NIS2 für SaaS-Unternehmen – wer betroffen ist und was jetzt Pflicht wird

Einführung: NIS2 als neue Compliance-Herausforderung

Die NIS2-Richtlinie (Richtlinie über Maßnahmen für ein hohes gemeinsames Maß an Cybersicherheit) ist eine EU-Richtlinie, die bis Oktober 2024 in nationales Recht umgesetzt werden musste. Sie erweitert die ursprüngliche NIS-Richtlinie und stellt strengere Anforderungen an die Cybersicherheit. Für SaaS-Unternehmen bedeutet das: Neue Compliance-Pflichten, die parallel zur DSGVO erfüllt werden müssen.

Dieser Artikel erklärt NIS2 verständlich für SaaS-Unternehmen: Was ist NIS2? Wer ist betroffen? Welche Pflichten entstehen? Wie unterscheidet sich NIS2 von der DSGVO? Und was müssen Unternehmen jetzt tun?

Dieser Artikel ist ein Supporting-Artikel zum PILLAR-Artikel "IT-Sicherheit für B2B-SaaS: DSGVO, NIS2 und ISO 27001", der die grundlegenden Aspekte der IT-Sicherheit im B2B-Kontext ausführlich behandelt.

Was ist NIS2?

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist eine EU-Richtlinie zur Cybersicherheit, die die ursprüngliche NIS-Richtlinie (Richtlinie (EU) 2016/1148) erweitert und verschärft.

Ziel der NIS2-Richtlinie

Die NIS2-Richtlinie zielt darauf ab:

• Hohes gemeinsames Maß an Cybersicherheit: Ein hohes gemeinsames Maß an Cybersicherheit in der gesamten EU zu gewährleisten
• Resilienz kritischer Infrastrukturen: Die Resilienz kritischer Infrastrukturen zu stärken
• Meldung von Cybersicherheitsvorfällen: Die Meldung von Cybersicherheitsvorfällen zu verbessern
• Zusammenarbeit zwischen Mitgliedstaaten: Die Zusammenarbeit zwischen Mitgliedstaaten zu fördern

Wichtig: NIS2 ist keine Datenschutz-Richtlinie, sondern eine Cybersicherheits-Richtlinie. Sie fokussiert auf die Sicherheit von Netz- und Informationssystemen, nicht auf den Schutz personenbezogener Daten.

Umsetzung in nationales Recht

Die NIS2-Richtlinie musste bis Oktober 2024 in nationales Recht umgesetzt werden:

• Deutschland: Umsetzung durch das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) und weitere Gesetze
• Österreich: Umsetzung durch das NIS-Gesetz 2.0
• Andere EU-Mitgliedstaaten: Jeder Mitgliedstaat hat eigene Umsetzungsgesetze

Wichtig: Die genauen Anforderungen können je nach Mitgliedstaat unterschiedlich sein. Unternehmen sollten sich über die spezifischen Anforderungen in ihrem Mitgliedstaat informieren.

Wer ist betroffen?

NIS2 gilt für Unternehmen in bestimmten Sektoren, die als "wesentliche" oder "wichtige" Einrichtungen eingestuft werden. Für SaaS-Unternehmen relevant sind insbesondere:

Digitale Infrastruktur

Unternehmen, die digitale Infrastruktur bereitstellen:

• Cloud-Computing-Dienste: IaaS, PaaS, SaaS-Anbieter
• Datenverarbeitungsdienste: Datenverarbeitungs- und Datenspeicherungsdienste
• Content-Delivery-Networks (CDN): CDN-Anbieter
• Domain-Name-Systeme (DNS): DNS-Anbieter
• Top-Level-Domain-Registries: TLD-Registries

Beispiel: Ein SaaS-Anbieter, der Cloud-Computing-Dienste bereitstellt, kann als "wichtige Einrichtung" eingestuft werden, wenn er bestimmte Größenkriterien erfüllt.

Digitale Dienste

Unternehmen, die digitale Dienste bereitstellen:

• Online-Marktplätze: Online-Marktplätze für Waren oder Dienstleistungen
• Suchmaschinen: Suchmaschinen
• Social-Networking-Plattformen: Social-Networking-Plattformen

Beispiel: Ein SaaS-Anbieter, der einen Online-Marktplatz betreibt, kann als "wichtige Einrichtung" eingestuft werden.

IT-Dienstleistungen

Unternehmen, die IT-Dienstleistungen bereitstellen:

• Managed-Service-Provider: MSPs, die IT-Dienstleistungen für andere Unternehmen bereitstellen
• Managed-Security-Service-Provider: MSSPs, die Sicherheitsdienstleistungen bereitstellen

Beispiel: Ein SaaS-Anbieter, der Managed-Security-Services wie SecureLogical bereitstellt, kann als "wichtige Einrichtung" eingestuft werden.

Größenkriterien

NIS2 gilt nicht für alle Unternehmen, sondern nur für solche, die bestimmte Größenkriterien erfüllen:

• Mittlere Unternehmen: Unternehmen mit mehr als 50 Beschäftigten und einem Jahresumsatz von mehr als 10 Mio. Euro
• Große Unternehmen: Unternehmen mit mehr als 250 Beschäftigten oder einem Jahresumsatz von mehr als 50 Mio. Euro
• Kleine Unternehmen: Kleine Unternehmen können ausgenommen sein, es sei denn, sie werden als "wesentliche Einrichtung" eingestuft

Wichtig: Die genauen Größenkriterien können je nach Mitgliedstaat und Sektor unterschiedlich sein. Unternehmen sollten sich über die spezifischen Kriterien in ihrem Mitgliedstaat informieren.

Pflichten & Fristen

Unternehmen, die unter NIS2 fallen, müssen folgende Pflichten erfüllen:

Risikomanagement

Unternehmen müssen ein Risikomanagement implementieren:

• Risikobewertung: Regelmäßige Bewertung der Risiken für die Sicherheit der Netz- und Informationssysteme
• Kontinuierliches Risikomanagement: Kontinuierliches Risikomanagement und Anpassung der Maßnahmen
• Dokumentation: Dokumentation der Risikobewertung und der Maßnahmen

Cybersicherheitsmaßnahmen

Unternehmen müssen angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen umsetzen:

• Politik zur Cybersicherheit: Eine schriftliche Politik zur Cybersicherheit
• Cybersicherheits-Schulungen: Regelmäßige Schulungen für Mitarbeiter zur Cybersicherheit
• Incident-Response-Pläne: Pläne für die Reaktion auf Cybersicherheitsvorfälle
• Business-Continuity-Pläne: Pläne für die Geschäftskontinuität bei Cybersicherheitsvorfällen
• Verschlüsselung: Verschlüsselung von Daten in transit und at rest
• Zugriffskontrolle: Strenge Zugriffskontrolle und Authentifizierung
• Monitoring und Logging: Kontinuierliches Monitoring und Logging von Sicherheitsereignissen

Meldepflichten

Unternehmen müssen erhebliche Cybersicherheitsvorfälle melden:

• Frühe Warnung: Meldung innerhalb von 24 Stunden nach Erkennung (frühe Warnung)
• Nachmeldung: Detaillierte Nachmeldung innerhalb von 72 Stunden nach Erkennung
• Zuständige Behörde: Meldung an die zuständige nationale Behörde (z.B. BSI in Deutschland)
• Sicherheitslücken: Meldung von Sicherheitslücken, die erhebliche Auswirkungen haben können

Wichtig: Die Meldepflichten nach NIS2 sind unabhängig von den Meldepflichten nach DSGVO. Beide müssen erfüllt werden, wenn ein Vorfall sowohl NIS2 als auch DSGVO betrifft.

Zusammenarbeit mit Behörden

Unternehmen müssen mit zuständigen Behörden zusammenarbeiten:

• Bereitstellung von Informationen: Bereitstellung von Informationen auf Anfrage der Behörden
• Audits und Inspektionen: Teilnahme an Audits und Inspektionen durch Behörden
• Zusammenarbeit bei Vorfällen: Zusammenarbeit bei der Untersuchung von Cybersicherheitsvorfällen

Fristen

Die wichtigsten Fristen nach NIS2:

• Umsetzung: NIS2 musste bis Oktober 2024 in nationales Recht umgesetzt werden
• Meldung von Vorfällen: 24 Stunden für frühe Warnung, 72 Stunden für detaillierte Nachmeldung
• Maßnahmen: Maßnahmen müssen kontinuierlich umgesetzt und überprüft werden
• Audits: Regelmäßige Audits durch Behörden (Häufigkeit je nach Mitgliedstaat)

Unterschied zur DSGVO

NIS2 und DSGVO haben unterschiedliche Ziele und Anwendungsbereiche, überschneiden sich aber in vielen Punkten:

Ziel

DSGVO: Fokus auf Datenschutz und Schutz personenbezogener Daten

NIS2: Fokus auf Cybersicherheit und Resilienz kritischer Infrastrukturen

Überschneidung: Beide verlangen technische und organisatorische Maßnahmen, aber mit unterschiedlichen Schwerpunkten. DSGVO fokussiert auf den Schutz personenbezogener Daten, NIS2 auf die Sicherheit von Netz- und Informationssystemen.

Anwendungsbereich

DSGVO: Gilt für alle Unternehmen, die personenbezogene Daten verarbeiten

NIS2: Gilt nur für Unternehmen in bestimmten Sektoren, die bestimmte Größenkriterien erfüllen

Überschneidung: Viele SaaS-Unternehmen fallen unter beide Regelwerke, müssen also beide Anforderungen erfüllen.

Meldepflichten

DSGVO: Meldung von Datenpannen (Art. 33, 34 DSGVO):

• Frist: 72 Stunden nach Bekanntwerden
• Ziel: Schutz personenbezogener Daten
• Empfänger: Aufsichtsbehörden und betroffene Personen

NIS2: Meldung von Cybersicherheitsvorfällen:

• Frist: 24 Stunden für frühe Warnung, 72 Stunden für detaillierte Nachmeldung
• Ziel: Cybersicherheit und Resilienz
• Empfänger: Zuständige nationale Behörden (z.B. BSI)

Überschneidung: Ein Vorfall kann sowohl eine Datenpanne (DSGVO) als auch ein Cybersicherheitsvorfall (NIS2) sein. Beide Meldepflichten müssen erfüllt werden.

Maßnahmen

DSGVO: Verlangt geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO:

• Fokus: Schutz personenbezogener Daten
• Risikobasiert: Maßnahmen müssen dem Risiko angemessen sein
• Stand der Technik: Maßnahmen müssen dem Stand der Technik entsprechen

NIS2: Verlangt angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen:

• Fokus: Sicherheit von Netz- und Informationssystemen
• Risikobasiert: Maßnahmen müssen dem Risiko angemessen sein
• Best Practices: Maßnahmen sollten Best Practices folgen

Überschneidung: Viele Maßnahmen überschneiden sich (Verschlüsselung, Zugriffskontrolle, Monitoring, etc.), müssen aber beide Regelwerke vollständig abdecken.

Handlungsempfehlungen

Die folgenden Handlungsempfehlungen können helfen, NIS2-Compliance zu gewährleisten:

1. Prüfung der Betroffenheit

Zuerst prüfen, ob NIS2 anwendbar ist:

• Sektor: Prüfen, ob das Unternehmen in einem betroffenen Sektor tätig ist
• Größenkriterien: Prüfen, ob die Größenkriterien erfüllt sind
• Einstufung: Prüfen, ob das Unternehmen als "wesentliche" oder "wichtige" Einrichtung eingestuft wird
• Rechtliche Beratung: Bei Unsicherheit rechtliche Beratung einholen

2. Gap-Analyse

Gap-Analyse durchführen:

• Bestehende Maßnahmen: Bestehende Cybersicherheitsmaßnahmen dokumentieren
• Anforderungen: NIS2-Anforderungen identifizieren
• Lücken: Lücken zwischen bestehenden Maßnahmen und NIS2-Anforderungen identifizieren
• Priorisierung: Maßnahmen priorisieren basierend auf Risiko und Dringlichkeit

3. Maßnahmen umsetzen

Maßnahmen systematisch umsetzen:

• Politik zur Cybersicherheit: Eine schriftliche Politik zur Cybersicherheit erstellen
• Schulungen: Regelmäßige Schulungen für Mitarbeiter zur Cybersicherheit durchführen
• Incident-Response: Incident-Response-Pläne erstellen und testen
• Business-Continuity: Business-Continuity-Pläne erstellen und testen
• Technische Maßnahmen: Technische Maßnahmen umsetzen (Verschlüsselung, Zugriffskontrolle, Monitoring)

4. Meldepflichten etablieren

Prozesse für Meldepflichten etablieren:

• Erkennung: Prozesse zur Erkennung von Cybersicherheitsvorfällen
• Bewertung: Prozesse zur Bewertung, ob ein Vorfall meldepflichtig ist
• Meldung: Prozesse zur Meldung innerhalb der Fristen (24 Stunden, 72 Stunden)
• Dokumentation: Dokumentation aller Vorfälle und Meldungen

5. Zusammenarbeit mit Behörden

Zusammenarbeit mit Behörden vorbereiten:

• Kontaktpersonen: Kontaktpersonen bei zuständigen Behörden identifizieren
• Prozesse: Prozesse für die Zusammenarbeit mit Behörden etablieren
• Dokumentation: Dokumentation für Audits und Inspektionen vorbereiten

6. Integration mit DSGVO

NIS2 und DSGVO integrieren:

• Gemeinsame Maßnahmen: Maßnahmen identifizieren, die beide Regelwerke abdecken
• Separate Maßnahmen: Maßnahmen identifizieren, die nur für ein Regelwerk erforderlich sind
• Dokumentation: Dokumentation so strukturieren, dass beide Regelwerke abgedeckt sind
• Meldepflichten: Prozesse für beide Meldepflichten (DSGVO und NIS2) etablieren

Fazit

NIS2 ist eine neue Compliance-Herausforderung für SaaS-Unternehmen, die parallel zur DSGVO erfüllt werden muss. Die wichtigsten Erkenntnisse:

• NIS2 ist eine Cybersicherheits-Richtlinie: Fokus auf Sicherheit von Netz- und Informationssystemen, nicht auf Datenschutz
• Nicht alle Unternehmen sind betroffen: Nur Unternehmen in bestimmten Sektoren, die bestimmte Größenkriterien erfüllen
• Strenge Pflichten: Risikomanagement, Cybersicherheitsmaßnahmen, Meldepflichten, Zusammenarbeit mit Behörden
• Unterschied zur DSGVO: NIS2 und DSGVO haben unterschiedliche Ziele, überschneiden sich aber in vielen Punkten
• Beide müssen erfüllt werden: Unternehmen, die unter beide Regelwerke fallen, müssen beide Anforderungen erfüllen
• Systematische Umsetzung: Prüfung der Betroffenheit, Gap-Analyse, Maßnahmen umsetzen, Meldepflichten etablieren

Für B2B-SaaS-Anbieter bedeutet das: NIS2-Compliance muss systematisch angegangen werden, mit klarer Prüfung der Betroffenheit, Gap-Analyse und schrittweiser Umsetzung der Maßnahmen. Die Integration mit DSGVO-Compliance ist wichtig, um Doppelarbeit zu vermeiden und Synergien zu nutzen.

Bei BeLogical setzen wir auf eine security-first Architektur, die den Anforderungen von NIS2 und DSGVO entspricht. Unsere Produkte wie SecureLogical wurden mit Fokus auf Cybersicherheit entwickelt und bieten umfassende Funktionen für Risikomanagement, Monitoring und Incident-Response. Die Verantwortung für die Compliance liegt beim Kunden, aber wir unterstützen mit technischen Lösungen und Best-Practice-Empfehlungen.

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Bei spezifischen rechtlichen Fragen sollten Sie einen qualifizierten Datenschutzberater oder Rechtsanwalt konsultieren.