Network and Information Security Directive (NIS2-RL)

Langtitel:

Kurztitel: Konsolidierter Text: Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (Text von Bedeutung für den EWR)Text von Bedeutung für den EWR https://eur-lex.europa.eu/eli/dir/2022/2555

Kurzübersicht

Ziele	Anwendungsbereich	Inhalt	Synergie	Konsequenzen
Aufbau von Cybersicherheitskapazitäten (EG 1 NIS2-RL)	Anhäng I (Sektoren mit hoher Kritikalität)	Pflicht für alle Mitgliedstaaten, nationale Cybersicherheitsstrategien zu verabschieden (Art 7 NIS2-RL)	Datenschutzmanagementsystem	Wesentliche Einrichtungen: Bußgelder mit Höchstbetrag von mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
Schaffung eines hohen gemeinsamen Cybersicherheitsniveaus (Art 1 NIS2-LR)	Anhang II (Sonstige kritische Sektoren) soweit sie Obergrenzen nach Art. 2 Abs. 1 des Anhangs der Empfehlung 2003/361/EG überschreiten	Pflicht für alle Mitgliedstaaten, diverse Zuständigkeiten zu regeln Aufsichts- und Durchsetzungspflichten für die MS (Art. 31 ff NIS2-RL)	Sicherheit der Verarbeitung (Art. 32 DSGVO)	wichtige Einrichtungen (also alle anderen Einrichtungen die in den Anwendungsbereich der NIS2-RL fallen) beträgt das höchstmögliche Bußgeld mindestens 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes. Für beide gilt der jeweils höhere Betrag.
Eindämmung von Begrohungen in Schlüsselsektoren (EG 1 NIS2-RL)	Ist von den Mitgliedstaaten bis zum 17. Oktober 2024 umzusetzen	Pflichten in Bezug auf das Cybersicherheitsrisikomanagement (Art. 20 ff NIS2-RL) sowie Berichtspflichten (Art. 23 NIS2-RL) für betroffene Einrichtungen	Verschwiegenheitsklauseln	Behördliche Anweisungen und Anordnungen. Auch Anordnung der Aussetzung der Tätigkeit ist möglich. (Art 32 NIS2-RL)
		Vorschriften und Pflichten zum Austausch von Cybersicherheitsinformationen (Art 29 ff NIS-2-RL)		Leitungsorgane können persönlich haften. (Art 20 NIS2-RL)

Einführung

Die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (kurz: „NIS2-RL“) ist die Nachfolgeregelung der ersten Cybersicherheitsrichtlinie der Europäischen Union („NIS-RL“). Bereits durch die erste NIS-RL und deren nationale Umsetzung im NISG wurden bestimmte Unternehmen zu Cybersicherheitsmaßnahmen verpflichtet. Mit der Nachfolgeregelung, der NIS2-RL, wird der Anwendungsbereich deutlich erweitert, um auch große Teile der bisher nicht erfassten Unternehmen zu bedarfsgerechten Sicherheitsmaßnahmen zu verpflichten. Darüber hinaus werden insbesondere konkrete Vorgaben für ein Meldesystem bei Sicherheitsvorfällen gemacht und neue Haftungstatbestände geschaffen. Die NIS-RL wurde in Österreich im Netz- und Informationssystemsicherheitsgesetz (kurz: „NISG“) umgesetzt, das derzeit (Stand: Oktober 2024) zur Umsetzung der NIS2 novelliert wird.

Der Nationalrat konnte in einer im Juli 2024 abgehaltenen Sitzung zwar eine einfache Mehrheit für das Umsetzungsgesetz (NISG-E) erreichen, da das Gesetz jedoch Verfassungsbestimmungen berührt, bedarf es einer breiteren Zweidrittelmehrheit welche nicht erreicht werden konnte.Hauptgrund für die Absage der Opposition ist die Ansiedelung der nationalen Cybersicherheitsbehörde beim Innenministerium. Die Autoren erwarten keine wensentlichen Änderungen der unstrittigen Regelungspunkte in allfälligen Folgeentwürfen weshalb im Folgenden auf den Regelungsinhalten des vorliegenden Entwurfs (Netz- und Informationssystemsicherheitsgesetz 2024 – NISG 2024; Telekommunikationsgesetz, Gesundheitstelematikgesetz, Änderung (326/ME) - im Folgenden NISG) aufgebaut wird.

Anwendungsbereich

NIS2 Richtlinie

Persönlicher / Sachlicher Anwendungsbereich

In den Anwendungsbereich können öffentliche oder private Einrichtungen fallen. Die NIS2-RL unterscheidet grundsätzlich zwischen dem größenabhängigen (Art 2 Abs 1 NIS2-RL) und dem größenunabhängigen (Art 2 Abs 3 NIS2-RL) Anwendungsbereich.

Größenabhängiger Anwendungsbereich

Um den größenabhängigen Geltungsbereich zu definieren, setzt die NIS-2-Richtlinie zunächst an der Size-Cap-Rule an. Hiernach gilt die NIS2-RL für Einrichtungen welche mehr als 50 Mitarbeiter beschäftigen

oder mehr als 10 Mio. Euro Jahresumsatz erzielen.

Kumulativ muss die Tätigkeit der Einrichtung in den Anhang I oder II der NIS2-RL Fallen.

• Anhang I nennt etwa folgende Einrichtungen:

Energie | Verkehr | Bankwesen | Finanzmarktinfrastrukturen | Gesundheitswesen | Trinkwasser | Abwasser | Digitale Infrastruktur | Verwaltung von IKT-Diensten (Business-to-Business) | öffentliche Verwaltung | Weltraum

• Anhang II nennt etwa folgende Einrichtungen:

Post- und Kurierdienste | Abfallbewirtschaftung | Produktion, Herstellung und Handel mit chemischen Stoffen | Produktion, Verarbeitung und Vertrieb von Lebensmitteln | Verarbeitendes Gewerbe | Herstellung von Waren | Anbieter digitaler Dienste | Forschung

Größenunabhängiger Anwendungsbereich

Gemäß Art. 2 und Art. 3 der NIS-2-Richtlinie können Einrichtungen auch unabhängig von der Größe und der "Size-Cap-Rule" in den Anwendungsbereich der NIS-2-Richtlinie fallen. folgende tätigkeiten sind hiervon umfasst:

• Dienste welche die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich sind.
• Dienste deren Störung sich wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte;
• Dienste deren Störung zu einem wesentlichen Systemrisiko führen könnte, insbesondere in Sektoren, in denen eine solche Störung grenzüberschreitende Auswirkungen haben könnte;
• Einrichtungen welche aufgrund der besonderen Bedeutung, die sie auf nationaler oder regionaler Ebene für den betreffenden Sektor oder die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren in dem Mitgliedstaat hat, kritisch ist
• Einrichtungen, welche nach der Richtlinie für Resilienz kritischer Einrichtungen (CER-Richtlinie) als kritisch eingestuft wurden.

Wesentliche und Wichtige Einrichtungen

Im Anwendungsbereich der Richtlinie stehende Einrichtungen werden in wesentliche und wichtige Einrichtungen kategorisiert. Wesentliche Einrichtungen utnerstehen einer proaktiven und reaktiven Aufsicht (Art 32 NIS-2-RL). Wichtige Einrichtungen unterliege nur einer reaktiven Aufsicht (Art 33 NIS-2-RL). Daneben gelten verschiedene Sanktionsregime.

Territorialer Anwendungsbereich

       Einrichtungen, die in der EU ansässig sind oder ihre Dienste in der EU erbringen (Art 2 NIS2-RL)

Nationaler Umsetzungsentwurf (NISG)

Persönlicher / Sachlicher Anwendungsbereich

Regelungsgegenstand des NISG können sind gemäß § 2 NISG wesentliche und wichtige Einrichtungen in den definierten Sektoren. Regelungsgegenstand des NISG sind gemäß § 2 NISG wesentliche und wichtige Einrichtungen in den definierten Sektoren. Die Sektoren entsprechen denen der NIS2-RL und werden durch die Definition von Teilsektoren in den Anlagen 1 und 2 zum NISG ergänzt.

Eine "Einrichtung" iSd NISG ist gemäß § 3 Abs 10 NISG "eine natürliche Person oder nach dem an ihrem Sitz geltenden nationalen Recht geschaffene und anerkannte juristische Person oder eingetragene Personengesellschaft, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann".

Anstelle eines zweistufigen Vorgehens, wie es in Art. 2 und 3 der NIS-2-Richtlinie vorgesehen ist, ist für die Einstufung als wesentliche oder wichtige Einrichtung nach diesem Bundesgesetz ausschließlich § 24 NISG maßgeblich. Auch hier wird unterschieden zwischen Anlagen, die erst ab einer bestimmten Größe in den Anwendungsbereich fallen, und solchen, bei denen dies nicht der Fall ist.

Größenabhängiger Anwendungsbereich

Einrichtungen der in den Anlagen 1 und 2 NISG, die ein großes oder mittleres Unternehmen betreiben gelten nach § 42 Abs 2 NISG jedenfalls als wichtige Einrichtungen. Eine Teilmenge dieser Einrichtungen wird in § 24 Abs 1 NISG als wesentliche Einrichtung qualifiziert. Von der Möglichkeit bei der Umsetzung der NIS-2-Richtlinie die bisherigen „Betreiber wesentlicher Dienste“ pauschal als wesentliche Einrichtungen einzustufen, oder Gemeinden und Bildungseinrichtungen un den Anwendungsbereich aufzunehmen wurde abgesehen.

Größenunabhängiger Anwendungsbereich

Unabhängig von der Größe der Einrichtung gelten gemäß § 24 Abs 1 Z 1 NISG qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe (TLD Namenregister), Domänennamensystem-Diensteanbieter, Einrichtungen im Sektor der öffentlichen Verwaltung auf Bundesebene, Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs. 1) sowie Einrichtungen, die als kritische Einrichtungen iSd Richtlinie (EU) 2022/2557 ermittelt wurden.

Darüber hinaus fallen öffentliche Stellen unter die in § 25 Abs. 3 NISG genannten Kriterien. Vereinfacht ausgedrückt sind dies Bundes- und Landeseinrichtungen ohne gewerblichen Auftrag, deren Entscheidungen individuelle Rechte im grenzüberschreitenden Verkehr berühren.

Ausnahmen

Einrichtungen welche aufgrund sektorspezifischer unionsrechtlicher Rechtsakte verpflichtet sind, entweder eigene Risikomanagementmaßnahmen zu ergreifen oder erhebliche Cybersicherheitsvorfälle zu melden , hiernach zumindest ein gleichwertiges Cybersicherheitsniveau gewährleisten müssen, und die Glecihwertigkeit per Verordnugn festgestellt wurde. (§ 27 NISG) Das könnte etwa auf Einrichtungen zutreffen welche der DORA unterworfen sind.

Einrichtungen im Sektor der öffentlichen Verwaltung, deren Tätigkeiten überwiegend in den Bereichen nationale Sicherheit, öffentliche Sicherheit, militärische Landesverteidigung oder Strafverfolgung ausgeübt werden sowie Einrichtungen des Universitäts-, Hochschul- und Schulwesens, Einrichtungen der Gerichtsbarkeit, Einrichtungen der Gesetzgebung, einschließlich der Parlamentsdirektion sowie die Österreichische Nationalbank gelten nicht als wesentliche oder wichtige Einrichtungen. (§ 24 Abs 6 NISG)

Abgrenzungen

Einrichtungen welche nicht unmittelbar in den Anwendungsbereich fallen können im Rahmen vertraglicher Konstruktionen mit erfassten Einrichtungen zur Einhaltung der NIS2-RL verpflichtet werden. In diesen Fall sollte geprüft werden für welche Teile die Bestimmungen der so verpflichteten Einrichtung gelten sollten.

Territorialer Anwendungsbereich

Wesentliche und wichtige Einrichtungen sowie Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, unterliegen den Bestimmungen dieses Hauptstücks nur hinsichtlich jener Niederlassungen, die sich in Österreich befinden. (§28 NISG)

Abweichende Regelungen gelten für Anbieter öffentlicher Kommunikationsnetze, Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste, DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter von verwalteten Diensten, Anbieter von verwalteten Sicherheitsdiensten sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke. Siehe im Detail § 28 NISG.

Zeitlicher Anwendungsbereich

Die NIS2-RL ist zum aktuellen Bearbeitungszeitpunkt noch nicht in nationales österreichisches Recht umgesetzt worden.

Weiterführende Literatur

Überblicksartikel

• Löffler, NIS-2. Ein Überblick, dako 2024, 76

Sammelwerke

• Ditttrich/Dochow/Ippach (Hrsg), Rechtshandbuch Cybersicherheit im Gesundheitswesen (2024)
• Hornung/Schallbruch (Hrsg), IT-Sicherheitsrecht. Praxishandbuch² (2024, iE)
• Kipker (Hrsg), Cybersecurity. Rechtshandbuch² (2023)