel 27 und einen Abschnitt zur Lieferkette nach Artikel 21 Absatz 2 Buchstabe d.
Die sichtbarste Anderung ist meist das Meldewesen. Aus der einen Meldung ohne unangemessene Verzogerung der NIS 1 Welt werden drei getrennte Dokumente mit eigenen Fristen und unterschiedlichem internem Adressatenkreis. Praktiker ziehen daher haufig den Incident Workflow als Erstes neu auf, weil dort die neuen Fristen schnell wirksam werden.
Das Pflichtenregister ist nach den Artikeln der NIS 2 strukturiert. Die Massnahmen nach Artikel 21 Absatz 2 werden als einzelne Anforderungen gefuhrt, die Meldefristen nach Artikel 23 als dreistufiger Vorfallsprozess, die Registrierung nach Artikel 27 als eigener Datensatz und die Entscheidung des Leitungsorgans nach Artikel 20 als Freigabe.
Wenn eine Einrichtung bereits Nachweise aus der NIS 1 Welt hat, lassen sich diese der entsprechenden NIS 2 Anforderung zuordnen. Die Plattform unterstellt keine pauschale Ubertragung. Jede Anforderung wird gepruft und als erfullt, teilweise erfullt oder offen markiert, mit Datum und verantwortlicher Person.
- Richtlinie (EU) 2022/2555, Artikel 41 (Aufhebung der Richtlinie (EU) 2016/1148), Artikel 20, 21, 23, 27, 32, 33, 34 sowie Anhang I und Anhang II (EUR-Lex).
- Richtlinie (EU) 2016/1148, Artikel 14 (Sicherheitsanforderungen fur OES) und Artikel 16 (Sicherheitsanforderungen fur DSP) (EUR-Lex).
- Durchfuhrungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, Erwagungsgrunde und Anhang (EUR-Lex).
- Bundesamt fur Sicherheit in der Informationstechnik (BSI), Informationsseiten zur NIS 2 und Verweise zum BSIG (bsi.bund.de).
- ENISA, Technical Implementation Guidance zu Artikel 21 Absatz 2 NIS 2 (enisa.europa.eu).