Anforderungen der NIS-2 an den öffentlichen Sektor

Ihre Expertin für Fragen

Mailin von Knobelsdorff

Mailin von Knobelsdorff
Manager bei PwC Deutschland
E-Mail

Was die NIS-2 für die öffentliche Verwaltung bedeutet

NIS-2UmsuCG steht für das Gesetz zur Umsetzung der EU-Richtlinie 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Europäischen Union.

Dieses Gesetz zielt darauf ab, die Cybersicherheit zu stärken und kritische Infrastrukturen in Deutschland zu schützen. Dabei schafft es die rechtliche Grundlage, um die Integrität und Sicherheit digitaler Systeme zu gewährleisten und somit die digitale Souveränität unseres Landes zu sichern. Die öffentliche Verwaltung zählt zu den im Referentenentwurf als Einrichtungen der Bundesverwaltung bezeichneten Betroffenen und fällt damit unter die Anforderungen der NIS-2. Damit gilt:

Jede Einrichtung der Bundesverwaltung muss einen Informationssicherheitsbeauftragten oder eine Informationssicherheitsbeauftragte vorweisen sowie Voraussetzungen zur Gewährleistung der Informationssicherheit schaffen.

Sie haben Fragen?

Kontaktieren Sie uns

Für wen die NIS-2 in der Bundesverwaltung gilt

1. Stellen des Bundes: Dies bezieht sich auf die verschiedenen Behörden und Organisationen, die auf Bundesebene tätig sind.

2. Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts: Dies sind rechtliche Entitäten, die vom Staat gegründet oder unterstützt werden und öffentliche Aufgaben wahrnehmen. Sie können verschiedene Formen haben, wie beispielsweise Körperschaften des öffentlichen Rechts, Anstalten des öffentlichen Rechts oder Stiftungen des öffentlichen Rechts.

3. Vereinigungen von Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts: Dies bezieht sich auf Organisationen oder Zusammenschlüsse von öffentlich-rechtlichen Körperschaften, Anstalten und Stiftungen auf Bundesebene.

4. Öffentliche Unternehmen, die mehrheitlich im Eigentum des Bundes stehen und IT-Dienstleistungen für die Bundesverwaltung erbringen: Dies betrifft Unternehmen, die im Besitz des Bundes sind und spezielle IT-Dienstleistungen für die Bundesverwaltung erbringen. Diese Unternehmen spielen eine wichtige Rolle bei der Bereitstellung von Informationstechnologie und Informationssicherheit für die Bundesbehörden.

Diese Definitionen sind im Kontext der Cybersicherheit und des Schutzes von Netz- und Informationssystemen relevant, um sicherzustellen, dass Einrichtungen der Bundesverwaltung angemessene Sicherheitsmaßnahmen ergreifen, um die Integrität und Verfügbarkeit ihrer IT-Systeme zu gewährleisten und Cyberbedrohungen abzuwehren.

Hinweis: Der Öffentliche Sektor kann auch unter die strengeren Anforderungen für besonders wichtige Einrichtungen fallen, dies gilt insbesondere für Betreiber Kritischer Infrastruktur und Bundesministerien.

Risikomanagement

Betroffene Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen zu ergreifen, um Störungen der IT-Sicherheitsziele zu vermeiden. Diese Maßnahmen müssen dem aktuellen Stand der Technik entsprechen und sollen sich am BSI IT-Grundschutz orientieren.

Es ist notwendig, Risikoanalysen durchzuführen und Sicherheitsvorkehrungen für Informationssysteme zu treffen, um Sicherheitsrisiken zu bewerten und zu minimieren.

Die Implementierung von Mechanismen zur Bewältigung von Sicherheitsvorfällen, wie Back-up-Management, Wiederherstellung und Krisenmanagement (BCM), ist obligatorisch.

Dies beinhaltet sicherheitsrelevante Aspekte der Beziehungen zwischen den betroffenen Einrichtungen und ihren direkten Anbietern oder Dienstleistern, um Risiken zu minimieren.

Hierbei ist die Umsetzung von Sicherheitsmaßnahmen zur Gewährleistung der Sicherheit bei der Beschaffung, Entwicklung und Wartung von IT-Systemen, Komponenten und Prozessen, einschließlich Schwachstellenmanagement, erforderlich.

Die Wirksamkeit der ergriffenen Risikomanagementmaßnahmen muss regelmäßig überprüft und gegebenenfalls angepasst werden.

Es ist von hoher Bedeutung, das Personal in den Bereichen Cyberhygiene und Sicherheitspraktiken zu schulen, um sicherheitsrelevante Verhaltensweisen zu fördern.

Sicherheitsmaßnahmen wie die Anwendung von Kryptografie und Verschlüsselung sind notwendig, um die Vertraulichkeit und Integrität von Informationen zu gewährleisten.

Dies umfasst die Implementierung von Sicherheitskontrollen, Zugriffskonzepten für Personal und die sichere Verwaltung von Anlagen.

Zusätzliche Sicherheitsmaßnahmen wie die Nutzung von Multi-Faktor-Authentifizierung oder kontinuierlicher Überwachung der Identität sind erforderlich, um unbefugten Zugriff zu verhindern.

Die NIS-2 in Kombination mit BSI IT-Grundschutz

Das Umsetzungsgesetz zur NIS-2 impliziert einige Aspekte wie die Multi-Faktor-Authentifizierung, die mit den Anforderungen des BSI IT-Grundschutz einhergehen. § 30 Abs.4 Nr. 10 NIS-2UmsuCG des Referentenentwurfs vom Juli 2023 sieht die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“, vor.

Die NIS-2 in Kombination mit BSI IT-Grundschutz

Anforderungen der NIS-2 an das Informationssicherheitsmanagement

Die Anforderungen der NIS-2UmsuCG an das Informationssicherheitsmanagement umfassen eine Vielzahl von Pflichten und Verantwortlichkeiten für betroffene Einrichtungen und Anlagen, die unter diese Regelungen fallen. Diese Anforderungen zielen darauf ab, die Informationssicherheit auf höchstem Niveau zu gewährleisten und Risiken im Zusammenhang mit Netz- und Informationssystemen zu minimieren. Im Einzelnen sind folgende Pflichten festgelegt:

Diese Anforderungen sind integraler Bestandteil der NIS-2UmsuCG und tragen dazu bei, die Sicherheit und Integrität von Netz- und Informationssystemen in Deutschland auf höchstem Niveau zu gewährleisten. Die genaue Umsetzung und Einhaltung dieser Anforderungen sind von entscheidender Bedeutung, um die Cybersicherheit in Deutschland zu stärken und Risiken im digitalen Raum zu minimieren.

Registrierung der Einrichtung

Innerhalb von spätestens 3 Monaten nach dem Inkrafttreten des Gesetzes ist die Registrierung der betroffenen Einrichtung erforderlich. Diese Verpflichtung liegt in der Verantwortung der Einrichtungsleitung. Die Überwachung und Prüfung der Registrierung erfolgt durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Bestellung eines Informationssicherheitsbeauftragten

Die Bestellung eines Informationssicherheitsbeauftragten ist unmittelbar mit dem Inkrafttreten des Gesetzes erforderlich. Die Einrichtungsleitung ist verantwortlich für die Auswahl und Benennung dieser Schlüsselperson. Die Aufgabe des Informationssicherheitsbeauftragten ist von großer Bedeutung, da er oder sie für die Sicherheit der Informationssysteme der Einrichtung verantwortlich ist. Die Tätigkeiten des Informationssicherheitsbeauftragten unterliegen der Überwachung durch die Einrichtungsleitung und die jeweils oberste Bundesbehörde.

Gewährleistung der Informationssicherheit

Die Einrichtung muss die notwendigen Voraussetzungen zur Gewährleistung der Informationssicherheit schaffen. Dazu gehören angemessene finanzielle Ressourcen – 20 % der IT-Ausgaben –, personelle Kapazitäten und Sachmittel. Diese Anforderungen müssen bis spätestens 31. März des auf das Berichtsjahr folgenden Jahres erfüllt sein. Die Verantwortung für die Erfüllung dieser Anforderungen liegt erneut bei der Einrichtungsleitung, während die Überwachung durch die jeweils oberste Bundesbehörde erfolgt. 

Nachweis der Erfüllung der Anforderungen

Ein zentraler Punkt ist der Nachweis über die Erfüllung der Anforderungen zur Gewährleistung der Informationssicherheit. Dieser Nachweis muss innerhalb von 2 Jahren nach dem Inkrafttreten des Gesetzes erbracht werden und erfolgt gemäß den Vorgaben des BSI. Auch hier liegt die Verantwortung bei der Einrichtungsleitung, während die Überwachung durch das BSI durchgeführt wird.

Aufbau und Aufrechterhaltung des Informationssicherheitsprozesses

Die betroffene Einrichtung ist verpflichtet, den Informationssicherheitsprozess nach den Vorgaben des BSI IT Grundschutz kontinuierlich aufzubauen und aufrechtzuerhalten. Diese Maßnahme ist entscheidend, um eine robuste Informationssicherheitsinfrastruktur zu gewährleisten. Der Informationssicherheitsbeauftragte ist für den Aufbau und die Aufrechterhaltung dieses Prozesses verantwortlich, wobei die Fachaufsicht des Informationssicherheitsbeauftragten des Ressorts und die Einrichtungsleitung die Umsetzung überwachen.

Bestellung eines Koordinators für die Informationssicherheit

Die Bundesregierung ist dazu verpflichtet, einen Koordinator für die Informationssicherheit zu bestellen. Auch diese Bestellung muss unmittelbar mit dem Inkrafttreten des Gesetzes erfolgen. Die Bundesregierung ist für die Überwachung dieser Bestellung verantwortlich und stellt sicher, dass ein Koordinator für die Informationssicherheit ernannt wird.

Unterschiedliche Akteure des Informations-sicherheitsmanagement

Im Bereich des Informationssicherheitsmanagements in der Bundesverwaltung treten verschiedene Schlüsselakteure in Erscheinung, die jeweils spezifische Verantwortlichkeiten tragen:

1. Koordinator des Informationssicherheitsmanagements des Bundes:
Diese zentrale Figur ist für die übergreifende Koordination und Leitung der Informationssicherheitsbemühungen auf Bundesebene verantwortlich. Ihr Aufgabenfeld erstreckt sich über die gesamte Bundesregierung und umfasst die Entwicklung und Umsetzung von Sicherheitsrichtlinien und -maßnahmen.

2. Informationssicherheitsbeauftragte der Ressorts:
Die Informationssicherheitsbeauftragten der Ministerien und Ressorts spielen eine entscheidende Rolle bei der Sicherung der Informationssysteme innerhalb ihrer Zuständigkeitsbereiche. Sie sind für die Umsetzung von Sicherheitsmaßnahmen, die Schulung des Personals und die Identifizierung von Sicherheitsbedrohungen verantwortlich.

3. Informationssicherheitsbeauftragte der Einrichtungen der Bundesverwaltung:
Diese Beauftragten gewährleisten die Umsetzung der zentralen Informationssicherheitsrichtlinien auf Institutionsebene. Sie stellen sicher, dass die Sicherheitsziele vor Ort erreicht werden und lokale Sicherheitsanforderungen erfüllt werden.

Zusammen bilden diese Akteure ein gut abgestimmtes Netzwerk, das die Informationssicherheit in der Bundesverwaltung auf höchstem Niveau sicherstellt. Ihre enge Zusammenarbeit gewährleistet den Schutz der sensiblen Informationen und digitalen Ressourcen der Bundesrepublik Deutschland.

Follow us

Contact us

Andre Moll

Andre Moll

Manager, PwC Germany

Hide