Die NIS2-Richtlinie legt den Mitgliedstaaten spezifische Verpflichtungen hinsichtlich der Erstellung, Umsetzung und regelmäßigen Überprüfung nationaler Cybersicherheitsstrategien auf. Diese Strategien bilden einen übergeordneten Rahmen zur Verbesserung der Cybersicherheitslage und der Resilienz auf nationaler Ebene.

[Callforaction-NIS2]

Hier ist ein Überblick über die wichtigsten Verpflichtungen:

• Verabschiedung einer nationalen Cybersicherheitsstrategie: Jeder Mitgliedstaat ist verpflichtet, eine umfassende nationale Cybersicherheitsstrategie festzulegen. Diese Strategie sollte die strategischen Cybersicherheitsziele des Landes, die für deren Erreichung bereitgestellten Ressourcen sowie die strategischen und regulatorischen Maßnahmen darlegen, die zur Erreichung und Aufrechterhaltung eines hohen Cybersicherheitsniveaus getroffen wurden.
• Inhalt der Strategie: Die NIS2-Richtlinie enthält spezifische Details zu den Elementen, die in jeder nationalen Cybersicherheitsstrategie enthalten sein sollten. Dazu gehören:
• Ziele und Prioritäten: Klare Definition der Cybersicherheitsziele und -prioritäten, mit besonderem Fokus auf die in den Anhängen I und II der Richtlinie aufgeführten Sektoren, die eine breite Palette kritischer Bereiche wie Energie, Verkehr, Gesundheit und digitale Infrastrukturen umfassen.
• Governance-Rahmen: Eine klar definierte Governance-Struktur zur Erreichung der festgelegten Ziele und Prioritäten. Dieser Rahmen sollte die Rollen und Verantwortlichkeiten der an der nationalen Cybersicherheit beteiligten Akteure klären, einschließlich der zuständigen Behörden, der Computer Security Incident Response Teams (CSIRT) und der zentralen Anlaufstellen (SPOC). Er sollte auch die Mechanismen zur Zusammenarbeit und Koordinierung zwischen diesen Einheiten darlegen.
• Risikobewertung und Ressourcenidentifizierung: Ein Mechanismus zur Identifizierung und Bewertung von Cybersicherheitsrisiken innerhalb des Mitgliedstaats, zusammen mit einer Bewertung der zur Bewältigung dieser Risiken verfügbaren Ressourcen. Dieses Element stellt einen risikobasierten Ansatz bei der Ressourcenallokation und Prioritätensetzung sicher.
• Vorbereitung und Reaktion auf Vorfälle: Ein Plan, der Maßnahmen zur Gewährleistung der Vorbereitung, Reaktion und Wiederherstellung nach Cybersicherheitsvorfällen skizziert, einschließlich der Zusammenarbeit zwischen öffentlichem und privatem Sektor. Dies unterstreicht die Bedeutung eines koordinierten Ansatzes für die Reaktion auf Vorfälle und die Wiederherstellung.
• Identifizierung der Stakeholder: Liste der verschiedenen Behörden und Akteure, die an der Umsetzung der nationalen Cybersicherheitsstrategie beteiligt sind, um Transparenz und Verantwortlichkeit zu fördern.
• Koordinierungsrahmen: Strategischer Rahmen zur Verbesserung der Koordinierung zwischen den für Cybersicherheit zuständigen Behörden gemäß der NIS2-Richtlinie und den Behörden, die unter die Richtlinie (EU) 2022/2557 fallen. Dieser Rahmen zielt darauf ab, den Informationsaustausch und die Zusammenarbeit bei cyber- und nicht-cyberbezogenen Risiken, Bedrohungen und Vorfällen sowie bei gemeinsamen Aufsichtsaufgaben bei Bedarf zu optimieren.
• Öffentliche Sensibilisierung: Ein Plan, der die notwendigen Maßnahmen zur Steigerung des allgemeinen Bewusstseins der Öffentlichkeit für Cybersicherheit enthält. Dieses Element betont die Bedeutung der Aufklärung der Bürger über Cyberrisiken und der Förderung sicherer Online-Praktiken.
• Strategische Maßnahmen: Über die Hauptelemente hinaus ermutigt die NIS2-Richtlinie die Mitgliedstaaten, spezifische strategische Maßnahmen in ihre Strategien aufzunehmen, wie zum Beispiel:
  • Cybersicherheit in der IKT-Lieferkette
  • Cybersicherheitsanforderungen bei der öffentlichen Auftragsvergabe von IKT-Produkten und -Dienstleistungen
  • Schwachstellenmanagement, einschließlich koordinierter Schwachstellenoffenlegung
  • Unterstützung für ein sicheres und offenes Internet
  • Förderung fortschrittlicher Cybersicherheitstechnologien
  • Aktive Cyberabwehr
• Notifizierung an die Kommission: Die Mitgliedstaaten sind verpflichtet, der Europäischen Kommission ihre verabschiedeten nationalen Cybersicherheitsstrategien innerhalb von drei Monaten nach deren Verabschiedung mitzuteilen. Diese Notifizierung ermöglicht es der Kommission, die Umsetzung zu überwachen und die allgemeine Übereinstimmung der nationalen Strategien mit den Zielen der NIS2-Richtlinie zu bewerten. Für Organisationen, die in den Anwendungsbereich der Richtlinie fallen, ist das Verständnis dieser Verpflichtungen der erste Schritt auf einem strukturierten Weg zur NIS2-Konformität. In Italien verwaltet die ACN die Registrierung der verpflichteten Stellen: Alles, was Sie über die NIS2-Liste und die ACN-Fristen wissen müssen.
• Regelmäßige Überprüfung und Aktualisierung: Die NIS2-Richtlinie schreibt vor, dass die Mitgliedstaaten ihre nationalen Cybersicherheitsstrategien regelmäßig bewerten und aktualisieren.
• Häufigkeit: Diese Überprüfung sollte regelmäßig erfolgen, mindestens alle fünf Jahre, und auf einer Reihe von Key Performance Indicators (KPIs) basieren, um die Wirksamkeit der Strategien zu bewerten.
• Unterstützung durch ENISA: In Anerkennung der Komplexität bei der Entwicklung und Aktualisierung dieser Strategien hebt die NIS2-Richtlinie die Unterstützung hervor, die den Mitgliedstaaten durch die ENISA, die Agentur der Europäischen Union für Cybersicherheit, zur Verfügung steht. Auf Anfrage kann die ENISA die Mitgliedstaaten bei der Ausarbeitung, Aktualisierung oder Bewertung ihrer Strategien sowie bei der Entwicklung relevanter KPIs unterstützen und so die Übereinstimmung mit den Anforderungen der Richtlinie sicherstellen.

Durch die Festlegung dieser klaren Verpflichtungen zielt die NIS2-Richtlinie darauf ab, sicherzustellen, dass alle Mitgliedstaaten über robuste und aktuelle nationale Cybersicherheitsstrategien verfügen. Diese Strategien, die im Einklang mit einem gemeinsamen Satz von Prinzipien und Zielen entwickelt und überprüft werden, spielen eine entscheidende Rolle bei der Förderung eines höheren Niveaus an Cybersicherheitsvorbereitung und -resilienz in der gesamten Europäischen Union. Um den regulatorischen Rahmen vertiefend zu betrachten, ist der Text und das Hauptziel der NIS2-Richtlinie verfügbar.

[Callforaction-NIS2-Footer]