Durchführungsverordnung (EU) 2024/2690 · Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2
NIS2-Maßnahmen: was Artikel 21 Absatz 2 verlangt
- Für wen es gilt
- Elf Arten digitaler Anbieter, von DNS und Cloud bis zu Online-Marktplätzen und Vertrauensdiensten.
- Die Termine
- In Kraft seit dem 7. November 2024, ohne Übergangsfrist.
- Das eine, was zu tun ist
- Prüfen Sie zuerst Ihre Einrichtungsart. Gehört sie zu den elf, gilt der Anhang vollständig, und jeder Abschnitt nennt die Zeile des Artikels 21 Absatz 2, die er beantwortet.
NIS2 nennt zehn Überschriften und sagt, die Maßnahmen müssten angemessen und verhältnismäßig sein. Diese Verordnung sagt, welche es sind: 161 nummerierte Anforderungen. Sie erreicht elf Arten von Einrichtungen und sonst niemanden, also fangen Sie dort an.
Wählen Sie Ihre Einrichtungsart, dann erscheint hier die Antwort mit den Vorschriften, auf denen sie beruht.
Die dreizehn Abschnitte ansehenAuf einen Blick
Die dreizehn Abschnitte und der jeweils umgesetzte Buchstabe
Die Zuordnung ist die der Verordnung selbst: Jede Abschnittsüberschrift nennt den Buchstaben des Artikels 21 Absatz 2, den sie umsetzt. Zwei nennen mehr als einen, ein Abschnitt kann also zwei oder drei Ihrer NIS2-Zeilen zugleich beantworten.
| Abschnitt | Anforderungen | Setzt um |
|---|---|---|
| 1Konzept für die Sicherheit von Netz- und Informationssystemen | 8 | 21(2)(a) |
| 2Konzept für das Risikomanagement | 11 | 21(2)(a) |
| 3Bewältigung von Sicherheitsvorfällen | 22 | 21(2)(b) |
| 4Betriebskontinuitäts- und Krisenmanagement | 14 | 21(2)(c) |
| 5Sicherheit der Lieferkette | 8 | 21(2)(d) |
| 6Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen | 31 | 21(2)(e) |
| 7Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit | 3 | 21(2)(f) |
| 8Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit | 8 | 21(2)(g) |
| 9Kryptografie | 3 | 21(2)(h) |
| 10Sicherheit des Personals | 10 | 21(2)(i) |
| 11Zugriffskontrolle | 21 | 21(2)(i), 21(2)(j) |
| 12Anlagen- und Wertemanagement | 13 | 21(2)(i) |
| 13Sicherheit des Umfelds und physische Sicherheit | 9 | 21(2)(c), 21(2)(e), 21(2)(i) |
Was dies ersetzt hat
Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Wer noch mit den älteren Regeln für Anbieter digitaler Dienste arbeitet, arbeitet mit einem aufgehobenen Rechtsakt.
Jede Anforderung oben ist aus dem Amtsblatt in Ihrer Sprache zitiert, über den Katalog, den diese Seite liest. Gelesen am 17. Oktober 2026. Der niederländische Text trägt seine Berichtigung: Corrigendum R(03), OJ L, 2026/90675 of 7 August 2026, to point 9.2(c)(viii) of the Annex, in Dutch. EUR-Lex
Häufige Fragen
- Gilt das für jede NIS2-Einrichtung?
- Nein, und das wird am leichtesten falsch verstanden. Artikel 1 nennt 11 Arten und bezeichnet sie als die betreffenden Einrichtungen. Ein Krankenhaus, eine Bank oder ein Energieversorger ist nach NIS2 wesentlich oder wichtig und liegt ganz außerhalb dieses Anhangs. Artikel 21 Absatz 2 bindet sie weiterhin aus sich heraus; diese Verordnung fügt die Einzelheiten für die 11 hinzu, die sie benennt.
- Wie unterscheidet sich das von NIS2 selbst?
- NIS2 nennt zehn Überschriften und sagt, die Maßnahmen müssten angemessen und verhältnismäßig sein, womit niemand etwas anfangen kann. Diese Verordnung sagt, welche es sind: 161 nummerierte Anforderungen in dreizehn Abschnitten, und jeder nennt den Buchstaben des Artikels 21 Absatz 2, den er umsetzt.
- Ändert die Unternehmensgröße, was wir schulden?
- Nicht das Ob, nur das Wie. Artikel 2 Absatz 1 wendet den Anhang ohne eigene Größenschwelle auf die betreffenden Einrichtungen an. Artikel 2 Absatz 2 verlangt dann, bei der Umsetzung Ihre Risikoexposition, Ihre Größe und die Wahrscheinlichkeit von Vorfällen zu berücksichtigen. Die Größe formt die Maßnahme, sie entschuldigt sie nicht.
- Ist ein kleiner Vorfall je meldepflichtig?
- Gemeinsam ja, und das ist die Falle. Nach Artikel 4 gelten einzeln nicht erhebliche Vorfälle als ein erheblicher Vorfall. Drei Bedingungen, und alle müssen erfüllt sein: mindestens zweimal in sechs Monaten, dieselbe offenkundige Ursache, und zusammen das Kriterium des finanziellen Verlusts nach Artikel 3 Absatz 1 Buchstabe a.
- Was ist aus den alten Regeln geworden?
- Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Es war die Verordnung über die Sicherheitsanforderungen und die Meldung von Vorfällen für Anbieter digitaler Dienste unter der ersten NIS-Richtlinie, und wer noch damit arbeitet, arbeitet mit einem aufgehobenen Rechtsakt.
Ein Konto, die 161 Anforderungen schon darin
Beantworten Sie die Frage nach der Einrichtungsart einmal, dann erscheinen die 161 Anforderungen mit der jeweils beantworteten Zeile des Artikels 21 Absatz 2, sodass Ihre bereits geleistete NIS2-Arbeit hier zählt.
Was es von Ihnen verlangt
161 Anforderungen in 1 Gruppen
Maßnahmen
161- 1.1.1 Konzept für die Sicherheit von Netz- und Informationssystemen
- 1.1.2 Konzept für die Sicherheit von Netz- und Informationssystemen
- 1.2.1 Rollen, Verantwortlichkeiten und Weisungsbefugnisse
und 158 weitere
Siehe auch:NIS2Kostenlose Werkzeuge