Eine Dopplung? – NIS2 und KRITIS-Dachgesetz
Betreiber von kritischen Infrastrukturen kennen das IT-Sicherheitsgesetz seit 2015. Rege diskutiert wurden in den letzten Monaten die Konsequenzen, die sich aus der europäischen NIS2-Richtline bzw. ihrer nationalen Umsetzung, dem voraussichtlich ab Oktober 2024 geltenden „NIS-2-Umsetzungs-und Cybersicherheitsstärkungsgesetz“ ergeben.
Etwas weniger im Fokus steht das „KRITIS- Dachgesetz“, welches aller Voraussicht nach ebenfalls ab Oktober 2024 gelten wird. Es setzt auf nationaler Ebene die europäische Resilienzrichtlinie EU RCE um, analog zum Vorgehen hinsichtlich NIS1 und NIS2.
Beide Richtlinien (EU NIS2 und EU RCE) sollen Anbieter kritischer Dienste zur verlässlichen Bereitstellung dieser Dienste verpflichten. Hierbei setzt die EU RCE (bzw. das aus ihr abgeleitete KRITIS-Dachgesetz) den Schwerpunkt auf die physische Sicherheit, die Notfallvorsorge, die Geschäftsprozessfortführung und die Stärkung der kritischen Dienste, während NIS2 den Fokus eher auf Cybersicherheit in der IT und OT legt. Trotzdem finden sich Schnittmengen und auch der Gesetzgeber ist bestrebt die Vorgaben (NIS2/RCE) aneinander anzupassen.
In den meisten KRITIS-Unternehmen wurden durch das IT-Sicherheitsgesetz bereits Abläufe und Strukturen geschaffen, die die Umsetzung der neuen Regelung unterstützen. Trotzdem werden nun auch in etablierten Managementsystemen Anpassungen notwendig werden.
So sieht z.B. § 14 des aktuellen Entwurfes des KRITIS-Dachgesetzes Billigungs-, Überwachungs- und Schulungspflichten für die Geschäftsführung von Betreibern kritischer Anlagen vor. Hier wird u.a. ausdrücklich die Teilnahme an Schulungen zum Risikomanagement gefordert. Die Geschäftsführung soll so befähigt werden, das geforderte Risikomanagement auch inhaltlich zu verstehen und sinnvoll anwenden zu können. Und gemäß § 8 des KRITIS-Dachgesetzes sollen Betreiber kritischer Anlagen künftig die nationale Risikobewertung des BKK im eigenen Risikomanagement berücksichtigen.
Unsere Seminare:
- „Risikomanagement nach ISO27005 und BSI 200-3“https://anmatho.de/portfolio/risikomanagement-nach-iso-27005-und-bsi-200-3/
- „Informationssicherheit für die Geschäftsführung“https://anmatho.de/portfolio/informationssicherheit-fuer-geschaeftsfuehrer-und-vorstaende/
Unsere Erfahrung für Ihre Sicherheit
www.anmatho.de
seminare@anmatho.de
phone: +49 229 47 19 0