NIS2-Konformität für den Sektor der digitalen Infrastruktur

Digitale Infrastruktur ist die Grundlage für das Funktionieren moderner Volkswirtschaften. Internet-Austauschpunkte, Domain-Name-Systeme, Cloud-Dienste, Rechenzentren und Telekommunikations-Backbonenetze bilden das technische Fundament kritischer Dienste in der gesamten Europäischen Union. Störungen in diesem Sektor können sich kaskadenartig auf die Bereiche Energie, Verkehr, Finanzwesen, Gesundheit und öffentliche Verwaltung auswirken.

Die NIS2-Richtlinie legt EU-weite Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen fest und erweitert den Anwendungsbereich des ursprünglichen NIS-Rahmens erheblich. Die NIS2-Einhaltung im Sektor der digitalen Infrastruktur spiegelt die systemische Bedeutung der Aufrechterhaltung widerstandsfähiger und sicherer Kern-Internet- und Konnektivitätsdienste wider.

Die Richtlinie gilt für mittelgroße und große Organisationen, die in festgelegten Sektoren tätig sind, einschließlich der digitalen Infrastruktur. Viele Betreiber, die grundlegende Internet- oder Netzdienste bereitstellen, fallen in den Anwendungsbereich.

Wenn Ihr Unternehmen in der digitalen Infrastruktur tätig ist, könnten Sie unter NIS2 als wesentliche oder wichtige Einrichtung eingestuft werden.

Anhang I bezeichnet Sektoren mit hoher Kritikalität; nicht jede Einrichtung in diesen Sektoren ist automatisch wesentlich. Nach Artikel 3 gilt grundsätzlich folgende größenabhängige Einstufung:

• Großunternehmen — wesentliche Einrichtungen: mindestens 250 Beschäftigte oder sowohl mehr als 50 Mio. € Jahresumsatz als auch mehr als 43 Mio. € Bilanzsumme.
• Mittlere Unternehmen — wichtige Einrichtungen: keine Großunternehmen, aber mindestens 50 Beschäftigte oder sowohl mehr als 10 Mio. € Jahresumsatz als auch mehr als 10 Mio. € Bilanzsumme.

Relevanter Anhang: Anhang I (Sektoren mit hoher Kritikalität)

Abdeckung der Subsektoren (Anhang I – Digitale Infrastruktur):

• Anbieter von Internetknoten (IXP)
• Anbieter von DNS-Diensten
• Registerbetreiber für Top-Level-Domains (TLD)
• Anbieter von Cloud-Computing-Diensten
• Anbieter von Rechenzentrumsdiensten
• Anbieter von Content-Delivery-Netzwerken (CDN)
• Vertrauensdiensteanbieter
• Anbieter öffentlicher elektronischer Kommunikationsnetze
• Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste

Sonderfälle bei digitalen Infrastrukturen: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter sind unabhängig von ihrer Größe wesentlich. Auch mittlere Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste sind wesentlich. Andere Vertrauensdiensteanbieter und öffentliche Kommunikationsanbieter fallen unabhängig von ihrer Größe in den Anwendungsbereich, sind jedoch grundsätzlich wichtig, sofern Artikel 3 keine Einstufung als wesentlich vorsieht.

Die EU-KMU-Regeln gelten einschließlich der erforderlichen Einbeziehung von Partnerunternehmen und verbundenen Unternehmen (Empfehlung 2003/361/EG). Kleine und Kleinstunternehmen fallen nicht allein aufgrund ihrer Tätigkeit in einem Sektor des Anhangs I automatisch in den Anwendungsbereich. Gesetzliche Sonderfälle, die nationale Einstufung als wesentlich oder wichtig und die Identifizierung als kritische Einrichtung nach der CER-Richtlinie können die allgemeine Größenregel überlagern (Artikel 2 und 3).

Die NIS2-Compliance für den Bereich der digitalen Infrastruktur gilt für:

• Mittlere Unternehmen (50 oder mehr Beschäftigte oder Jahresumsatz über 10 Mio. € und Jahresbilanzsumme über 10 Mio. €; Partner- und verbundene Unternehmen werden einberechnet)
• Große Unternehmen, die diese Schwellenwerte überschreiten
• Bestimmte kritische Anbieter, die gegebenenfalls nach nationalem Recht benannt sind

Dazu zählen Cloud-Anbieter, Rechenzentrumsbetreiber, DNS-Betreiber, Telekommunikationsnetzbetreiber und Vertrauensdiensteanbieter, die die EU-Schwellenwerte für die Unternehmensgröße erfüllen.

Mittlere und große Einrichtungen in diesem Sektor erfüllen grundsätzlich den NIS2-Größentest. Kleine und Kleinstunternehmen sind in der Regel ausgenommen, sofern keine gesetzliche größenunabhängige Regel oder förmliche nationale Benennung greift. Die EU-KMU-Definition und die Einbeziehung von Partner- und verbundenen Unternehmen nach Empfehlung 2003/361/EG sind zu beachten, ebenso sektorspezifische Regeln und die nationale Umsetzung.

Nach Artikel 21 der NIS2-Richtlinie müssen Einrichtungen der digitalen Infrastruktur angemessene und verhältnismäßige technische und organisatorische Maßnahmen zur Steuerung von Cybersicherheitsrisiken umsetzen.

Verbindliche Maßnahmen umfassen:

• Risikomanagementrahmen
• Verfahren zur Behandlung von Sicherheitsvorfällen
• Geschäftskontinuität und Notfallwiederherstellung
• Lieferkettensicherheit
• Sichere Entwicklung und Wartung
• Richtlinien zu Verschlüsselung und Kryptografie
• Zugriffskontrolle und Mehrfaktor-Authentifizierung (MFA)
• Schwachstellenmanagement und Patch-Management
• Schulungen zur Cyberhygiene
• Nutzung sicherer Kommunikationsmittel

Für den Sektor der digitalen Infrastruktur müssen diese NIS2-Sicherheitsmaßnahmen die Kernnetzarchitektur, Routing-Systeme, Virtualisierungsumgebungen, die DNS-Infrastruktur und Cloud-Plattformen schützen. Hohe Verfügbarkeit, Redundanz und verteilte Resilienzmodelle sind zentral für die Einhaltung der Vorgaben.

Die NIS2-Compliance im Sektor der digitalen Infrastruktur erfordert eine starke Aufsicht über die Lieferkette, insbesondere dort, wo die Infrastruktur von Hardwareherstellern, Softwareanbietern und grenzüberschreitenden Konnektivitätsvereinbarungen abhängt. Security-by-Design-Prinzipien und kontinuierliche Überwachung sind unerlässlich.

Einrichtungen der digitalen Infrastruktur müssen bei erheblichen Sicherheitsvorfällen die NIS2-Fristen für die Vorfallmeldung einhalten.

Zu den Meldepflichten gehören:

Meldungen sind an das nationale CSIRT oder die zuständige Behörde einzureichen.

Die NIS2-24-Stunden-Meldepflicht ist in diesem Sektor besonders kritisch, da Ausfälle oder Beeinträchtigungen von DNS, Cloud-Diensten oder Kommunikationsnetzen weitreichende, sektorübergreifende Auswirkungen haben können. Vorfälle, die die Verfügbarkeit, Integrität oder Vertraulichkeit der Kerninfrastruktur beeinträchtigen, gelten häufig als erheblich.

Die Nichteinhaltung der vorgeschriebenen Fristen kann aufsichtsrechtliche Maßnahmen und Geldbußen nach sich ziehen.

Die NIS2-Compliance für den Sektor der digitalen Infrastruktur auferlegt dem Leitungsorgan eine unmittelbare Verantwortung.

Zu den wesentlichen Governance-Anforderungen gehören:

• Genehmigung der Risikomanagementmaßnahmen im Bereich Cybersicherheit durch das Leitungsorgan
• Laufende Überwachung der Umsetzung
• Verpflichtende Cybersicherheitsschulungen für das Leitungsorgan
• Mögliche persönliche Haftung nach nationalem Recht

Artikel 21 der NIS2-Richtlinie macht Cybersicherheit zu einer Pflicht auf Ebene des Leitungsorgans. Das Leitungsorgan muss sicherstellen, dass Cybersicherheitskontrollen angemessen mit Ressourcen ausgestattet, dokumentiert und regelmäßig überprüft werden.

Bei Anbietern digitaler Infrastrukturen können Governance-Versäumnisse zu sektorübergreifenden Störungen und erhöhter behördlicher Aufsicht führen.

Als Einrichtungen nach Anhang I unterliegen als wesentliche Einrichtungen eingestufte Organisationen der digitalen Infrastruktur einer proaktiven Aufsicht. Die zuständigen Behörden können Audits, Inspektionen und Bewertungen der Cybersicherheit durchführen, unabhängig davon, ob ein Sicherheitsvorfall eingetreten ist.

Verwaltungsrechtliche Geldbußen bei Nichteinhaltung:

• Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)

Nationale Umsetzungsgesetze können die Aufsichtskoordination präzisieren, doch die Richtlinie legt harmonisierte Mindestschwellen für Geldbußen in allen Mitgliedstaaten fest.

Angesichts der systemischen Auswirkungen von Störungen der digitalen Infrastruktur wird erwartet, dass die Durchsetzung strukturiert, risikobasiert und über Zuständigkeitsgrenzen hinweg koordiniert erfolgt.

Unternehmen der digitalen Infrastruktur sollten strukturierte Schritte zur NIS2-Compliance unternehmen:

1. Eine NIS2-Lückenanalyse durchführen
2. Kritische Netzwerk- und Plattformabhängigkeiten abbilden
3. Ein dokumentiertes Rahmenwerk für das Risikomanagement der Cybersicherheit formalisieren
4. Pläne zur Reaktion auf Sicherheitsvorfälle und zur Dienstkontinuität aktualisieren und testen
5. Verträge mit Drittanbietern für Hardware und Software überprüfen
6. Geschäftsführung und technische Führungskräfte schulen
7. Einen 24h/72h/1-Monat-Melde-Workflow einrichten

Frühzeitige Vorbereitung verringert das Risiko aufsichtsrechtlicher Maßnahmen und schützt die Dienstkontinuität.

Einrichtungen der digitalen Infrastruktur sind unter NIS2 sektorspezifischen Risiken ausgesetzt:

• Serviceausfälle: Cybervorfälle können Cloud-, DNS- oder Kommunikationsdienste stören.
• Sektorübergreifende Auswirkungen: Störungen können auf die Sektoren Energie, Verkehr, Finanzwesen und Gesundheitswesen übergreifen.
• Kompromittierung der Lieferkette: Hardware- und Softwareanbieter können Schwachstellen einführen.
• Regulatorische Geldbußen: Nichteinhaltung setzt Anbieter erheblichen finanziellen Sanktionen aus.
• Reputationsschäden: Die Zuverlässigkeit der Dienste ist entscheidend für das Vertrauen der Kunden.

Die NIS2-Konformität für den Sektor der digitalen Infrastruktur ist daher eine grundlegende Voraussetzung für die digitale Resilienz der EU.