NIS-2 sieht im Kern Cyber-Security Vorgaben für kritische Infrastruktur-Unternehmen vor

Der Anwendungsbereich der NIS-2-Richtlinie bezieht sich auf 18 Sektoren  darunter Gesundheit, Energie und digitale Infrastruktur. Unternehmen aus diesen Sektoren

• mit mehr als 50 Mitarbeitenden oder
• einem Jahresumsatz von über 10 Mio. Euro

müssen Risikoanalysen durchführen, Sicherheitskonzepte etablieren und ihre Krisenmanagementprozesse verbessern. Für die betroffenen Unternehmen sind Mitarbeiterschulungen sowie regelmässige Überprüfungen der Sicherheitsmassnahmen essenziell, um die Anforderungen zu erfüllen.

Typische betroffene Unternehmen sind Stadtwerke, Krankenhäuser, Transportdienstleister, IT-Dienstleister.

NIS-2 (EU 2022/2555) ist eine EU-Richtlinie mit folgender Zielsetzung:

• Stärkung der Cybersicherheit innerhalb der EU
• Harmonisierung nationaler Sicherheitsmaßnahmen für Netz- und Informationssysteme
• Erhöhung der Resilienz von kritischen Einrichtungen gegenüber Cyberangriffen
• Verbesserung der Kooperation zwischen Mitgliedsstaaten und zentralen EU-Behörden
• Schutz der öffentlichen Sicherheit, Gesundheit, Wirtschaft und Demokratie

NIS 2 fokussiert auf die Verbesserung der Cybersicherheit gegen missbräuchliche Anwendungen und Cyber-Angriffe. Dies geschieht durch eine Harmonisierung der nationalen Cyber-Gesetze.

NIS-2 gilt für wesentliche und wichtige Einrichtungen aus wie Energie, Wasser, Finanzwesen, Gesundheit etc. und sieht Pflichten für die unterstellten Unternehmen und Einrichtungen vor, wie u.a.:

• Einführung verbindlicher Maßnahmen im Bereich Cybersicherheit (Art. 21)
• Risikomanagement, Notfallpläne, Sicherheitsprüfungen)
• Meldepflichten bei Vorfällen (Art. 23-24)
• Frühwarnung innerhalb von 24 Std. und vollständiger Bericht innerhalb von 72 Std.

NIS-2 sieht jeweils die Einrichtung einer nationale Aufsichtsbehörden und Durchsetzung oder Benennung von Computer Security Incident Response Teams vor.

Umsetzung der NIS2 in Liechtenstein

In Liechtenstein fungiert die Staabstelle Cybersicherheit (SCS) als Anlaufstelle im Bereich Cyberrisiken und fungiert als Drehscheibe, Vermittlungs- und Verbindungsstelle für die Bevölkerung, die Wirtschaft, der kritischen Infrastrukturen sowie der Staatsorgane.

Am 1. Februar 2025 trat das neue Cyber-Sicherheitsgesetz (CSG) mit der entsprechenden Cyber-Sicherheitsverordnung (CSV) in Kraft, womit die Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) in Liechtenstein national vollumfänglich umgesetzt wird. Das Gesetz modernisiert den bestehenden Rechtsrahmen, um auch weiterhin der sich ständig verändernden Bedrohungslandschaft Schritt zu halten.

Für die Meldung eines Sicherheitsvorfalls in einem betroffenen Unternehmen ist ein Meldeformular an die Stabstelle Cybersicherheit (SCS) einzureichen. Die Meldungen werden verwendet, um Lagebilder zu erstellen, mögliche Zusammenhänge zu erkennen und darauf basierend entsprechende Massnahmen einleiten oder Warnungen aussprechen zu können.

Unterschied zw. DORA und NIS2

NIS2 und DORA, zwei wichtigen EU-Regelwerken im Bereich der Cybersicherheit und des digitalen Risikomanagements.

NIS2 ist eine EU-Richtlinie und muss von den Mitgliedsstaaten in nationales Recht umgesetzt werden. Demgegenüber ist DORA eine EU-Verordnung und gilt somit direkt in allen Mitgliedsstaaten.

Grosse Unterschiede bestehen hinsichtlich des Anwendungsbereichs.

• DORA gilt nur für den Finanzsektor und adressiert Banken, Vermögensverwaltungsgesellschaften, Versicherungen, Zahlungsdienste, etc.
• NIS2 adressiert spezifische Sektoren wie Energie, Gesundheit, Verkehr, digitale Dienste etc.

DORA betrifft nur den Finanzsektor und geht tiefer in digitale Risiken, inklusive Resilienztests und Lieferkettenkontrolle bei IT-Dienstleistern.