NIS-2-Richtlinie Foundation | PECB

Was ist die NIS-2-Richtlinie?

In der Schulung NIS-2-Richtlinie Foundation erwerben Sie die Fähigkeiten, um Cybersicherheitsprogramme gemäß der NIS-2-Richtlinie zu planen, umzusetzen und nachhaltig zu verwalten. Die NIS-2-Richtlinie (EU 2022/2555) ist am 16. Januar 2023 in Kraft getreten und wurde in Deutschland durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), im Folgenden NIS-2-Umsetzungsgesetz genannt, das am 6. Dezember 2025 in Kraft getreten ist, in nationales Recht umgesetzt.

Mit der Umsetzung der NIS-2-Richtlinie in nationales Recht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) für deutlich mehr Unternehmen als zuvor Aufsichtsbehörde. Für die bestehenden Kritischen Infrastrukturen (KRITIS) bleiben viele grundlegende Anforderungen bestehen, werden jedoch teilweise erweitert und präzisiert. Für ca. 29.500 nach der NIS-2-Richtlinie als „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ eingestufte Organisationen ergeben sich erstmals umfassende gesetzliche Cybersicherheits- und Meldepflichten.

Wir möchten Unternehmen und Organisationen bestmöglich unterstützen und die Umsetzung der NIS-2-Richtlinie in Deutschland so reibungslos wie möglich gestalten.

In dieser praxisorientierten Schulung lernen Sie:

• Erläuterung der grundlegenden Konzepte und Definitionen der NIS-2-Richtlinie
• Interpretation der wichtigsten Anforderungen der NIS-2-Richtlinie an ein Cybersicherheitsprogramm
• Die für die Umsetzung der NIS-2-Anforderungen verwendeten Ansätze und Techniken zu identifizieren

Warum ist die NIS-2-Richtlinie wichtig?

In einer Zeit zunehmender Cyberbedrohungen ist die Einhaltung der NIS-2-Richtlinie entscheidend, um die digitale Resilienz zu stärken und Sicherheitsrisiken zu minimieren. Die NIS-2-Richtlinie legt besonderen Wert auf IT Sicherheit und stellt Anforderungen an Organisationen, die für die Sicherstellung eines hohen Cybersecurity-Niveaus verantwortlich sind. Mit dieser Schulung erlangen Sie das Wissen und die Kompetenz, um die Sicherheitsanforderungen in Ihrer Organisation erfolgreich umzusetzen. Nach erfolgreichem Abschluss erhalten Sie die Zertifizierung NIS-2-Richtlinie Foundation – ein wertvoller Nachweis Ihrer Expertise in Cybersicherheit und Compliance.

Die Schulung NIS-2-Richtlinie Foundation vermittelt Ihnen grundlegendes Wissen über die Anforderungen der NIS-2-Richtlinie sowie bewährte Implementierungsstrategien. Nach Abschluss der Schulung sind Sie in der Lage, ein Cybersicherheitsprogramm strategisch zu planen, zu überwachen und kontinuierlich zu optimieren – entsprechend den neuesten Standards und regulatorischen Vorgaben. Das IT-Sicherheitsgesetz (IT-SiG 2.0) und die BSI-KritisV trugen bislang zur Umsetzung der damaligen Richtlinie bei, während das NIS 2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) neue Veränderungen mit sich bringt.

Ihr Nutzen auf einen Blick:

• Grundlegendes Verständnis der NIS-2-Richtlinie und ihrer Anforderungen
• Entwicklung und Implementierung robuster Cybersicherheitsstrategien
• Stärkung der digitalen Resilienz Ihrer Organisation
• Sicherstellung der Einhaltung regulatorischer Vorgaben
• Aktive Minimierung von Sicherheitsrisiken und Cyberbedrohungen
• Offizielle Zertifizierung NIS-2-Richtlinie Foundation als Nachweis Ihrer Expertise
• Das NIS-2-Richtlinie Foundation-Zertifikat hat kein Ablaufdatum – Ihre erworbene Qualifikation bleibt dauerhaft gültig.

Diese Grafik basiert auf dem Amtsblatt der Europäischen Union.

Weitere Informationen zu den betroffenen Unternehmen finden Sie auf der Seite des
BSI - Bundesamt für Sicherheit in der Informationstechnik.

Unsere Schulung richtet sich an Cybersicherheitsexperten, IT-Manager und Fachleute, die ihre Kenntnisse auf den neuesten Stand bringen möchten, sowie an Führungskräfte und Entscheidungsträger in Unternehmen, die die NIS-2-Richtlinie umsetzen müssen. Vertreten Sie Ihre Organisation als kompetenter Ansprechpartnerin für Cybersicherheit und Compliance – und sichern Sie sich eine strategische Positionierung in der digitalen Ära.

Diese praxisorientierte Schulung bietet Ihnen nicht nur die nötige Expertise, um die NIS-2-Richtlinie effizient umzusetzen, sondern stärkt auch die Sicherheit Ihrer gesamten Organisation – ein echter Wettbewerbsvorteil.

Durch unsere über 30-jährige Erfahrung im Bereich IT-Projekte wissen wir genau, wie effektive Informationssicherheits Trainings aufgebaut sein müssen, um unsere Teilnehmer optimal vorzubereiten: Sowohl auf Ihr Examen als auch auf die Anwendung Ihres Wissens im Alltag.

1. Tag 10.00 - 18.00 Uhr Einführung in die grundlegenden Konzepte und Definitionen der NIS-2-Richtlinie

2. Tag 09.00 - 17.00 Uhr Anforderungen der NIS-2-Richtlinie für die Umsetzung eines Cybersicherheitsprogramms

Es gibt für das abschließende NIS-2 Foundation-Zertifikat 14 CPD (Certification Credits).

Die Prüfung ist auf deutsch und dauert 1 Stunde (Nicht-Muttersprachler erhalten zusätzlich 10 Minuten) und umfasst 40 Fragen mit jeweils nur 3 Antwortmöglichkeiten.

Weitere Details zur Prüfung:

• 70% (28 richtige Antworten) der Fragen müssen zum Bestehen richtig beantwortet werden.
• Closed Book Prüfung

• Deutsch

• PECB
   

Hinweis: Das NIS-2-Richtlinie Foundation-Zertifikat hat kein Ablaufdatum.
 

Die NIS 2 Richtlinie: Ein umfassender Überblick

Die NIS 2 Richtlinie (Network and Information Security Directive II) markiert einen beeutenden Fortschritt der Europäischen Union im Bereich der Cybersicherheit und Informationssicherheit. Als Nachfolger der ursprünglichen NIS Richtlinie erweitert NIS 2 den Geltungsbereich und verschärft die Anforderungen für Unternehmen und Organisatonen in kritischen Sektoren, mit dem Ziel, die Informationssicherheit und Cybersicherheit n der gesamten EU zu stärken und zu harmonisieren.Die neuen Richtlinien der IS-2-EU-Richtlinie zielen darauf ab, das Sicherheitsniveau innerhalb der EU zu erhöhen und verschiedene Sektoren zu regulieren.

Zeitplan und Umsetzung

• Die Richtlinie trat im Januar 2023 in Kraft und hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen.
• Aufgrund der vorgezogenen Wahlen konnte das parlamentarische Verfahren zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) nicht abgeschlossen werden.
• Da ein nationales Umsetzungsgesetz noch nicht verabschiedet ist, kann sich das BSI noch nicht genauer zu daraus möglicherweise entstehenden Pflichten äußern.

Hauptziele und Schwerpunkte

• Erweiterter Geltungsbereich: NIS 2 erfasst deutlich mehr Sektoren und Unternehmen als die Vorgängerversion, einschließlich mittelgroßer Unternehmen in kritischen Bereichen, die ihre Informationssicherheit verbessern müssen.
• Risikomanagement: Unternehmen sind verpflichtet, umfassende Prozesse zur Identifikation, Bewertung und Minderung von Cyber- und Informationssicherheitsrisiken einzuführen.
• Incident Reporting: Die Richtlinie führt klare Protokolle für die Meldung von Cybervorfällen ein, mit Fokus auf eine zeitnahe und detaillierte Kommunikation mit den nationalen Behörden im Hinblick auf Informationssicherheit.
• Lieferkettensicherheit: Die Absicherung von Lieferketten gegen Cyberbedrohungen und die Sicherstellung der Informationssicherheit entlang der gesamten Lieferkette wird explizit hervorgehoben.
• Cybersicherheitsschulungen: Regelmäßige Schulungen und Sensibilisierungsprogramme für Mitarbeiter und Führungskräfte in Bezug auf Informationssicherheit und Cybersicherheit sind verpflichtend.
• Unternehmensverantwortung: Das Management ist dafür verantwortlich, Cybersicherheits- und Informationssicherheitsmaßnahmen zu überwachen, zu genehmigen und aktiv daran teilzunehmen.

Kategorisierung der betroffenen Unternehmen

Die Richtlinie unterscheidet zwischen zwei Kategorien von Unternehmen:

• Wesentliche Einrichtungen: Dazu zählen Sektoren wie Energie, Verkehr, Gesundheit, Wasser, Weltraum, öffentliche Verwaltung sowie digitale Infrastruktur und der Banken- und Finanzmarkt, die eine besonders hohe Informationssicherheit gewährleisten müssen.
• Wichtige Einrichtungen: Hierzu gehören Postdienste, Fertigung und Lebensmittelproduktion, die ebenfalls hohe Anforderungen an die Informationssicherheit erfüllen müssen.

Beide Kategorien unterliegen strengen Sicherheitsanforderungen, wobei wesentliche Einrichtungen einer intensiveren Überwachung unterliegen.

Kernaspekte der Umsetzung

• Risikoanalyse und Sicherheitsmaßnahmen: Unternehmen müssen eine detaillierte Risikoanalyse durchführen und individuelle Sicherheitsstrategien entwickeln, um sowohl ihre Cybersicherheit als auch ihre Informationssicherheit zu gewährleisten.
• Business Continuity und Disaster Recovery: Ein Plan für Geschäftskontinuität und Katastrophenwiederherstellung muss erstellt werden, basierend auf Risiko- und Geschäftsauswirkungsanalysen, um auch Informationssicherheitsrisiken zu minimieren.
• Asset Management: Unternehmen sind verpflichtet, ein aktuelles Inventar aller Vermögenswerte zu führen und ein Klassifizierungssystem für den Umgang mit diesen Vermögenswerten zu etablieren, das auch die Informationssicherheit berücksichtigt.
• Incident Response Plan: Ein robuster Plan zur Reaktion auf Sicherheitsvorfälle im Bereich Informationssicherheit ist unerlässlich.
• Kontinuierliche Verbesserung: Sicherheitsmaßnahmen in Bezug auf Informationssicherheit und Cybersicherheit müssen kontinuierlich überwacht und an neue Bedrohungen angepasst werden.

Herausforderungen bei der Umsetzung

Die Umsetzung der NIS 2 Richtlinie bringt für Mitgliedstaaten und Unternehmen zahlreiche Herausforderungen mit sich:

• Rechtliche Anpassungen: Nationale Gesetze müssen angepasst werden, was zu Abweichungen zwischen den Ländern führen kann, insbesondere im Bereich Informationssicherheit.
• Sektorale Abweichungen: Einige Länder haben bestimmte Sektoren ausgeschlossen oder zusätzliche Sektoren hinzugefügt, was die Komplexität der Umsetzung erhöht und die Vereinheitlichung der Informationssicherheitsstandards erschwert.
• Compliance-Fristen: Unternehmen müssen strenge Fristen für die Umsetzung der Anforderungen in Bezug auf Informationssicherheit und Cybersicherheit einhalten.
• Ressourcenallokation: Die Implementierung der erforderlichen Sicherheitsmaßnahmen erfordert oft erhebliche finanzielle und personelle Ressourcen, insbesondere im Bereich der Informationssicherheit.

Auswirkungen und Vorteile

• Stärkung der Cybersicherheit und Informationssicherheit: Die Umsetzung der NIS 2 Richtlinie soll die Widerstandsfähigkeit gegen Cyberangriffe und die Verbesserung der Informationssicherheit in der EU deutlich fördern.
• Harmonisierung: Die Richtlinie zielt darauf ab, Cybersicherheits- und Informationssicherheitsstandards in der gesamten EU zu vereinheitlichen.
• Informationsaustausch: Eine engere Zusammenarbeit und ein verbesserter Informationsaustausch zwischen den Mitgliedstaaten werden gefördert, insbesondere im Bereich Informationssicherheit.
• Stärkung der Lieferkette: Durch den besonderen Fokus auf Lieferkettensicherheit und Informationssicherheit soll die gesamte Cybersicherheitslandschaft verbessert werden.

Die NIS 2 Richtlinie markiert einen wichtigen Meilenstein in der europäischen Cybersicherheits- und Informationssicherheitsstrategie. Unternehmen und Organisationen in kritischen Sektoren sind gefordert, ihre Sicherheitsmaßnahmen und -prozesse grundlegend zu überprüfen und anzupassen, insbesondere in Bezug auf die Informationssicherheit. Trotz der Herausforderungen bietet die Richtlinie die Chance, die Cyberresilienz und Informationssicherheit in der EU entscheidend zu stärken und ein einheitliches Sicherheitsniveau zu schaffen. Die verbleibende Zeit bis zur vollständigen Umsetzung sollte genutzt werden, um Systeme und Prozesse sorgfältig auf die Anforderungen der NIS 2 Richtlinie auszurichten.

Cybersicherheitsgesetzgebung in der EU: NIS 2, CRA und CSA im Überblick

Die Europäische Union hat in den letzten Jahren mehrere wichtige Gesetze zur Stärkung der Cybersicherheit in Europa auf den Weg gebracht. Drei zentrale Regelwerke sind die NIS 2-Richtlinie, der Cyber Resilience Act (CRA) und der Cybersecurity Act (CSA). Die NIS 2-Richtlinie ist die Nachfolgerin der ursprünglichen NIS-Richtlinie aus dem Jahr 2016 und zielt darauf ab, die Cybersicherheit in kritischen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen und digitaler Infrastruktur zu verbessern. Sie verpflichtet Unternehmen zur Einhaltung strenger Sicherheitsmaßnahmen, zur Meldung von Cybervorfällen und zur Nutzung zertifizierter IKT-Produkte, -Dienste und -Prozesse. Diese Maßnahmen betonen die Verantwortung und Haftung der Leitungsebenen von Unternehmen.

Die NIS 2-Richtlinie betrifft auch verschiedene Gruppen von wichtigen Einrichtungen, darunter große und mittelständische Unternehmen in unterschiedlichsten Sektoren, die spezifischen regulatorischen Anforderungen unterliegen.

Der Cyber Resilience Act (CRA) konzentriert sich hingegen auf die Cybersicherheit von vernetzten Produkten, einschließlich des Internets der Dinge (IoT), Hardware- und Softwareprodukten. Ziel ist die Einführung einheitlicher Cybersicherheitsanforderungen für Hersteller und die Sicherstellung der Produktkonformität durch eine CE-Kennzeichnung, die durch Zertifizierungen nach dem Cybersecurity Act ergänzt werden kann. Artikel 27 des CRA legt fest, dass Produkte mit einer EU-Konformitätserklärung oder einem entsprechenden Zertifikat als den Anforderungen des CRA entsprechend gelten. Darüber hinaus kann die EU-Kommission kritische Produkte dazu verpflichten, eine Zertifizierung mit der Vertrauenswürdigkeitsstufe „substanziell“ zu erhalten. Der Cybersecurity Act (CSA) schafft einen Rahmen für EU-weite Cybersicherheitszertifizierungen und stärkt die Rolle der EU-Agentur für Cybersicherheit (ENISA). Er gilt für IKT-Produkte, -Dienste und -Prozesse und umfasst sowohl freiwillige als auch verpflichtende Zertifizierungen. Seine Hauptziele sind die Stärkung des Vertrauens in zertifizierte Produkte und Dienstleistungen sowie die Schaffung eines EU-weiten Sicherheitsstandards. Die Zertifizierungssysteme nach dem CSA unterstützen die Umsetzung von NIS 2 und CRA, indem sie die Einhaltung von Sicherheitsanforderungen bestätigen. Während sich NIS 2 auf organisatorische Sicherheitsmaßnahmen in kritischen Sektoren konzentriert und der CRA die Sicherheit digitaler Produkte regelt, stellt der CSA ein zentrales Instrument zur Zertifizierung beider Regelwerke dar. Zusammen bilden NIS 2, CRA und CSA ein umfassendes Regelwerk zur Stärkung der Cybersicherheit in der EU. Unternehmen und Organisationen sollten alle drei Vorschriften berücksichtigen, um einen ganzheitlichen Ansatz zur Cybersicherheit zu entwickeln und umzusetzen.

Umsetzung der NIS-2-Richtlinie in Deutschland

Die Umsetzung der NIS-2-Richtlinie in Deutschland ist ein entscheidender Schritt zur Stärkung der Cybersicherheit in der gesamten EU. Diese Richtlinie zielt darauf ab, die Cybersicherheit in Unternehmen und Organisationen zu verbessern, indem sie strengere Sicherheitsanforderungen und Meldepflichten für Betreiber wesentlicher Dienste und digitale Diensteanbieter festlegt. Durch die Umsetzung der NIS-2-Richtlinie sollen Unternehmen besser auf Cyberbedrohungen vorbereitet sein und ihre digitalen Infrastrukturen wirksam schützen können. Dies ist besonders wichtig, da die digitale Resilienz in einer zunehmend vernetzten Welt von entscheidender Bedeutung ist.

Aktueller Stand des NIS-2-Umsetzungsgesetzes

Der aktuelle Stand des NIS-2-Umsetzungsgesetzes in Deutschland zeigt, dass das Gesetz noch nicht verabschiedet wurde. Die Bundesregierung hat bereits einen Entwurf des Gesetzes vorgelegt, der jedoch noch vom Bundestag verabschiedet werden muss. Die Verzögerung ist teilweise auf die vorgezogenen Wahlen zurückzuführen, die das parlamentarische Verfahren unterbrochen haben. Trotz dieser Verzögerungen bleibt die Umsetzung der NIS-2-Richtlinie eine vordringliche Aufgabe, um die Cybersicherheit in Deutschland zu verbessern und den Anforderungen der EU gerecht zu werden.

Pflichten von Betreibern und Einrichtungen

Die Pflichten von Betreibern und Einrichtungen im Rahmen der NIS-2-Richtlinie sind vielfältig und zielen darauf ab, die Cybersicherheit und die Resilienz gegen Cyberbedrohungen zu stärken.

Sicherheit und Risikomanagement

Betreiber kritischer Anlagen und wichtige Einrichtungen sind verpflichtet, ein umfassendes Risikomanagement einzurichten, um die Sicherheit ihrer Systeme und Daten zu gewährleisten. Dies umfasst die Identifikation, Bewertung und Minderung von Risiken, die durch Cyberbedrohungen entstehen können. Darüber hinaus müssen sie Maßnahmen zur Vorbereitung auf Cybersicherheitsvorfälle ergreifen, um die Auswirkungen von Angriffen zu minimieren und die Kontinuität ihrer Dienste sicherzustellen.

Maßnahmen zur Vorbereitung auf Cybersicherheitsvorfälle

Um auf Cybersicherheitsvorfälle vorbereitet zu sein, müssen Betreiber kritischer Anlagen und wichtige Einrichtungen spezifische Maßnahmen ergreifen. Dazu gehört die Implementierung von Sicherheitsmaßnahmen wie Firewalls und Intrusion-Detection-Systemen, die regelmäßige Durchführung von Penetrationstests zur Identifikation von Schwachstellen und die Entwicklung von Notfallplänen, die im Falle eines Cyberangriffs aktiviert werden können. Zudem ist es wichtig, dass die Mitarbeiter über die notwendigen Kenntnisse und Fähigkeiten verfügen, um effektiv auf Cybersicherheitsvorfälle reagieren zu können. Schulungen und Sensibilisierungsprogramme spielen hierbei eine zentrale Rolle.

Durch die Erfüllung dieser Pflichten tragen Betreiber kritischer Anlagen und wichtige Einrichtungen maßgeblich zur Erhöhung des Cybersicherheitsniveaus in Deutschland bei und stellen sicher, dass sie den Anforderungen der NIS-2-Richtlinie gerecht werden.