NIS2 und Cyber Resilience Act: Pflichten für IT-Sicherheit in der EU

Kurz: NIS2 verpflichtet viele Unternehmen zu Risikomanagement und Meldungen bei Cybervorfällen; der Cyber Resilience Act verlangt Sicherheit von Produkten mit digitalen Elementen.

Genauer: Die EU verschärft ihre Cybersicherheitsregeln. Zwei große Vorhaben betreffen Betriebe und Hersteller: die NIS-2-Richtlinie (Netz- und Informationssicherheit) und der Cyber Resilience Act (CRA). Die Umsetzung in Deutschland und die Fristen entwickeln sich, prüfe den aktuellen Stand. Dies ist allgemeine Information und keine Rechtsberatung; Gesetze ändern sich, und Einzelfälle können anders liegen. Bei konkreten Problemen hilft eine Beratung (Verbraucherzentrale, Anwalt, Datenschutzaufsicht).

Im Detail

NIS2: Wen betrifft es?

Betroffen sind wesentliche und wichtige Einrichtungen in vielen Sektoren (Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, Post, Abfall, Lebensmittel, Industrie, Chemie u. a.), meist ab einer Größe von etwa 50 Beschäftigten oder 10 Mio. Euro Umsatz; manche Anbieter (zum Beispiel DNS, Rechenzentren) unabhängig von der Größe. Zulieferer können indirekt betroffen sein (Lieferkette).

NIS2: Was wird verlangt?

• Risikomanagementmaßnahmen: Risikoanalyse, Sicherheitskonzepte, Vorfallsbehandlung, Business Continuity/Backup, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Mehrfaktor-Authentifizierung, Schulungen.
• Meldepflichten: Frühwarnung innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat.
• Verantwortung der Geschäftsleitung (Billigung, Schulung, persönliche Haftung).
• Registrierung bei der Behörde (BSI) und Sanktionen (Bußgelder bis zu Millionenhöhe).

Cyber Resilience Act (CRA)

Der CRA gilt für Produkte mit digitalen Elementen (Hardware und Software, die vernetzt ist: Smart-Home-Geräte, Router, Apps, IoT, Software-Bibliotheken kommerziell vertrieben). Hersteller müssen sicher entwickeln (Security by Design), Schwachstellen managen, Updates über einen definierten Zeitraum bereitstellen (in der Regel mindestens 5 Jahre), Sicherheitsinformationen und eine SBOM (Software Bill of Materials) liefern und aktiv ausgenutzte Schwachstellen melden. Das CE-Zeichen soll künftig auch Cybersicherheit belegen. Open-Source ist grundsätzlich einbezogen, wenn kommerziell, mit Sonderregeln für Stiftungen („Steward“).

Was tun?

• Betroffenheit prüfen (Branche, Größe, Rolle in der Lieferkette).
• Bestandsaufnahme: Systeme, Daten, Lieferanten.
• Mindeststandard aufbauen (BSI-Grundschutz, ISO 27001, TOMs).
• Meldeprozess für Vorfälle definieren und üben.
• Lieferanten vertraglich verpflichten.
• Entwickler: Secure-Development-Praktiken, SBOM, Schwachstellenmeldung (Security.txt), Update-Prozess. Auch kleine Anbieter profitieren davon, dass Kunden zunehmend Nachweise verlangen.

Siehe auch: ISO 27001 und BSI-Grundschutz, TOMs, BSI-Gesetz, Responsible Disclosure