Centre for Cyber security Belgium

Ausführliche Informationen zu all diesen Punkten finden sich insbesondere in den Artikeln 2, 3 und 4 der Richtlinie.

2.3 Zuständigkeit und Territorialität

Das belgische Gesetz zur Umsetzung der NIS2-Richtlinie wird grundsätzlich für in Belgien ansässige Unternehmen gelten. In den Erwägungsgründen der Richtlinie heißt es, dass „Niederlassung die tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung“ bedeutet. Die gewählte Rechtsform einer solchen Niederlassung, d. h. eine Zweigniederlassung oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit, ist in diesem Zusammenhang nicht entscheidend. Dieses Kriterium kann nicht vom physischen Standort des Netzes und der Informationssysteme abhängen.

Es gibt jedoch Ausnahmen von dieser Regel der territorialen Zuständigkeit:

• Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste unterliegen der Rechtsprechung des Mitgliedstaates, in dem sie ihre Dienste anbieten;
• DNS-Diensteanbietern, TLD-Namenregister, Anbieter von Domainregistrierungsdiensten, Cloud-Computing-Diensten, von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, von Online-Suchmaschinen oder von Plattformen für Dienste sozialer Netzwerke unterliegen der Gerichtsbarkeit des Mitgliedstaats, in dem sie ihre Hauptniederlassung in der EU haben. (Vgl. Artikel 26 Absatz 2 der Richtlinie zur Bestimmung einer Hauptniederlassung)
• Behörden unterliegen der Gerichtsbarkeit des Mitgliedstaates, der sie eingerichtet hat;

Für Einrichtungen, die von der Regelung zur Hauptniederlassung erfasst sind, wird die ENISA ein Zentralregister führen, um eine wirksame Aufsicht über alle in der EU tätigen Einrichtungen zu gewährleisten. Zum Schluss: Da die größte Gruppe von Einrichtungen nicht mehr aktiv identifiziert wird, müssen sie sich registrieren lassen, damit jeder Mitgliedstaat über eine vollständige Liste aller NIS-2-Einrichtungen in seinem Zuständigkeitsbereich verfügt.

Ausführliche Informationen zu all diesen Punkten finden sich insbesondere in den Artikeln 26-27 der Richtlinie.

3. Stärkung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit

Wesentliche und wichtige betroffene Einrichtungen müssen zweckmäßige und verhältnismäßige Maßnahmen ergreifen, um allen Risiken für die Sicherheit von Netz- und Informationssystemen zu begegnen und Sicherheitsvorfälle zu verhindern bzw. deren Auswirkungen auf die Empfänger ihrer Dienste und auf andere Dienste möglichst gering zu halten (vgl. insbesondere Art. 20-25). 

Diese Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz  und zielen darauf ab, Netz- und Informationssysteme und die physische Umwelt vor Sicherheitsvorfällen zu schützen. 

Diese Maßnahmen umfassen mindestens: 

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme; Risikoanalyse
• Bewältigung von Sicherheitsvorfällen;
• Aufrechterhaltung des Betriebs, wie Backup-Management und Notfallpläne, und Krisenmanagement;
• Sicherheit der Lieferketten, einschließlich sicherheitsrelevanter Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Dienstleistern, Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich der Reaktion auf Schwachstellen und deren Offenlegung
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
• gegebenenfalls Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. 

Die Leitungsorgane bzw. Führungskräfte wesentlicher und wichtiger Einrichtungen müssen die Maßnahmen des Cybersicherheitsrisikomanagements genehmigen und deren Umsetzung überwachen, wobei sie für etwaige Verstöße haftbar gemacht werden können. 

Um sicherzustellen, dass sie verstehen, welche Maßnahmen sie ergreifen, sollten die Mitglieder der Leitungsorgane von wesentlichen und wichtigen Einrichtungen eine Cybersicherheitsschulung absolvieren und ihren Mitarbeitern regelmäßig ähnliche Schulungen anbieten. Führungskräfte sollten ausreichende Kenntnisse und Fähigkeiten erwerben, um Risiken für ihr Unternehmen zu erkennen und Maßnahmen zur Cybersicherheit und deren Auswirkungen auf ihr Unternehmen zu bewerten. 

Die europäische NIS-Kooperationsgruppe wird in Kürze ihre Leitlinien für Sicherheitsmaßnahmen aktualisieren, um den praktischen Anwendungsbereich der verschiedenen Sicherheitsziele der Richtlinie zu klären. (vgl. das frühere Referenzdokument „Reference document on security measures for Operators of Essential Services „) 

Auf nationaler Ebene werden die zuständigen Behörden in die Lage versetzt, genauer und praktischer zu beschreiben, wie diese Sicherheitsanforderungen erfüllt werden sollen. 

Darüber hinaus wird die Europäische Kommission einen Durchführungsbeschluss erlassen, in dem die technischen und methodologischen Anforderungen an die Risikomanagementmaßnahmen für alle unter die Bestimmungen zur Hauptniederlassung fallenden Einrichtungen festgelegt werden (siehe oben). 

Erforderlichenfalls kann die Europäische Kommission auch Durchführungsrechtsakte mit technischen und methodologischen Vorschriften sowie sektorspezifischen Vorschriften für andere wichtige und kritische Einrichtungen erlassen. 

Die EU kann auch im Nachhinein spezifischere Anforderungen stellen, zum Beispiel eine obligatorische Zertifizierung. Die EU kann auch koordinierte Risikobewertungen durchführen, insbesondere für kritische Versorgungsdienste oder Produkte, die zu weiteren Maßnahmen führen können. So sind die Unternehmen nicht allein der vertraglichen Abhängigkeit von Schlüssellieferanten ausgeliefert. 

Ausführliche Informationen zu all diesen Punkten finden sich insbesondere in den Artikeln 20-25 der Richtlinie.

4. Verpflichtungen hinsichtlich der Berichte und der Meldung von Vorfällen

Wesentliche und wichtige Einrichtungen müssen den zuständigen nationalen Behörden (einschließlich des nationalen CSIRT – in Belgien das ZCB) jeden bedeutenden Vorfall unverzüglich melden.

Wesentliche und wichtige Unternehmen müssen die zuständigen nationalen Behörden (einschließlich des nationalen CSIRT – in Belgien das ZCB) unverzüglich über jeden Vorfall informieren, der die Erbringung von Dienstleistungen in den Sektoren oder Teilsektoren gemäß den Anhängen I und II der Richtlinie ernsthaft beeinträchtigt. 

Ein schwerwiegender Vorfall ist ein solcher, der: 

1° eine schwerwiegende betriebliche Störung der Dienstleistungen in den in den Anhängen I und II der Richtlinie aufgeführten Sektoren oder Teilsektoren oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder zu verursachen droht; oder 

2° andere natürliche oder juristische Personen durch die Verursachung eines erheblichen materiellen, physischen oder immateriellen Schadens geschädigt hat oder schädigen kann. 

Diese Meldung muss aus mehreren Schritten bestehen:

• einer Frühwarnung (spätestens innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls) mit minimalen Informationen, einschließlich der Angabe, ob der Vorfall auf andere Sektoren oder das Ausland übergreifen könnte und ob böswilliger Vorsatz vermutet wird;
• einem vollständigen Bericht über den Vorfall (spätestens innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls)
• einem eventuellen Zwischen- oder Fortschrittsbericht (auf Ersuchen des nationalen CSIRT).
• einem Abschlussbericht (einen Monat nach Meldung des Vorfalls). Wenn der Vorfall nach einem Monat noch nicht abgeschlossen ist, wird nach einem Monat ein Zwischenbericht und nach Abschluss des Vorfalls ein Abschlussbericht erwartet.

Gegebenenfalls sollte ein Unternehmen seine Kunden auch unverzüglich über alle wesentlichen Vorfälle informieren, die ihre Dienste beeinträchtigen könnten. 

Zusätzlich zur Meldepflicht können Berichte auf freiwilliger Basis eingereicht werden, und zwar von: 

• wesentlichen und wichtigen Einrichtungen über (nicht signifikante) Zwischenfälle, Cyber-Bedrohungen und verhinderte Zwischenfälle;
• Unternehmen, die keine wesentlichen und wichtigen Unternehmen sind, unabhängig davon, ob sie in den Anwendungsbereich der Richtlinie fallen oder nicht.

Weitere Einzelheiten zu den Berichtspflichten finden sich unter anderem in den Artikeln 23 und 30 der Richtlinie.

5. Sanktionen

Die Mitgliedstaaten müssen effektiv dafür sorgen, dass die von der NIS2 erfassten Einrichtungen die erforderlichen Maßnahmen ergreifen und Sicherheitsvorfälle melden. Zu diesem Zweck können sie z. B. regelmäßige externe Audits und Inspektionen durchführen oder bestimmte Unterlagen anfordern. 

Die zuständigen nationalen Behörden müssen auch die Befugnis haben, Maßnahmen zu ergreifen, um die Unternehmen dazu zu veranlassen, die geeigneten Maßnahmen zu ergreifen. Diese können von der Erteilung von Verweisen oder verbindlichen Anweisungen zur Abstellung der Mängel bis hin zur Unterrichtung ihrer Kunden reichen. Zusätzlich zu diesen Verwaltungsmaßnahmen können auch zweckmäßige und verhältnismäßige Maßnahmen und abschreckende Bußgelder auferlegt werden. 

Verstöße gegen die Risikomanagementmaßnahmen oder die Meldepflicht bei Zwischenfällen können geahndet werden: 

• bei wesentlichen Einrichtungen: mit Geldbußen von bis zu 10 000 000 € oder mindestens 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens, zu dem die wesentliche Einrichtung gehört, je nachdem, welcher Betrag höher ist.
• bei wichtigen Einrichtungen: mit Geldbußen von bis zu 7 000 000 € oder mindestens 1,4 % des gesamten weltweiten Jahresumsatzes des Unternehmens, zu dem die wesentliche Einrichtung gehört, je nachdem, welcher Betrag höher ist. 

Für den öffentlichen Sektor kann das Umsetzungsgesetz vorsehen, dass diese Bußgelder nicht für Behörden gelten. Die anderen verwaltungsrechtlichen Sanktionen finden jedoch weiterhin Anwendung. 

Die Mitgliedstaaten können auch die Befugnis vorsehen, Zwangsgelder zu verhängen, um ein wesentliches oder wichtiges Unternehmen zu zwingen, einen Verstoß gegen diese Richtlinie  gemäß einer vorherigen Entscheidung der zuständigen Behörde einzustellen. 

Um die oberste Führungsebene zu sensibilisieren, können natürliche Personen, die wichtige Einrichtungen vertreten, für die Nichteinhaltung der in dieser Richtlinie festgelegten Verpflichtungen haftbar gemacht werden. 

Ausführliche Informationen zu den Sanktionen finden Sie in den Artikeln 31-37 der Richtlinie.

6. Nahe Zukunft

Auf der Grundlage der neuen Richtlinie muss Belgien bis zum 17. Oktober 2024 neue Bestimmungen erlassen, die das bestehende NIS-Gesetz ersetzen. Die Arbeiten zur Vorbereitung der Umstellung werden in den kommenden Monaten stattfinden.

In jedem Fall sollten die neuen Verpflichtungen für die betroffenen Einrichtungen erst nach Ablauf der Umsetzungsfrist (Oktober 2024) in Kraft treten. Es ist jedoch sinnvoll, dass sich die Unternehmen bereits jetzt auf die allgemeinen Verpflichtungen, die sich aus der Richtlinie ergeben, vorbereiten, ohne die Umsetzungsvorschriften abzuwarten, und dabei die zunehmenden Bedrohungen und Risiken berücksichtigen. Daher können wir Unternehmen, die eindeutig diesen neuen Verpflichtungen unterliegen, nur raten, bereits jetzt mit der Erhöhung ihres Cybersicherheitsniveaus zu beginnen (oder damit fortzufahren). 

Das ZCB hat ein Cyberfundamentals Framework mit spezifischen Kontrollzielen veröffentlicht. Dieses Tool kann Unternehmen helfen und sie beraten, um ihre Cybersicherheit schon jetzt auf ein angemessenes Niveau anzuheben.