Hier ist ein Überblick über die Aufsichtsbefugnisse, die den zuständigen nationalen Behörden gemäß der NIS2-Richtlinie eingeräumt werden.

NIS2-Richtlinie: Aufsicht durch nationale Behörden

Die NIS2-Richtlinie stattet die zuständigen nationalen Behörden mit einer Reihe von Aufsichtsbefugnissen aus, um sicherzustellen, dass wesentliche und wichtige Einrichtungen die Anforderungen an das Cybersicherheitsrisikomanagement und die Meldung von Vorfällen einhalten. Diese Befugnisse sollen eine wirksame Überwachung erleichtern und ein einheitliches Niveau der Cybersicherheit in der gesamten EU fördern. Für Organisationen, die in den Anwendungsbereich der Richtlinie fallen, ist das Verständnis dieser Mechanismen der erste Schritt zur Strukturierung eines angemessenen NIS2-Konformitätspfads.

[Callforaction-NIS2]

Wichtigste Aufsichtsbefugnisse gemäß der NIS2-Richtlinie

• Präventive Aufsichtsmaßnahmen für wesentliche Einrichtungen: Die Richtlinie sieht ein strengeres Aufsichtsregime für wesentliche Einrichtungen vor und verpflichtet die zuständigen Behörden, die Einhaltung der Cybersicherheitsanforderungen aktiv zu überwachen.
  • Regelmäßige und gezielte Audits: Die zuständigen Behörden können regelmäßige Audits durchführen, um das allgemeine Cybersicherheitsniveau wesentlicher Einrichtungen zu bewerten. Sie können gezielte Audits in spezifischen Bereichen durchführen, die Anlass zur Sorge geben.
  • Vor-Ort- und Ferninspektionen: Um die Einhaltung zu überprüfen und Beweise zu sammeln, können die zuständigen Behörden Vor-Ort-Inspektionen in den Räumlichkeiten der Einrichtung durchführen sowie Ferninspektionen vornehmen, indem sie Dokumentationen anfordern oder den Zugriff auf Systeme verlangen.
• Nachgelagerte Aufsichtsmaßnahmen für wichtige Einrichtungen: Für wichtige Einrichtungen verfolgt die Richtlinie einen reaktiveren Ansatz. Sie konzentriert sich auf nachgelagerte Aufsichtsmaßnahmen, die durch Beweise oder Anhaltspunkte für eine Nichteinhaltung ausgelöst werden.
  • Untersuchungen: Wenn eine wichtige Einrichtung die NIS2 möglicherweise nicht einhält, können die Behörden Untersuchungen einleiten, um die Nichteinhaltung zu prüfen.
  • Gezielte Sicherheitsaudits: Die Behörden können Audits durch unabhängige Experten verlangen, um Sicherheitsmaßnahmen zu bewerten und Schwachstellen zu identifizieren.
  • Sicherheitsscans: Die Behörden können Scans der Systeme der Einrichtung durchführen, wobei objektive und transparente Bewertungskriterien verwendet werden, in Zusammenarbeit mit der Einrichtung, um die betrieblichen Auswirkungen zu minimieren.

Befugnisse zur Informationsanforderung und zum Zugriff

• Informationsanfragen: Die zuständigen Behörden können von wesentlichen und wichtigen Einrichtungen die Bereitstellung von Informationen verlangen, die zur Bewertung ihrer Praktiken erforderlich sind, darunter:
  • Dokumentierte Cybersicherheitsrichtlinien.
  • Nachweise über die Einhaltung der Meldepflichten bei Vorfällen.
  • Ergebnisse von Sicherheitsaudits, die von qualifizierten Auditoren durchgeführt wurden.
• Zugriff auf Daten, Dokumente und Systeme: Um ihre Aufsichtstätigkeiten auszuüben, haben die zuständigen Behörden das Recht, den Zugriff auf Daten, Dokumente und andere für ihre Bewertung relevante Informationen zu verlangen. Dies umfasst:
  • Sicherheitsprotokolle (Logs) und Vorfallberichte.
  • Schwachstellenbewertungen und Ergebnisse von Penetrationstests.
  • Nachweise über Cybersicherheitsschulungsprogramme.

Differenzierung der Aufsichtsregime gemäß der NIS2-Richtlinie

• Wesentliche Einrichtungen: Die Richtlinie legt ein umfassenderes und proaktiveres Aufsichtsregime für wesentliche Einrichtungen fest.
• Wichtige Einrichtungen: Das Aufsichtsregime für wichtige Einrichtungen ist fokussierter und reaktiver und stützt sich hauptsächlich auf nachgelagerte Maßnahmen, die durch Beweise oder Anzeichen einer Nichteinhaltung ausgelöst werden.

Zusammenarbeit und Informationsaustausch

• Zusammenarbeit mit Datenschutzbehörden: Wenn ein Sicherheitsvorfall personenbezogene Daten betrifft, müssen die zuständigen Behörden mit den Datenschutzbehörden für eine koordinierte Reaktion zusammenarbeiten.
• Informationsaustausch: Die Richtlinie fördert den Austausch von Daten zwischen nationalen und grenzüberschreitenden Behörden über Vorfälle, Bedrohungen und bewährte Verfahren der Cybersicherheit.

Zusammenfassend lässt sich sagen, dass die NIS2-Richtlinie den zuständigen nationalen Behörden ein umfassendes Set an Aufsichtsbefugnissen verleiht, um die Umsetzung der Cybersicherheitsanforderungen durch wesentliche und wichtige Einrichtungen zu überwachen. Um den regulatorischen Rahmen zu vertiefen, steht das offizielle Dokument der NIS2-Richtlinie zur Verfügung. Mit diesen Befugnissen können die zuständigen Behörden zu einem höheren Cybersicherheitsniveau in der gesamten EU beitragen.

Häufig gestellte Fragen zu den NIS2-Aufsichtsbefugnissen

• Was ist der praktische Unterschied zwischen der Aufsicht über wesentliche und wichtige Einrichtungen?
• Für wesentliche Einrichtungen ist das Regime proaktiv: Die Behörden führen regelmäßige Audits und Inspektionen durch, auch ohne Anzeichen einer Nichteinhaltung. Für wichtige Einrichtungen ist der Ansatz reaktiv: Kontrollen werden hauptsächlich dann ausgelöst, wenn Beweise oder Anhaltspunkte für eine Verletzung der NIS2-Anforderungen vorliegen.
• Was kann eine zuständige Behörde während einer NIS2-Inspektion anfordern?
• Die Behörden können dokumentierte Sicherheitsrichtlinien, Systemprotokolle, Vorfallberichte, Auditergebnisse und Penetrationstests sowie Nachweise über Personalschulungsprogramme anfordern. Sie können auch physische Vor-Ort-Inspektionen durchführen oder aus der Ferne auf Systeme zugreifen.
• Wie kann sich eine Organisation auf die NIS2-Audits vorbereiten?
• Es ist hilfreich, die Dokumentation der getroffenen Sicherheitsmaßnahmen aktuell zu halten, Vorfallprotokolle und Ergebnisse von Schwachstellenbewertungen aufzubewahren und sicherzustellen, dass interne Richtlinien mit den Anforderungen der Richtlinie übereinstimmen. Eine Analyse des eigenen Konformitätsniveaus, die vor einer Inspektion durchgeführt wird, reduziert das Risiko von Sanktionen erheblich.

[Callforaction-NIS2-Footer]