NIS-2 und regulatorische Anforderungen für KRITIS-Betreiber

1. Regulatorischer Kontext und EU-Rechtsrahmen

Mit dem Inkrafttreten der EU-Richtlinie für Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2) sowie der nationalen Umsetzung im BSI-Gesetz (BSIG) erfahren die Anforderungen an Betreiber kritischer Infrastrukturen und wichtiger Einrichtungen eine signifikante Verschärfung¹.

2. Kernpflichten nach BSIG und NIS-2

Betreiber sind zu technischen und organisatorischen Vorkehrungen (TOM) nach dem Stand der Technik verpflichtet¹. Die wesentlichen Säulen umfassen:

• Risikomanagement-Maßnahmen: Umfassende Analyse und Absicherung der Lieferkette (Supply Chain Security), Netzwerksicherheit und Zugriffskontrollen¹.
• Meldepflichten bei Sicherheitsvorfällen: Ein mehrstufiger Meldevorgang an das Bundesamt für Sicherheit in der Informationstechnik (BSI) – beginnend mit einer Frühwarnung innerhalb von 24 Stunden¹.
• Geschäftsführerhaftung: Die Leitungsorgane sind verpflichtet, die Umsetzung der Cybersecurity-Maßnahmen zu überwachen und haften persönlich bei Pflichtverletzungen¹.

3. Nachweisführung und Audits

Die Einhaltung der gesetzlichen Vorgaben muss in regelmäßigen Abständen (typischerweise alle zwei Jahre) durch unabhängige Sicherheitsaudits, Prüfungen oder Zertifizierungen nachgewiesen werden¹.