Meldepflichten für IKT-Vorfälle unter NIS2 und DORA

Der 17. Januar 2025 ist verstrichen – und DORA ist nun offiziell anwendbar.

Der 17. Januar 2025 ist verstrichen – und DORA ist nun offiziell anwendbar. Ein großer Teil des Regelwerks ist mittlerweile durchgearbeitet – zumindest für mich 😉.

Zeit, den Blick zu erweitern und sich die nächsten „Herausforderungen“ vorzunehmen. Und was fällt mir da als Nächstes ins Auge? Genau: NIS2. Aber was ist eigentlich mit dieser EU-Richtlinie, die gewissermaßen der „kleine Bruder“ der DORA-Verordnung ist?

Die NIS2-Richtlinie betrifft Betreiber von kritischen Anlagen (KRITIS-Unternehmen) sowie weitere „wesentliche und wichtige Einrichtungen“, die unter den Geltungsbereich des Regelwerks fallen – und das sind große Teile der Wirtschaft. Allein in Deutschland wird geschätzt, dass etwa 30.000 Unternehmen unter die NIS2-Vorgaben fallen werden.

Ein wesentlicher Unterschied zwischen NIS2 und DORA liegt in der Art und Bindungswirkung der Vorgaben. Während DORA als EU-Verordnung unmittelbar für alle Finanzunternehmen gilt, wird die NIS2-Richtlinie erst nach ihrer Umsetzung in nationales Recht wirksam.

Seit Sommer letzten Jahres liegt dazu der Entwurf des sogenannten „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes“ vor, der jedoch aus verschiedenen Gründen noch nicht in Kraft ist. Ich erwarte jedoch keine lange „Verschieberitis“, da Deutschland als EU-Mitglied bei der Umsetzung der NIS2-Richtlinie keine Wahlfreiheit hat.

Unternehmen, die unter NIS2 fallen könnten, tun daher gut daran, sich frühzeitig auf die neuen Anforderungen vorzubereiten.

Eine der größten Herausforderungen sehe ich darin, dass diese neue Gesetzgebung auf Unternehmen und Mitarbeitende trifft, die keine Vorerfahrung in der IT-Regulierung haben. Das stellt eine echte Herausforderung dar, da es viel Erfahrung und ein tiefgehendes Verständnis der eigentlichen Hintergründe und Interessen des Gesetzgebers erfordert, um die Vorgaben korrekt zu interpretieren und passgenau umzusetzen. Die Qualität der Maßnahmen hängt somit maßgeblich von den Erfahrungen und dem Wissen der handelnden Personen ab, die mit der Umsetzung der IT-Vorgaben betraut werden.

Ein erstes Thema, das in meiner Wahrnehmung für Unsicherheit sorgt, ist das Thema „Meldepflichten“ zu IKT-bezogenen Vorfällen. Grund genug, mal einen Blick in NIS2 zu werfen und zu prüfen, wie dieses Thema dort geregelt ist.

Die Kurzzusammenfassung? Anders und kürzer! 😊

Welche IKT-Vorfälle sind relevant? Im Gegensatz zu DORA, wo allgemein von „IKT-bezogenen Vorfällen“ die Rede ist, verwendet NIS2 den Begriff „Sicherheitsvorfälle“. Das Kriterium „Kritikalität der betroffenen Dienste“ spielt unter NIS2 keine Rolle. Die betroffenen Unternehmen müssen sich daher „nur“ um die sicherheitsrelevanten IKT-Vorfälle im klassischen Sinne kümmern. Diese werden definiert als Ereignisse, die die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten, die über Netz- und Informationssysteme angeboten werden, beeinträchtigen.

Welche IKT-Vorfälle sind meldepflichtig? Ähnlich wie unter DORA gibt es auch unter NIS2 eine Meldepflicht für „erhebliche Sicherheitsvorfälle“ (in DORA „schwerwiegende IKT-bezogene Vorfälle“). Im Gegensatz zu DORA müssen diese jedoch nicht in einem mehrstufigen Verfahren klassifiziert werden, um die Meldepflicht zu bestimmen. Stattdessen gibt es zwei wesentliche Kriterien:

Ein Sicherheitsvorfall ist meldepflichtig, wenn:

• Er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann.
• Er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

Wann müssen IKT-Vorfälle gemeldet werden? . Grundsätzlich gilt: erhebliche Sicherheitsvorfälle sind unverzüglich zu melden – jedoch spätestens innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls. Auf den ersten Blick ähneln die Meldepflichten denen unter DORA, jedoch gibt es einen entscheidenden Unterschied:

Der Unterschied liegt darin, dass bei DORA die 24-Stundenfrist mit der „Detektion“ des Vorfalls beginnt, während sie unter NIS2 mit der „Kenntnisnahme“ des Vorfalls startet.

Dieser Unterschied ist wesentlich, da Finanzunternehmen Tools und Prozesse zur automatisierten Erkennung von Anomalien und potenziellen Sicherheitsvorfällen einsetzen müssen. Dazu gehören beispielsweise Intrusion Detection Systeme (IDS), Intrusion Prevention Systeme (IPS) und Security Information and Event Management Systeme (SIEM-Systeme). Diese Werkzeuge sind rund um die Uhr aktiv und produzieren Warnungen unabhängig von den üblichen Bürozeiten. Aus diesem Grund gelten unter DORA deutlich strengere Melderegeln. Eine Ausnahme bilden jedoch kleinere und mittlere Finanzunternehmen, die von der „Wochenend-Meldepflicht“ befreit wurden.

Unter NIS2 kann der Zeitpunkt der „Kenntnisnahme“ jedoch stark vom Zeitpunkt der „Detektion“ abweichen, insbesondere wenn ein Unternehmen zwischen den Feiertagen Betriebsferien hat und niemand vor Ort ist, um den Vorfall zur Kenntnis zu nehmen.

Die Reaktionsgeschwindigkeit bei NIS2-Unternehmen hängt daher maßgeblich von deren technischer und organisatorischer Ausstattung ab. Unternehmen, die über Systeme zur sofortigen Detektion von Sicherheitsvorfällen und entsprechendes Personal (z. B. für Nachtschichten oder Wochenendbetrieb) verfügen, können deutlich schneller Kenntnis erlangen und sind entsprechend schneller meldepflichtig als Unternehmen ohne solche Vorkehrungen.

Es sei jedoch angemerkt, dass unter NIS2 keine Pflicht zur 24/7-Bereitschaft besteht – weder für die Tools noch für das Personal. Dies zeigt, dass NIS2 mehr Interpretationsspielraum und Flexibilität bei der Gestaltung von Prozessen und Werkzeugen lässt. Es ist sozusagen der „kleine Bruder“ von DORA.

In diesem Sinne: Einen guten Start in die neue Woche! 🙂