Was ist die NIS2-Durchführungsverordnung (EU) 2024/2690?
Die Durchführungsverordnung (EU) 2024/2690 konkretisiert für die in Artikel 1 bezeichneten und nach Artikel 3 NIS2 erfassten Einrichtungen technische und methodische Anforderungen sowie die Erheblichkeit von Sicherheitsvorfällen.
Rechtliche Einordnung: Sie erfasst einen abschließend bezeichneten Kreis von Einrichtungen. Diese müssen sowohl einer Kategorie aus Artikel 1 der Verordnung angehören als auch von Artikel 3 der Richtlinie (EU) 2022/2555 erfasst sein.
Der Normwortlaut
Amtlicher Normtext – Artikel 1:
In dieser Verordnung werden in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter (im Folgenden „betreffende Einrichtungen“) die technischen und methodischen Anforderungen der in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 genannten Maßnahmen festgelegt und die Fälle präzisiert, in denen ein Sicherheitsvorfall gemäß Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555 als erheblich anzusehen ist.
Amtlicher Normtext – Artikel 2 Absätze 1 und 2:
(1) Für die betreffenden Einrichtungen sind im Anhang dieser Verordnung die technischen und methodischen Anforderungen der in Artikel 21 Absatz 2 Buchstaben a bis j der Richtlinie (EU) 2022/2555 genannten Risikomanagementmaßnahmen im Bereich der Cybersicherheit festgelegt.
(2) Bei der Umsetzung und Anwendung der technischen und methodischen Anforderungen der im Anhang dieser Verordnung festgelegten Risikomanagementmaßnahmen im Bereich der Cybersicherheit gewährleisten die betreffenden Einrichtungen ein den bestehenden Risiken angemessenes Sicherheitsniveau der Netz- und Informationssysteme. Zu diesem Zweck tragen sie dem Ausmaß ihrer Risikoexposition, ihrer Größe und der Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen, gebührend Rechnung, wenn sie die im Anhang dieser Verordnung festgelegten technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit erfüllen. Ist im Anhang dieser Verordnung vorgesehen, dass eine technische oder methodische Anforderung einer Risikomanagementmaßnahmen im Bereich der Cybersicherheit nur anzuwenden ist, soweit dies angemessen, anwendbar oder durchführbar ist, und hält es eine betreffende Einrichtung für nicht angemessen, nicht anwendbar oder nicht durchführbar, bestimmte technische und methodische Anforderungen anzuwenden, so muss die betreffende Einrichtung ihre diesbezügliche Begründung in verständlicher Weise dokumentieren.
Quellenbindung: Die Ausschnitte stammen aus Artikel 1 und Artikel 2 der Durchführungsverordnung. Die nachfolgenden Erläuterungen trennen den Normtext von redaktioneller Einordnung und Empfehlungen.
Für wen gilt die Verordnung?
Sie gilt für DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing- und Rechenzentrumsdienste, Inhaltszustellnetze, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter. Die Zugehörigkeit zu einer dieser Kategorien genügt nicht allein: Die Einrichtung muss zusätzlich nach Artikel 3 NIS2 erfasst sein. Andere wesentliche oder wichtige NIS2-Einrichtungen fallen nicht allein wegen ihrer NIS2-Einstufung unter diese Verordnung.
Was regelt der Anhang technisch und organisatorisch?
Technische Einordnung: Der Anhang operationalisiert die Risikomanagementmaßnahmen aus Artikel 21 Absatz 2 Buchstaben a bis j NIS2. Er verlangt unter anderem ein genehmigtes Sicherheitskonzept, einen Risikomanagementrahmen, dokumentierte Risikobewertungen und einen umgesetzten sowie überwachten Risikobehandlungsplan. Hinzu kommen Anforderungen an Überwachung, Protokollierung, Vorfallbewertung und ein dokumentiertes Vorfallreaktionskonzept. Die Umsetzung bleibt nach Artikel 2 Absatz 2 risikobasiert.
Wann ist ein Sicherheitsvorfall erheblich?
Normative Kriterien: Ein Vorfall ist erheblich, wenn mindestens ein allgemeines Kriterium aus Artikel 3 Absatz 1 oder ein für den jeweiligen Dienst einschlägiges Kriterium der Artikel 5 bis 14 erfüllt ist. Das allgemeine finanzielle Kriterium greift bei einem tatsächlichen oder möglichen direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 Prozent des Gesamtumsatzes des vorangegangenen Geschäftsjahrs; maßgeblich ist der niedrigere Wert.
Auch mindestens zwei innerhalb von sechs Monaten aufgetretene, einzeln nicht erhebliche Vorfälle können nach Artikel 4 zusammen erheblich sein. Dafür müssen sie dieselbe offensichtliche Ursache haben und gemeinsam das finanzielle Kriterium erfüllen.
Welche Ausnahmen und Grenzen gelten?
Planmäßige Betriebsunterbrechungen und geplante Folgen einer von oder im Auftrag der Einrichtung planmäßig durchgeführten Wartung gelten nach Artikel 3 Absatz 2 nicht als erhebliche Sicherheitsvorfälle. Diese Ausnahme betrifft nur die Erheblichkeitseinordnung.
Eine allgemeine Verhältnismäßigkeitsbefreiung von den Anhangsanforderungen besteht nicht. Eine Nichtanwendung mit verständlich dokumentierter Begründung kommt nur in Betracht, wenn der Anhang die konkrete Anforderung selbst nach Angemessenheit, Anwendbarkeit oder Durchführbarkeit begrenzt und die Einrichtung sie entsprechend beurteilt.
Welche Fristen und Schwellen sind wichtig?
Die Verordnung enthält keine allgemeine Umsetzungsfrist. Sie trat nach Artikel 16 am 7. November 2024 in Kraft und gilt unmittelbar. Neben der allgemeinen Finanzschwelle bestehen dienstespezifische Kriterien. Für Cloud-Computing-Dienste nennt Artikel 7 beispielsweise die vollständige Nichtverfügbarkeit für mehr als 30 Minuten oder eine eingeschränkte Verfügbarkeit für mehr als eine Stunde, wenn mehr als 5 Prozent oder mehr als eine Million Nutzer in der Union betroffen sind; maßgeblich ist der niedrigere Nutzerwert.
Das Sicherheitskonzept sowie Risikobewertung und Risikobehandlungsplan sind nach den einschlägigen Anhangsnummern mindestens jährlich und zusätzlich bei den jeweils dort bezeichneten Anlässen zu überprüfen beziehungsweise zu aktualisieren.
Häufige Fehlannahmen
- „Die Verordnung gilt für jede NIS2-Einrichtung.“ Nein. Erforderlich sind eine Artikel-1-Kategorie und die Erfassung nach Artikel 3 NIS2.
- „Risikobasiert bedeutet freiwillig.“ Nein. Artikel 2 verlangt ein den bestehenden Risiken angemessenes Sicherheitsniveau und die Berücksichtigung der ausdrücklich genannten Risikofaktoren.
- „Jede Anhangsanforderung darf mit Begründung entfallen.“ Nein. Dies ist nur bei einer vom Anhang ausdrücklich nach Angemessenheit, Anwendbarkeit oder Durchführbarkeit begrenzten Anforderung möglich.
- „Jede geplante Wartung ist vollständig ausgenommen.“ Nein. Die enge Ausnahme betrifft nur planmäßige Unterbrechungen und geplante Folgen planmäßiger Wartung bei der Einordnung als erheblicher Sicherheitsvorfall.
- „Nur einzelne große Vorfälle können erheblich sein.“ Nein. Artikel 4 erfasst unter seinen kumulativen Voraussetzungen auch wiederholte, einzeln nicht erhebliche Vorfälle.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine zusätzliche Rechtspflicht:
- Die Zugehörigkeit zu einer Artikel-1-Kategorie und die Erfassung nach Artikel 3 NIS2 belastbar prüfen und dokumentieren lassen.
- Das Sicherheitskonzept förmlich genehmigen sowie mindestens jährliche und anlassbezogene Überprüfungen veranlassen.
- Rollen, Verantwortlichkeiten und Weisungsbefugnisse eindeutig festlegen, mitteilen und durch Compliance- und Risikoberichte überwachen.
- Risikobewertung, Risikobehandlungsplan, Überwachung, Protokollierung und Vorfallreaktion mit nachvollziehbaren Nachweisen umsetzen lassen.
- Abweichungen bei ausdrücklich qualifizierten Anhangsanforderungen verständlich begründen und dokumentieren lassen.
- Vorfälle anhand der allgemeinen, wiederholungsbezogenen und jeweils dienstespezifischen Kriterien bewerten lassen.
Für die Geschäftsleitung
Entscheidend sind drei Nachweise: ob die Einrichtung tatsächlich zum begrenzten Adressatenkreis gehört, wie sie die risikobasierten Anhangsanforderungen umgesetzt hat und wie sie Sicherheitsvorfälle nach den einschlägigen Kriterien bewertet. Die Leitung sollte hierzu klare Zuständigkeiten, förmliche Genehmigungen, regelmäßige Überprüfungen und eine prüffähige Dokumentation sicherstellen.
Quellen
- Durchführungsverordnung (EU) 2024/2690 – amtlicher Volltext, insbesondere Artikel 1 bis 4, Artikel 5 bis 16 und Anhang.
- Richtlinie (EU) 2022/2555 – amtlicher Volltext, insbesondere Artikel 3, Artikel 21 Absatz 2 und Artikel 23 Absatz 3.
