EU-Regulierung für Cyber Security in Kritischen Infrastrukturen (2024)

Regulierung

NIS2 und RCE/CER regeln die Sicherheit von Betreibern in der EU mit ähnlicher Struktur und Methodik aber anderen Schwerpunkten – NIS 2 regelt Cybersecurity und RCE Resilienz. Die Regeln gehen deutlich weiter als die bisherige KRITIS-Regulierung.EU DORA reguliert als sektorspezifische Umsetzung Finanzunternehmen, die von NIS2 ausgenommen sind.

Schutzziele

RCE reguliert Resilienz, also Ausfallsicherheit von kritischen Betreibern in der EU, um die Auswirkungen disruptiver Störungen der Betreiber auf die Versorgung zu minimieren.

NIS2 reguliert die Informationssicherheit von kritischen Betreibern, um die Auswirkungen von Cyber Angriffen und Störungen auf IT-Systeme und Netzwerke zu minimieren.

DORA reguliert die digitale operationale Resilienz von Finanzunternehmen und kritischen IKT-Drittdienstleistern, um die Widerstandsfähigkeit des EU-Finanzmarktes zu stärken.

Maßnahmen

Alle drei Regelwerke verlangen von Unternehmen Maßnahmen und Vorfalls­meldungen:

RCE fordert Resilienz bei Betreibern durch Vorsorge, physische Sicherheit, Krisen-Management und BCM, personelle Sicherheit und Awareness.

NIS2 fordert Cybersecurity bei Betreibern durch Policies, Incident und BCM, IT-Sicherheit in der Supply Chain und Einkauf, Asset Management, Kryptographie und sichere Kommunikation.

DORA fordert Cybersecurity und Resilienz bei Finanzunternehmen durch Risikomanagement, Incident Management, Tests, Informationsaustausch und Management von IKT-Drittparteien. Kritische IKT-Drittdienstleistern müssen ebenfalls eigene umfangreiche Pflichten erfüllen.

Betreiber

NIS2 und RCE regulieren kritische Betreiber in teilweise deckungsgleichen EU-Sektoren mit deutlich einfacherer Methodik als die deutschen Schwellenwerte.

RCE fordert nationale Identifizierung der Betreiber durch die Staaten nach Risikoanalyse und disruptivem Effekt.

NIS2 legt betroffene Betreiber nach Unternehmensgröße (2003/361/EC) fest: ab 50 Mitarbeitern und 10 Mio EUR Umsatz.

DORA zählt die betroffenen Finanzunternehmen (z. B. Kreditinstitute, Zahlungsdienstleister, Ratingagenturen, Versicherungsunternehmen) mit Verweis auf EU-Richtlinien auf.

Aufsicht

RCE fordert in Mitglied­staaten eine Behörde für Resilienz, die Betreiber identifiziert, Aufsicht ausübt und Vorgaben zur Umsetzung macht.

NIS2 fordert in Mitglied­staaten eine Behörde für Cybersecurity, ein CSIRT und Krisen-Management.Es soll starke nationale Aufsicht, Vorgaben und Enforcement geben.

DORA nutzt zur Aufsicht von Finanzunternehmen bereits bestehende nationale Aufsichten. Für kritische IKT-Drittdienstleister wird eine eigene (neue) EU-Aufsicht etabliert.

Zusammenarbeit in der EU

RCE bindet die Kommission stark in die EU-weite Aufsicht für Resilienz ein und richtet zur Kooperation die CERG ein. Informationen werden auf EU-Ebene gesammelt.

NIS2 hat eine EU-Landschaft mit der ENISA, der Cooperation Group zur Kooperation, dem CSIRT-Netzwerk und EU-CyCLONe und der Kommission, mit viel Informations­austausch.

DORA strebt eine Kooperation zwischen nationalen Behörden und EU-Behörden wie ESA, EZB und ENISA vor, plus Kooperation zwischen DORA- und NIS2-Behörden.

EU-Staaten

Die EU NIS2-Richtlinie muss von EU-Mitglieds­staaten bis Oktober 2024 in nationales Recht umgesetzt werden.Der Umsetzungsstand variiert hierbei stark — einige Länder haben bereits Entwürfe verfasst haben und befinden sich im öffentlichen Diskurs.

Neben einer Übersicht über NIS2 in der EU gibt es einzelne Artikel zu bestimmten Ländern, wo genug Informationen verfügbar sind.Die Artikel sind auf Englisch.

• EU NIS2 in Germany

Die Informationslage (April 2024) ist eher uneinheitlich — bei vielen Ländern haben wir keine oder nur sehr wenige öffentlichen Informationen gefunden. Hier waren noch keine Fortschritte erkennbar:Bulgarien, Dänemark, Estland, Griechenland, Irland, Lettland, Litauen, Luxemburg, Malta, Portugal, Rumänien, Slowakei, Slowenien, Spanien und Zypern.

Kritische Sektoren in der EU

Die betroffenen EU-Sektoren sind zwischen den Direktiven harmonisiert — NIS2 reguliert zwei Gruppen, RCE eine Gruppe, die deutschen KRITIS-Sektoren sind teils ähnlich.

Zeitleiste

NIS2 und RCE wurde Ende 2022 in der EU verabschiedet und müssen bis Oktober 2024 national umgesetzt werden.

Literatur

1. Neue Cybersicherheits­strategie der EU und neue Vorschriften zur Erhöhung der Widerstands­fähigkeit kritischer physischer und digitaler Einrichtungen, Website der Europäischen Kommission, 16.12.2020
2. Proposal for directive on measures for high common level of cybersecurity across the Union, European Commission website, 8.3.2021

Quellen

1. EU decides to strengthen cybersecurity and resilience across the Union: Council adopts new legislation , Council of the EU, Press release ,28 November 2022
2. European Parliament legislative resolution of 10 November 2022 on the proposal for a directive of the European Parliament and of the Council on measures for a high common level of cybersecurity across the Union repealing Directive (EU) 2016/1148 (COM(2020)0823 – C9-0422/2020 – 2020/0359(COD)), 10.11.2022 EU-Parlament
3. European Parliament legislative resolution of 22 November 2022 on the proposal for a directive of the European Parliament and of the Council on the resilience of critical entities, COM(2020)0829 – C9-0421/2020 – 2020/0365(COD), 22.11.2022