Die NIS2-Richtlinie erkennt die zunehmend vernetzte Natur digitaler Systeme und die potenziellen grenzüberschreitenden Auswirkungen von Cybersicherheitsvorfällen an. Sie etabliert verschiedene Mechanismen, um die Zusammenarbeit und koordinierte Maßnahmen zwischen den Mitgliedstaaten bei der Bewältigung solcher Vorfälle zu erleichtern. Für Unternehmen, die in den Anwendungsbereich fallen, ist das Verständnis dieser Verpflichtungen der erste Schritt auf einem strukturierten Weg zur NIS2-Konformität.

[Callforaction-NIS2]

Meldung grenzüberschreitender Auswirkungen

• Die Richtlinie betont, wie wichtig es ist, betroffene Parteien bei schwerwiegenden Cybersicherheitsvorfällen rechtzeitig zu benachrichtigen, insbesondere wenn diese potenzielle grenzüberschreitende Auswirkungen haben.
• Artikel 23 der Richtlinie verpflichtet wesentliche und wichtige Einrichtungen dazu, in den Meldungen über Vorfälle, die an ihr CSIRT oder die zuständige Behörde gesendet werden, Informationen über etwaige grenzüberschreitende Auswirkungen anzugeben.
• Diese Informationen helfen den CSIRTs und den zuständigen Behörden, das Ausmaß des Vorfalls zu bewerten und festzustellen, ob eine grenzüberschreitende Zusammenarbeit aktiviert werden muss.

NIS2-Richtlinie: Informationsaustausch und Zusammenarbeit

• Die NIS2-Richtlinie fördert den Informationsaustausch und die Zusammenarbeit zwischen den Mitgliedstaaten auf verschiedenen Ebenen.
• Kooperationsgruppe: Die Richtlinie setzt eine Kooperationsgruppe ein, die sich aus Vertretern der zuständigen Behörden jedes Mitgliedstaats zusammensetzt, um die strategische Zusammenarbeit und den Informationsaustausch zu unterstützen und zu erleichtern.
• Diese Gruppe spielt eine Schlüsselrolle bei der Entwicklung eines gemeinsamen Verständnisses von Cyberbedrohungen und Schwachstellen, beim Austausch bewährter Verfahren, bei der Koordinierung politischer Antworten und bei der Stärkung des Vertrauens zwischen den Mitgliedstaaten.
• CSIRT-Netzwerk: Die Richtlinie schafft ein Netzwerk nationaler CSIRTs, um eine schnelle und effektive operative Zusammenarbeit zu fördern.
• Dieses Netzwerk erleichtert den Austausch technischer Informationen über Vorfälle, Schwachstellen und Minderungsmaßnahmen und unterstützt die Mitgliedstaaten bei der Bewältigung grenzüberschreitender Vorfälle.
• Das Netzwerk legt zudem Verfahren für die Anforderung und Bereitstellung gegenseitiger Unterstützung zwischen den Mitgliedstaaten bei der Vorfallbewältigung fest.
• Einheitliche Anlaufstellen (SPOC): Jeder Mitgliedstaat ist verpflichtet, eine einheitliche Anlaufstelle (Single Point of Contact, SPOC) zu benennen. Der SPOC fungiert als zentraler Verbindungspunkt für die grenzüberschreitende Zusammenarbeit im Bereich der Cybersicherheit.
• Die SPOCs erleichtern die Kommunikation und Koordinierung zwischen den zuständigen Behörden, den CSIRTs und anderen relevanten Stellen, sowohl innerhalb der EU als auch mit Drittländern und internationalen Organisationen.
• EU-CyCLONe: Die Richtlinie setzt das European Cyber Crisis Liaison Organisation Network (EU-CyCLONe) ein, um die koordinierte Bewältigung von Cybersicherheitsvorfällen und -krisen großen Ausmaßes auf operativer Ebene zu unterstützen.
• EU-CyCLONe bringt Vertreter der Behörden für Cyberkrisenmanagement der Mitgliedstaaten zusammen. Ziel ist es, den Informationsaustausch zu erleichtern, Reaktionsaktivitäten zu koordinieren und die Entscheidungsfindung bei größeren Vorfällen zu unterstützen.

Gegenseitige Unterstützung

• Die NIS2-Richtlinie enthält Bestimmungen für die gegenseitige Unterstützung zwischen den Mitgliedstaaten bei der Untersuchung von und Reaktion auf Cybersicherheitsvorfälle.
• Artikel 37 ermöglicht es der zuständigen Behörde eines Mitgliedstaats, Unterstützung von einem anderen Mitgliedstaat anzufordern, wenn:
• Eine Einrichtung Dienste in mehreren Mitgliedstaaten erbringt.
• Die Informationssysteme und Netzwerke einer Einrichtung in mehreren Mitgliedstaaten angesiedelt sind.
• Die ersuchende Behörde kann Unterstützung bei der Informationsbeschaffung, der Durchführung von Untersuchungen, der Ergreifung von Durchsetzungsmaßnahmen und anderen vorfallbezogenen Aktivitäten anfordern.
• Die ersuchte Behörde muss Unterstützung leisten, es sei denn, sie hält sich für nicht zuständig, das Ersuchen ist unverhältnismäßig oder es steht im Widerspruch zu ihren grundlegenden nationalen Interessen.

Gemeinsame Aufsichtsmaßnahmen

• Die NIS2-Richtlinie sieht die Möglichkeit vor, unter bestimmten Umständen gemeinsame Aufsichtsmaßnahmen zwischen den zuständigen Behörden verschiedener Mitgliedstaaten durchzuführen.
• Wenn eine Einrichtung in mehreren Mitgliedstaaten niedergelassen ist, müssen die zuständigen Behörden dieser Staaten zusammenarbeiten, sich gegenseitig unterstützen und können gemeinsame Aufsichtsmaßnahmen durchführen.
• Diese Bestimmung soll eine konsistente Anwendung der Richtlinienanforderungen für Einrichtungen gewährleisten, die grenzüberschreitend tätig sind.

NIS2-Richtlinie: Weitere Kooperationsmechanismen

• Zusätzlich zu den oben beschriebenen spezifischen Mechanismen fördert die NIS2-Richtlinie eine breitere Zusammenarbeit zwischen den Mitgliedstaaten im Bereich der Cybersicherheit.
• Die Richtlinie fördert den Austausch bewährter Verfahren, die Entwicklung gemeinsamer Schulungs- und Übungsprogramme sowie den Abschluss bilateraler oder multilateraler Abkommen zur Stärkung der Zusammenarbeit im Bereich der Cybersicherheit.

Die NIS2-Richtlinie schafft einen umfassenden Rahmen für die Bewältigung grenzüberschreitender Cybersicherheitsvorfälle und die Förderung der Zusammenarbeit zwischen den Mitgliedstaaten. Durch die Verschärfung der Meldepflichten, die Einrichtung dedizierter Kooperationsmechanismen und die Erleichterung der gegenseitigen Unterstützung zielt die Richtlinie darauf ab, die kollektive Fähigkeit der EU zu verbessern, Cyberbedrohungen, die nationale Grenzen überschreiten, zu verhindern, zu erkennen und darauf zu reagieren. Um den regulatorischen Rahmen zu vertiefen, steht das offizielle Dokument der NIS2-Richtlinie zur Verfügung; wer verstehen möchte, woher dieses System stammt, findet hilfreiche Informationen unter Was ist das Hauptziel der NIS2-Richtlinie?. Italienische Organisationen, die ihre Position noch überprüfen müssen, können die Hinweise zu ACN und der Liste der NIS2-Subjekte konsultieren.

Häufig gestellte Fragen zum Management grenzüberschreitender NIS2-Vorfälle

• Was muss die Meldung eines Vorfalls mit grenzüberschreitenden Auswirkungen enthalten?
• Gemäß Artikel 23 der NIS2-Richtlinie muss die Meldung spezifische Informationen über etwaige grenzüberschreitende Auswirkungen des Vorfalls enthalten. Diese Daten dienen dem CSIRT oder der zuständigen Behörde dazu, zu bewerten, ob Kooperationsmechanismen mit anderen Mitgliedstaaten aktiviert werden müssen.
• Wer ist die einheitliche Anlaufstelle (SPOC) und was ist ihre Rolle?
• Jeder Mitgliedstaat muss einen SPOC benennen, der als zentraler Verbindungspunkt für die grenzüberschreitende Zusammenarbeit im Bereich der Cybersicherheit fungiert. Der SPOC koordiniert die Kommunikation zwischen zuständigen Behörden, CSIRTs und anderen relevanten Stellen, sowohl innerhalb der EU als auch mit Drittländern.
• Was macht EU-CyCLONe und wann wird es aktiviert?
• EU-CyCLONe (European Cyber Crisis Liaison Organisation Network) unterstützt die koordinierte Bewältigung von Cybersicherheitsvorfällen und -krisen großen Ausmaßes auf operativer Ebene. Es wird bei schwerwiegenden Szenarien aktiviert und bringt die Behörden für Cyberkrisenmanagement der Mitgliedstaaten zusammen, um den Informationsaustausch zu erleichtern und die Reaktionen zu koordinieren.

[Callforaction-NIS2-Footer]