Richtlinie (EU) 2022/2555
NIS2, für ein Softwareunternehmen
Seit dem 18. Oktober 2024 erreicht NIS2 ein Unternehmen über seine Einrichtungsart und seine Größe, 67 Arten in den beiden Anhängen; die Frage ist, welche Sie sind.
Beantworten Sie oben, um die Bestimmung für Ihren Fall zu lesen; das vollständige Werkzeug übernimmt Ihre Antworten.
In der kostenlosen Bestimmung fortfahrenDie vollständige Feststellung beantwortet jede Frage und hält die Lesung als datierten Nachweis für €29 fest.
Auf einen Blick
Fünf Werkzeuge, kostenlos, ohne Konto
- Kostenlose PrüfungFällt Ihr Unternehmen unter NIS2, und ist es wesentlich oder wichtig?Fünf Fragen aus Artikel 2, Artikel 3 und Artikel 26 gegen die 67 Arten von Einrichtungen der Anhänge I und II, mit einer schriftlichen Feststellung samt dem Gesetz des Staats und dem, was unmittelbar gilt.
- LeitfadenWo Sie sich registrieren, Staat für StaatBehörde, Weg und Gesetz für jeden der siebenundzwanzig, mit dem Tag der Lesung.
- FristDie Meldefrist: 24 Stunden, 72 Stunden, ein MonatDer Zeitpunkt der Kenntnis hinein; die drei Fristen des Artikels 23 Absatz 4, das CSIRT des Staates, und Frühwarnung, Meldung und Abschlussbericht mit den Inhalten der Richtlinie geschrieben.
- ZuordnungNIS2, ISO 27001 zugeordnetDie 13 Anhangsabschnitte der Durchführungsverordnung gegen die ISO-27001-Maßnahmen, die sie erfüllen, und die zwei Stellen, an denen sie mehr verlangt.
- LeitfadenDas Umsetzungsregister, Staat für StaatJede der Kommission mitgeteilte nationale Maßnahme, 305 aus 25 der 27 Staaten, mit dem Gesetz, das jeder Staat sein NIS2-Gesetz nennt, und den Staaten, von denen nichts im Register steht.
- LeitfadenDie Mitgliedstaaten, je eine SeiteWas in jedem der 27 Staaten gilt, aus den Registern: das NIS2-Gesetz, das CSIRT, der CRA-Koordinator und die Aufsicht, die DSGVO-Aufsichtsbehörde, die Akkreditierungsstelle, mit beiden Werkzeugen zum Anwendungsbereich für den Staat vorausgefüllt.
- LeitfadenEin kostenloses LieferantenprofilFür Lieferanten eines NIS2-Unternehmens: die Fragen des Kunden zu den zehn Maßnahmen einmal beantworten und einen Link teilen.
- LeitfadenNIS2 für kleine Unternehmen: Sind Sie betroffen?Meist nicht wegen der Größe. Einige Dienste sind in jeder Größe erfasst, und betroffene Kunden fragen so oder so nach Ihrer Sicherheit.
Jede kostenlose Vorlage auf einer Seite
Zwei Instrumente und ein Register
Die Richtlinie, anzuwenden ab
18. Oktober 2024
Eine Richtlinie bindet über nationales Recht. 25 der 27 Mitgliedstaaten hatten der Kommission am 23. Oktober 2026 mindestens eine Umsetzungsmaßnahme mitgeteilt; das Register nennt das Gesetz, das jeder sein NIS2-Gesetz nennt.
Die Durchführungsverordnung
13 Abschnitte, unmittelbar geltend
Die Durchführungsverordnung (EU) 2024/2690 legt die technischen Maßnahmen und die Schwellenwerte für Vorfälle für Cloud- und andere digitale Anbieter fest, derselbe Text in jedem Staat, ohne Umsetzung. Sie wurde aus ISO 27001 geschrieben.
Das Register, bis zum
17. Januar 2025
Anbieter von Cloud-Computing-, Rechenzentrums-, verwalteten, Marktplatz-, Suchmaschinen- und Social-Networking-Diensten mussten nach Artikel 27 ihren Namen, ihre Anschriften, die bedienten Mitgliedstaaten und ihre IP-Bereiche bei ihrer zuständigen Behörde für das Register der ENISA einreichen.
Die Registrierung in Österreich, aus den Seiten der Behörde
NIS2-Registrierung, in einer Woche erledigt: 490 €
Anwendungsbereich geklärt und jedes Feld vorbereitet, in 5 Arbeitstagen.
16 Artikel, aus den Primärquellen
Welches Gesetz, und was es zu ISO 27001 hinzufügt
- ArtikelNIS2 für ein SaaS-Unternehmen: Sie sind ein Anbieter von Cloud-Computing-Diensten, und das folgt darausErwägungsgrund 33 der Richtlinie nennt Software as a Service als Cloud-Dienstmodell, sodass ein SaaS-Unternehmen mittlerer Größe oder größer als Anbieter von Cloud-Computing-Diensten eine Einrichtung der NIS2 ist: wichtig unterhalb der Schwellenwerte für mittlere Unternehmen, wesentlich darüber.
- ArtikelNIS2 für Managed-Service-Provider und MSSPs: eine Einrichtung nach Anhang I per Definition, und der Lieferant, bei dem die Sorgfaltsprüfung jedes Kunden landetArtikel 6(39) macht jeden, der IKT für Kunden installiert, verwaltet, betreibt oder wartet, vor Ort oder aus der Ferne, zum Anbieter verwalteter Dienste, und Artikel 6(40) macht die, die beim Cybersicherheits-Risikomanagement helfen, zu MSSPs.
- ArtikelNIS2 für Online-Marktplätze, Suchmaschinen und soziale Netzwerke: die digitalen Anbieter des Anhangs II, und warum sie nie durch Größe wesentlich sindDrei Definitionen aus drei anderen Rechtsakten entscheiden, ob eine Plattform ein digitaler Anbieter nach NIS2 ist: ein Marktplatz, auf dem Verbraucher Fernabsatzverträge schließen, eine Suchmaschine, die im Prinzip alle Websites durchsucht, eine Plattform, auf der Endnutzer in Kontakt treten und teilen.
- ArtikelWesentlich oder wichtig nach NIS2: die Größenregel, die größenunabhängigen Regeln und die sieben Wege, wesentlich zu seinOb NIS2 ein Unternehmen erreicht, ist Artikel 2; ob es wesentlich oder wichtig ist, ist Artikel 3; und der Unterschied ist Aufsicht vorab, eine höhere Bußgeldobergrenze und eine strengere Lesart von allem anderen.
- ArtikelNIS2-Registrierung: die zwei Listen, auf denen Sie stehen können, was Sie übermitteln, bis wann und an wen (Artikel 3(4) und Artikel 27)NIS2 kennt zwei Registrierungen, nicht eine.
- ArtikelDie zehn Maßnahmen des Artikels 21(2) NIS2 als Checkliste: jeder Buchstabe zitiert, die Abschnitte der Verordnung dahinter und die ISO-27001-Maßnahmen, die sie bereits hervorbringenArtikel 21(2) führt zehn Maßnahmen auf, die jede wesentliche und wichtige Einrichtung treffen muss, von Konzepten zur Risikoanalyse bis zur Multi-Faktor-Authentifizierung.
- ArtikelNIS2 Artikel 20 für die Geschäftsleitung: Was das Leitungsorgan billigen, überwachen und lernen muss, die zwölf Stellen, an denen die Durchführungsverordnung es nennt, und was Haftung bedeutetArtikel 20 der NIS2 verpflichtet das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen, ihre Umsetzung zu überwachen, für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden zu können und an Schulungen teilzunehmen.
- ArtikelISO 27001 vs. NIS2: was das Zertifikat abdeckt und was nichtNIS2 ist Gesetz und ISO 27001 ist eine zertifizierbare Norm, also keine Alternativen.
- ArtikelCRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen.
- ArtikelNIS2-Umsetzung, Staat für Staat: Was das Register der Kommission selbst zeigtKein Tracker einer Kanzlei: die nationalen Maßnahmen, die die Mitgliedstaaten der Kommission als Umsetzung der Richtlinie (EU) 2022/2555 mitgeteilt haben, gelesen beim Amt für Veröffentlichungen am 12.
Meldung
- ArtikelNIS2 oder CRA: Welche Vorfalls-Uhr läuft für ein Softwareunternehmen, und was macht einen Vorfall „erheblich“Beide Gesetze geben Ihnen 24 Stunden, 72 Stunden und einen Monat, und beide starten die Uhr, wenn Sie „Kenntnis erlangen“.
- ArtikelDie NIS2-Meldefrist für ein Softwareunternehmen: die Frühwarnung nach 24 Stunden, die Meldung nach 72 Stunden, der Abschlussbericht nach einem Monat, wann ein Vorfall für einen Cloud-Anbieter erheblich ist, und eine Seite, die die drei Meldungen schreibtArtikel 23 Absatz 4 der NIS2-Richtlinie lässt drei Fristen ab dem Moment laufen, in dem eine wesentliche oder wichtige Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 und einen Abschlussbericht innerhalb eines Monats nach dieser Meldung, mit einem Zwischenbericht auf Ersuchen und einem Fortschrittsbericht, wo der Vorfall noch andauert.
- ArtikelAn welches CSIRT melden Sie nach dem CRA? An den Koordinator Ihrer Hauptniederlassung, alle 27 mit NamenArtikel 14 schickt die Meldung an das CSIRT, das der Mitgliedstaat Ihrer Hauptniederlassung als Koordinator benannt hat; die ENISA hat alle 27 am 10.
Was Käufer verlangen
- ArtikelWelche EU-Länder ISO 27001 in öffentlichen Ausschreibungen nennen: 1.548 deutsche Bekanntmachungen, 829 polnische, und Griechenland hat den höchsten AnteilIn 365 Tagen taucht ISO 27001 in 3.415 TED-Bekanntmachungen auf.
- ArtikelISO 27001 vs. SOC 2 in Europa: wonach Käufer tatsächlich fragenWer nach Europa verkauft, braucht ISO 27001: EU-Ausschreibungen nannten sie in einem Jahr 3.405 Mal, gegenüber 104 für SOC 2, und in jedem einzelnen der zwölf Monate hinter dieser Zahl lag sie vorn.
- ArtikelDORA für einen Softwareanbieter: die Vertragsklauseln nach Artikel 30, die Ihr Bankkunde schickt, das Informationsregister, in dem Sie stehen werden, und was ISO 27001 bereits beantwortetSeit dem 17. Januar 2025 steuert jede Bank, jeder Versicherer, jede Wertpapierfirma und jedes Zahlungsinstitut in der Union seine Softwareanbieter nach der Verordnung (EU) 2022/2554, DORA.
Was es von Ihnen verlangt
34 Anforderungen in 5 Gruppen
Pflichten
5- 20(1) Die Leitung billigt und überwacht die Sicherheitsmaßnahmen
- 20(2) Schulen Sie die Leitung und dann das Personal
- 21(1) Ergreifen Sie angemessene Maßnahmen gegen die Risiken Ihrer Systeme
und 2 weitere
Aufgaben
10- 21(4) Korrigieren Sie jede nicht konforme Maßnahme unverzüglich
- 23(1) Melden Sie erhebliche Sicherheitsvorfälle dem CSIRT oder der Behörde
- 23(2) Informieren Sie betroffene Empfänger über Cyberbedrohungen
und 7 weitere
Maßnahmen
10- 21(2)(a) Haben Sie eine Risikoanalyse und eine Sicherheitsrichtlinie
- 21(2)(b) Behandeln Sie Vorfälle nach einem schriftlichen Verfahren
- 21(2)(c) Halten Sie Sicherungen, einen Wiederherstellungsplan und Krisenmanagement
und 7 weitere
Klauseln
1- 23(3) Beurteilen Sie Erheblichkeit nach Störung, Verlust oder Schaden
Fristen
8- 23(4)(a) Senden Sie die Frühwarnung innerhalb von 24 Stunden
- 23(4)(b) Senden Sie die Vorfallsmeldung innerhalb von 72 Stunden
- 23(4)(d) Senden Sie den Abschlussbericht binnen eines Monats danach
und 5 weitere
Elf der dreizehn Abschnitte des Artikels 21 sind ein ISO-27001-System; die anderen zwei sind Aufzeichnungen
StandardOS führt die ISO-27001-Aufzeichnungen, die elf der dreizehn Abschnitte der Durchführungsverordnung beantworten, die Vorfallsaufzeichnung, ab der die Fristen des Artikels 23 laufen, und die Nachweise, die eine Aufsicht oder ein Auditor verlangt, in einem Arbeitsbereich, in sechs Sprachen.
Die Daten sind aus Artikel 27 und Artikel 41 der Richtlinie gelesen und auf dieser Seite nie getippt. Dies ist keine Rechtsberatung, und die Richtlinie ist der Text, den es zu lesen gilt: Richtlinie (EU) 2022/2555.
Siehe auch:NIS2-Software für BeraterArtikelKostenlose WerkzeugeOffene Datensätze