NIS2: Was die Richtlinie verlangt und wie Sie die Einhaltung nachweisen
Kurze Antwort
NIS2 ist eine EU-Richtlinie, die seit dem 18. Oktober 2024 über nationales Recht für wesentliche und wichtige Einrichtungen in 18 Sektoren gilt. Die Richtlinie verlangt Risikomanagementmaßnahmen (Artikel 21) und die Meldung erheblicher Vorfälle binnen 24 Stunden, 72 Stunden und eines Monats (Artikel 23). ROOTKey bildet diese Anforderungen auf Ihre bestehende Infrastruktur ab, mit überprüfbaren kryptografischen Nachweisen.
- Höchstbußgeld
- 10 Mio. €oder 2 % des weltweiten Jahresumsatzes
- Meldefrist
- 24 Std.nach Feststellung eines erheblichen Vorfalls
- Betroffene Sektoren
- 18wesentliche und wichtige Einrichtungen
- Gilt seit
- 18. Okt. 2024über das nationale Recht jedes Mitgliedstaats
Wer betroffen ist und was auf dem Spiel steht
NIS2 gilt für wesentliche und wichtige Einrichtungen in 18 Sektoren und ist seit dem 18. Oktober 2024 über das nationale Recht jedes Mitgliedstaats anwendbar. Das Höchstbußgeld hängt davon ab, in welche der beiden Kategorien eine Einrichtung fällt.
| Einrichtung | Höchstbußgeld |
|---|---|
| Wesentliche Einrichtungen | Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Wichtige Einrichtungen | Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
Unsicher, wo Sie stehen? Der NIS2-Simulator bewertet Ihre Compliance-Lücke.
Amtlicher Text: Richtlinie (EU) 2022/2555 auf EUR-Lex.
NIS2 in fünf Minuten
Die Richtlinie in klarer Sprache erklärt: wen sie betrifft, was sie verlangt, die Bußgelder und welche Rolle die Datenintegrität spielt.
NIS2, DORA und die DSGVO werden im gleichen Format in der Playlist Compliance auf unserem YouTube-Kanal erklärt.
Artikel 21: Risikomanagementmaßnahmen
Artikel 21 verlangt dokumentierte Maßnahmen zu Risikoanalyse, Vorfallsmanagement, Geschäftskontinuität, Lieferkettensicherheit und Zugriffskontrolle. So wird jede Anforderung auf ROOTKey abgebildet.
| Artikel | Anforderung | ROOTKey | Status |
|---|---|---|---|
| 21 · 2(a)Richtlinien zur Risikoanalyse | Einrichtungen müssen dokumentierte und versionierte Richtlinien zur Risikoanalyse und zur Sicherheit von Informationssystemen umsetzen. | Unveränderliches Richtlinienregister mit kryptografisch überprüfbarem Hash und verankertem Verlauf - nachträgliche Manipulation ist kryptografisch erkennbar. | Abgedeckt |
| 21 · 2(b)Management von Vorfällen | Dokumentierte Verfahren zur Erkennung, Analyse, Eindämmung und Reaktion auf Sicherheitsvorfälle mit Beweiskette. | Kryptografisch signierte Zeitstempel für jedes Ereignis. Überprüfbare Beweiskette, in Sekunden für Aufsichtsbehörden exportierbar. Der Bericht zeigt, was sich geändert hat, von wem, wann und wo. | Abgedeckt |
| 21 · 2(c)Geschäftskontinuität | Backup-, Notfallwiederherstellungs- und Krisenmanagementpläne, die überprüfbare betriebliche Kontinuität sicherstellen. | Wiederherstellungspunkte mit kryptografischer Integritätsprüfung - Verifizierung, dass Backups nicht kompromittiert wurden, bevor sie gebraucht werden. | Abgedeckt |
| 21 · 2(e)Sicherheit der Lieferkette | Sicherheit in den Beziehungen zu Lieferanten und Dienstleistern, einschließlich des Zugriffs auf kritische Daten und Informationssysteme. | Kryptografische Zugriffsprüfung von Grund auf: Jeder Zugriff wird mit kryptografischem Nachweis authentifiziert, ohne implizites Vertrauen in irgendeine Instanz. | Abgedeckt |
| 21 · 2(j)Authentifizierung & Zugriffskontrolle | Multi-Faktor-Authentifizierung und sichere Kommunikationslösungen als Schutzmechanismen für den Zugriff auf kritische Systeme. | MFA mit kryptografischer Verifizierung - starke Authentifizierung ohne Offenlegung von Zugangsdaten, per API in bestehende Systeme integriert. | Teilweise |
Artikel 23: Fristen für die Meldung von Vorfällen
Artikel 23 der NIS2 verlangt die Meldung an die nationale Behörde binnen 24 Stunden nach einem erheblichen Vorfall, einen ausführlichen Bericht binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. ROOTKey erzeugt automatisch die kryptografische Nachweiskette, die für alle drei Phasen erforderlich ist.
| Frist | Phase | Details |
|---|---|---|
| T0 | Erkennung | Protokolle mit unveränderlichen Zeitstempeln - überprüfbarer Nachweis, wann der Vorfall erkannt wurde. |
| 24 Std. | Frühwarnung | Meldung an das CSIRT binnen 24 Std. (Frühwarnung) nach Feststellung eines Vorfalls mit erheblichen Auswirkungen. |
| 72 Std. | Zwischenbericht | Ein ausführlicher Bericht binnen 72 Stunden. Strukturierter Export, in Minuten bereit. |
| 1 Monat | Abschlussbericht | Ein Abschlussbericht binnen eines Monats - mit der vollständigen kryptografischen Nachweiskette. |
Wie ROOTKey sich einfügt: auf Ihrer Infrastruktur, nicht an ihrer Stelle
ROOTKey ersetzt keine bestehenden Systeme. Es fügt über API eine kryptografische Verifizierungsschicht hinzu - ohne Migrationen, ohne Vendor-Lock-in.
- Prüfbare kryptografische Nachweise
- Jede kritische Aktion erzeugt einen unabhängigen Nachweis, den externe Prüfer verifizieren können, ohne auf die Originaldaten zuzugreifen.
- Überprüfbare Wiederherstellungspunkte
- Wiederherstellungspunkte mit kryptografisch verifizierter Integrität: Datum, Inhalt und Integrität, alles überprüfbar.
- Unveränderliche Zeitstempel
- Beweiskette für jedes Sicherheitsereignis, mit überprüfbarem Nachweis, wann es eingetreten ist.
Jede Datei, derselbe Beweis
PDF, Bilder, Word, Excel, PowerPoint, Tabellen und Datenbanken: Egal welche Datei, ROOTKey vergleicht sie mit dem versiegelten Original und zeigt nur, was verändert wurde.
- Bereitstellung
- SaaS · Private Cloud · On-Premise
- Konnektoren
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · Tabellen und Datenbanken · REST API und Webhooks
Integration: in Tagen einsatzbereit, nicht in Monaten
Dokumentierte REST-API und Webhooks, dedizierter Enterprise-Support. ROOTKey passt sich Ihrer Infrastruktur an - nicht umgekehrt.
Integration per API
Dokumentierte REST-API und Webhooks. In Tagen einsatzbereit, ohne die bestehende Infrastruktur zu ersetzen.
Automatische Nachweise
Jedes kritische Ereignis erzeugt einen unveränderlichen, prüfbaren kryptografischen Nachweis, bei minimalem Betriebsaufwand.
Sofortige Berichte
Compliance-Dashboard in Echtzeit und Export von Nachweisen für Aufsichtsbehörden in Sekunden.
Häufig gestellte Fragen
Was verlangt NIS2 bei der Meldung von Vorfällen?
Artikel 23 der NIS2 verlangt die Meldung an die nationale Behörde binnen 24 Stunden nach einem erheblichen Vorfall, einen ausführlichen Bericht binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. ROOTKey erzeugt automatisch die kryptografische Nachweiskette, die für alle drei Phasen erforderlich ist.
Was gilt nach NIS2 als erheblicher Vorfall?
Erhebliche Vorfälle umfassen solche, die schwere Betriebsstörungen, finanzielle Verluste oder Auswirkungen auf andere Einrichtungen verursachen - darunter Ransomware-Angriffe, Verletzungen der Datenintegrität und Kompromittierungen der Lieferkette.
Wie unterstützt ROOTKey Artikel 21 der NIS2?
Artikel 21 der NIS2 verlangt kryptografische Richtlinien, Zugriffskontrolle und Vorfallsmanagement. Die kontinuierliche Integritätsprüfung von ROOTKey unterstützt die Anforderungen an kryptografische Nachweise und liefert einen unveränderlichen Audit-Trail für die Dokumentation von Vorfällen.
Welche Bußgelder drohen bei Nichteinhaltung der NIS2?
Wesentlichen Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtigen Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.