TIS2-Richtlinie

Organisationen müssen Maßnahmen zur Cybersicherheit umsetzen, Risikomanagement durchführen, das Incident Management und die Meldung von Vorfällen sicherstellen, regelmäßige Sicherheitsprüfungen durchführen und strenge Anforderungen an die Sicherheit der Lieferkette einhalten.

Im Vergleich zu TIS1 erweitert die neue Version der Richtlinie den Kreis der Unternehmen, die ihrer Anwendung unterliegen, erheblich. Neben der Erweiterung kritischer Bereiche wurden auch wichtige Bereiche hinzugefügt. Die Anwendung der Richtlinie auf diese Bereiche wird sich darin äußern, dass Organisationen, die zu kritischen Sektoren gehören, kontinuierlich Nachweise über ihren Cyber-Sicherheitsstatus vorlegen müssen, während wichtige Organisationen im Falle eines Vorfalls überprüft werden.

Kritische Sektororganisationen sind solche, die mehr als 250 Mitarbeiter und einen Jahresumsatz von über 50 Millionen Euro haben; wichtige Organisationen sind solche, die weniger als 50 Mitarbeiter und einen Jahresumsatz von bis zu 10 Millionen Euro haben. Die Kriterien können je nach Sektor variieren. Eine Organisation kann unabhängig von der Größe als kritisch angesehen werden, wenn sie der einzige Anbieter einer kritischen Dienstleistung ist.

Darüber hinaus wird ein Teil der Unternehmen indirekt betroffen sein, da sie als Dienstleister (Dritte) dieser Unternehmen fungieren, bei denen ebenfalls überprüft wird, wie viel Aufmerksamkeit sie der Cyber-Sicherheit schenken.

TIS2 gilt für wichtige und wesentliche Dienstleistungsanbieter in verschiedenen Sektoren, einschließlich Energie, Gesundheitswesen, Transport, Finanzen und anderen kritischen Infrastrukturen.

Wenn Sie keine angemessenen Sicherheitsvorkehrungen treffen, setzen Sie sich der erhöhten Gefahr von Cyberangriffen aus. Solche Angriffe können Ihre Geschäftstätigkeit stören und/oder dem Ruf Ihres Unternehmens schaden.

Darüber hinaus drohen, wenn die notwendigen Veränderungen in der Organisation nicht rechtzeitig umgesetzt werden, Geldstrafen:

• Für Unternehmen und Organisationen im kritischen Sektor können die Geldstrafen bis zu 10.000.000 Eur oder 2% der jährlichen Einnahmen des Vorjahres betragen (die höhere Geldsumme wird gewählt);
• Für Unternehmen und Organisationen im wichtigen Sektor können die Geldstrafen bis zu 7.000.000 Eur oder 1,4% der jährlichen Einnahmen des Vorjahres betragen (die höhere Geldsumme wird gewählt).

Die TIS2-Richtlinie wurde 2022 genehmigt, und die Mitgliedstaaten sind verpflichtet, sie bis Ende 2024 in ihr nationales Recht umzusetzen.

Obwohl NIS2 hauptsächlich für wichtige und wesentliche Dienstanbieter gedacht ist, müssen auch bestimmte KMU, insbesondere solche, die in kritischen Infrastrukturen tätig sind oder einen großen Einfluss auf die Cybersicherheit haben, die Anforderungen der Richtlinie erfüllen.

Gemäß TIS2 sind Organisationen verpflichtet, unverzüglich über bedeutende Cybervorfälle innerhalb eines bestimmten Zeitraums (in der Regel innerhalb von 24-72 Stunden) zu berichten, einschließlich Informationen über das Ausmaß des Vorfalls und mögliche Auswirkungen.

Die TIS2-Richtlinie gilt für alle Organisationen, die wesentliche Dienstleistungen innerhalb der EU erbringen, unabhängig davon, ob sie in der EU ansässig sind oder außerhalb ihrer Grenzen.

Die TIS2-Richtlinie verpflichtet Organisationen, die Cybersecurity-Risiken in der Lieferkette zu bewerten und zu verwalten, einschließlich der Anforderung, sicherzustellen, dass ihre Lieferanten ähnliche Sicherheitsstandards einhalten.

Obwohl die TIS2- und die GDPR-Richtlinien unterschiedliche Ziele verfolgen (TIS2 ist auf Cybersicherheit ausgerichtet, während GDPR dem Datenschutz dient), sind sie eng miteinander verbunden, da beide ein hohes Schutzniveau und die Meldung von Vorfällen erfordern.

Organisationen müssen unverzüglich den zuständigen Behörden über den Vorfall berichten, den Vorfallmanagementplan umsetzen und Maßnahmen ergreifen, um die Auswirkungen zu verringern und ähnlichen Ereignissen in der Zukunft vorzubeugen.