Rechtsrahmen für Kritische Infrastrukturen

Dieser Blogbeitrag befasst sich mit den EU-Sicherheits- und Resilienz-Richtlinien NIS2 und RCE/CER.

Diese internationalen EU-Regelungen zielen auf Kritische Infrastrukturen und andere essentielle und wichtige Unternehmen und Einrichtungen in der EU ab.

Dieser Blogbeitrag wurde in Deutschland verfasst, mit einigen hilfreichen Verweisen auf die aktuelle deutsche KRITIS-Regulierung zum eigenen Verständnis, zielt aber primär auf den aktuellen internationalen EU-Rechtsrahmen ab.

Sie erhalten einen groben inhaltlichen Überblick über die im Dezember 2022 verabschiedeten zwei EU-Richtlinien:

• RICHTLINIE (EU) 2022/2555:
  Netz-und Informationssicherheit 2 = NIS2
• RICHTLINIE (EU) 2022/2557:
  Resilienz kritischer Einrichtungen = RCE (Resilience of critical entities) = CER (Critical entities reslilience)  (*)

(*) CER im deutschsprachigen Sprachraum oft verwendet

Rechtlicher Regulierungsrahmen HEUTE
Beispiel einer nationalen Umsetzung von EU-Recht: In Deutschland reguliert aktuell das IT-Sicherheitsgesetz 2.0 respektive das BSIG die Cybersecurity von klassischen KRITIS-Sektoren. 

Es geht bei allen Regularien zur KRITIS-Cybersicherheit immer um die Sicherstellung von angemessenen organisatorischen und technischen Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse. Diese müssen dem aktuellen Stand der Technik entsprechen, um ein hohes Sicherheitsniveau von Netz- und Informationssystemen zu erreichen. Ein angekündigtes KRITIS-Dachgesetz soll in Deutschland künftig (2023ff) neben der Cybersecurity auch die generelle Resilienz und speziell die physische Sicherheit von KRITIS-Sektoren regulieren. 

In den anderen EU-Ländern wird die Cybersecurity (und eventuell bereits Teilaspekte von Resilienz) durch entsprechende Landesgesetze reguliert, welche die europäische NIS-Richtlinie in nationales Recht umsetzen.

In Österreich beispielsweise heißt das Pendant zum deutschen IT-Sicherheitsgesetz / BSIG in Anlehnung an die EU-Richtlinie „NISG“.

Ihre Aufgaben HEUTE:

• Bitte die analog geltenden Gesetze für Ihr EU-Land selbständig eruieren und beachten
• Bei eigener Betroffenheit: Cybersecurity, Resilienz und physische Sicherheit (z. B. durch Videoüberwachung) stärken

Rechtlicher Regulierungsrahmen MORGEN (Jahr 2023ff)
Mit der Richtlinie zur Netz- und Informationssicherheit (NIS2) werden neue Regeln eingeführt, um ein hohes gemeinsames Niveau der Cybersicherheit in der EU zu fördern – sowohl für Unternehmen als auch für Länder. Durch die Richtlinie werden auch die Cybersicherheitsanforderungen für mittlere und große Unternehmen, die in Schlüsselsektoren tätig sind und Dienstleistungen anbieten, verschärft.

Mit der RCE Richtlinie werden neue Regeln eingeführt, um die RESILIENZ und auch die physische Sicherheit von kritischen Einrichtungen zu stärken.

Neben der bestehenden EU- bzw. nationalen Cyber-Regulierung von klassischen Kern-KRITIS-Sektoren stehen im Zeitraum 2023 bis 2024 folgende neuen und erweiterten Anforderungen im Fokus der europaweiten Sicherheits-Regulierung:

1) Inhaltliche Erweiterung

• Ganzheitliche Sicherheit 
• Neben Cybersecurity sollen erstmals auch die mehrschichtige RESILIENZ (u. a. auch Personal) und explizit die physische Sicherheit reguliert werden (CER)

2) Scope und Betroffenheit 

• Bis jetzt (zumindest in Deutschland) Regulierungsfokus auf spezifische Anlagen, Betriebsstätten und kritische Prozesse nach technischen Schwellenwerten (KRITIS)
• Ausweitung auf ganze Unternehmen (NIS2/CER)
• Quantität: viel mehr betroffene Unternehmen (auch abseits klassischer KRITIS) durch andere und niederschwelligere Kriterien 
• Anstatt technischer Schwellenwerte (wie z. B. Tonnen im Transportsektor) kaufmännische Werte wie Mitarbeiteranzahl, Umsatz, Bilanzsumme (NIS2)

3) Entities 

• Jenseits der klassischen „Kern-KRITIS-Sektoren“
  • neue „wesentliche, wichtige, systemkritische Unternehmen“
  • „essential“ und „important entities“ (NIS2)
  • Achtung Betroffenheit „important entities“: bereits mittlere Betreiber mit > 50 Mitarbeiter > 10 Mio Umsatz/Bilanzsumme aus der (herstellenden) Industrie, z. B. Herstellung von Medizinprodukten, Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, Kraftwagen und Kraftwagenteilen, Maschinenbau (NIS2)
• In Deutschland gibt es z. B. im BSIG (Artikel 8f) || Artikel 2 (14) bereits die sog. UBI = Unternehmen von besonderem öffentlichen Interesse, z. B. Herstellung oder Entwicklung Rüstungsgüter (UBI1) oder Unternehmen von erheblicher volkswirtschaftlicher Bedeutung (UBI2) oder Betreiber der oberen Klasse der Störfallverordnung wie z.B. Gefahrstoffe / Chemie (UBI3)
• „Critical entities“ (CER) Fast deckungsgleich z. B. in Deutschland mit den bestehenden KRITIS-Sektoren, zzgl. neuem Sektor „Raumfahrt“ in CER

Der EU-Rechtsrahmen nachfolgend in der Schnellübersicht

Die EU-Richtlinien im Wortlaut (Original)

• NIS2-Richtlinie „Netz-und Informationssicherheit“
  • Offizielles Dokument RICHTLINIE (EU) 2022/2555 „Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“ (Sprachauswahlseite | Deutsche Fassung PDF)
  • EU-Staaten müssen NIS2 bis Oktober 2024 in nationales Recht überführen; in Deutschland z. B. womöglich mit einem IT-Sicherheitsgesetz 3.0 (Update 07_2023: Nicht IT-Sicherheitsgesetz 3.0, sondern NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG))
     
• RCE/CER-Richtlinie „Resilienz kritischer Einrichtungen“
  • Offizielles Dokument RICHTLINIE (EU) 2022/2557 „Über die Resilienz kritischer Einrichtungen“ (Sprachauswahlseite | Deutsche Fassung PDF)
  • EU-Staaten müssen NIS2 bis Oktober 2024 in nationales Recht überführen; in Deutschland z. B. womöglich mit dem KRITIS-Dachgesetz

Komplexe EU-Regulierung „schreit“ nach Harmonisierung
Bei den EU-Richtlinien zeigt sich leider neben dem Urproblem der EU, die Interessen von 27 Einzelstaaten „unter einen Hut zu bringen“, die detailreiche und heterogene EU-Bürokratie und die „föderale nationale Umsetzungsfreiheit mit diversen nationalen Öffnungsklauseln“ mit der berechtigten hörbaren Meinung aus dem Markt:

„Die ganze Regulierung ist sehr komplex und unübersichtlich, sie schreit direkt nach Harmonisierung.“

Unser Versuch der „Entmystifizierung“ und „Harmonisierung“ in einfachen Worten:

• Trotz einiger Überschneidungen, Abgrenzungsschwierigkeiten und Vorrangsfragen bzgl. Betreiber, Sektoren und Betroffenheit
• sind der Großteil der betroffenen Unternehmen die klassischen „Kern-KRITIS-Sektoren“
  • Energie
  • Wasser
  • ITK
  • Transport & Verkehr
  • Gesundheitswesen
  • Finanzwesen
  • Ernährung
• und eben weitere essentielle, wichtige, systemkritische Unternehmen (von öffentlichem Interesse für die nationale Sicherheit und Versorgungssicherheit)

Noch viele Detail- und Umsetzungsfragen offen
Die einzelnen Definitionen, Einteilungen und Abgrenzungen am „EU-Papier“ werden in der Realität und der nationalen Umsetzung zu Überschneidungen oder Mehrfachbetroffenheit oder Abgrenzungsschwierigkeiten und Fragen zum Vorrang einzelner Vorschriften führen und noch spannende Detail-Fragen offen lassen, die der jeweilige nationale Gesetzgeber bzw. die zuständigen nationalen Behörden zu klären haben.

Ihre Aufgaben MORGEN:

• Auf EU-Regulierung (NIS2/RCE-Richtlinie) ab 2023 vorbereiten und eigene Betroffenheit bzw. die Betroffenheit Ihrer Kunden prüfen
• Die geltenden und durch NIS2/RCE bis 10/2024 geänderten oder neuen nationalen Gesetze für Ihr EU-Land selbständig eruieren und beachten
• Bei eigener Betroffenheit: Cybersecurity, Resilienz und physische Sicherheit (z. B. durch Videoüberwachung) stärken

Info 3 / Tipp 3: Externe unabhängige Infoquelle

• Die Themen KRITIS EU-Rechtsrahmen und NIS2 und RCE/CER werden ganz detailliert und anschaulich anhand von Gegenüberstellungen auf der sehr guten und spezialisierten KRITIS-Onlineplattform „www.openkritis.de“ erklärt
• Unsere Empfehlung: die komprimierte Präsentation von Hr. Weissmann (Herausgeber OpenKritis)
• Es wird auch die grundsätzliche Frage beantwortet: „Wer gehört in der EU ab dem Jahr 2024/2025 zu den neuen betroffenen Unternehmen durch NIS2 und RCE/CER?“
• Links:
  • Englische Präsentation (02_2023):
    EU NIS2 and RCE Security and Resilience for Critical Infrastructures
  • Deutsche Präsentation (04_2023):
    KRITIS Betreiber und nun? EU NIS2, CER und KRITIS-Dachgesetz

Sie haben noch Fragen oder möchten Ihre Gedanken zu diesem Thema mit uns teilen?
Wir freuen uns über Ihre Kommentare und Anmerkungen!