### NCCS und NIS 2 Anforderungen

Erkunden Sie die spezifischen Anforderungen und Unterschiede zwischen NIS 2 und NCCS in Schlüsselbereichen.

Betroffene IT-/OT-Geräte
NIS 2

Die NIS 2 deckt alle IT- und OT-Systeme innerhalb einer Organisation ab und gewährleistet so einen umfassenden Ansatz für die Cybersicherheit in allen Bereichen. Dieser breite Geltungsbereich soll die allgemeine Cybersicherheitshygiene fördern, auch für kleinere oder weniger kritische Systeme.

NCSS

Im Gegensatz dazu konzentriert sich der NCCS auf Systeme in kritischen oder besonders relevanten Bereichen, basierend auf ihrer Rolle in hochwirksamen und sicherheitskritischen Prozessen – also jene Systeme, deren Kompromittierung erhebliche Auswirkungen auf den Betrieb haben oder sogar andere Regionen oder Sektoren betreffen könnte. Der Fokus liegt hierbei auf dem Schutz der wesentlichsten Komponenten, bei denen die höchsten Risiken bestehen.

NIS 2 | NCCS
--- | ---
Alle Systeme | Systeme innerhalb von kritischen und/oder hochgefährdeten Bereichen (physisch, logisch)

Risikoanalyse und Risikomanagement
NIS 2

Während die NIS-2-Richtlinie eine gewisse Flexibilität bei der Umsetzung zulässt, verpflichtet sie Organisationen, die als „wesentliche“ oder „wichtige Einrichtungen“ eingestuft sind, zur Einführung von Risikomanagementpraktiken. Diese Organisationen sind verpflichtet, Maßnahmen zum Management von Cybersicherheitsrisiken zu ergreifen, um identifizierte Risiken zu adressieren. Die Flexibilität besteht darin, dass diese Einrichtungen ihren Risikomanagementansatz an ihre spezifischen Ressourcen, Risikoniveaus und betrieblichen Anforderungen anpassen können.

NCCS

Der NCCS geht noch einen Schritt weiter, indem sie einen strukturierten und kooperativen Ansatz für das Risikomanagement betont. Sie schreibt einen detaillierten Risikobewertungsprozess vor, der sich über vier Ebenen erstreckt: EU-weit, regional, auf Ebene der Mitgliedstaaten und auf Ebene einzelner Einrichtungen. Dieser Ansatz gewährleistet ein harmonisiertes Verständnis von Cybersicherheitsrisiken und ermöglicht koordinierte Maßnahmen zur Risikominderung.

NIS 2 | NCCS
--- | ---
Erforderlich | Erforderlich

Informationsaustausch zwischen den Betroffenen
NIS 2

In der NIS 2 wird der Informationsaustausch gefördert, aber auf freiwilliger Basis, so dass die Unternehmen selbst entscheiden können, wie viele Informationen sie weitergeben möchten, je nach Komfort und Prioritäten. Dieser flexible Ansatz kann einen offenen, organischen Informationsaustausch fördern.

NCCS

Der NCCS hingegen verlangt den Informationsaustausch. Organisationen sind verpflichtet, Vorfälle zu melden und relevante Daten auszutauschen, wodurch sichergestellt wird, dass wichtige Bedrohungsinformationen schnell und einheitlich zwischen allen betroffenen Parteien ausgetauscht werden. Dies ist eine wesentliche Voraussetzung für eine koordinierte, rechtzeitige Reaktion auf potenzielle Bedrohungen, insbesondere in Hochrisikobereichen.

NIS 2 | NCCS
--- | ---
Freiwillig und auf Vereinbarungsbasis | Es besteht eine Verpflichtung zur Zusammenarbeit (was, wann, mit wem)

CSOC erstellen
NIS 2

Die NIS 2 verlangt von Organisationen nicht, dass sie ein CSOC einrichten, sondern lässt ihnen die Flexibilität, je nach Größe, Bedarf und Ressourcen andere Sicherheitsmaßnahmen zu wählen. Dieser Ansatz eignet sich gut für kleinere oder weniger kritische Einrichtungen, die möglicherweise nicht die Kapazität für ein eigenes CSOC haben.

NCCS

Der NCCS impliziert oder verlangt jedoch ein CSOC für kritische und hochgefährdete Systeme, da er anerkennt, dass Echtzeitüberwachung und schnelle Reaktion für Hochrisikoumgebungen notwendig sind. Es wird erwartet, dass Organisationen, die kritische Infrastrukturen verwalten, über ein CSOC oder eine gleichwertige Fähigkeit verfügen, um eine kontinuierliche Überwachung aufrechtzuerhalten.

NIS 2 | NCCS
--- | ---
Nicht erforderlich | Erforderlich

Identifizierung und Meldung von Vorfällen
NIS 2

Die NIS 2 schreibt vor, dass wichtige Sicherheitsvorfälle, die IT/OT-Systeme betreffen, unverzüglich gemeldet werden müssen, im Allgemeinen innerhalb von 24 Stunden. Bei Bedrohungen und Beinahe-Cyber-Vorfällen wird die Meldung gefördert, bleibt aber freiwillig, so dass die Unternehmen je nach Schweregrad und Kontext entscheiden können. Unternehmen sind für die interne Untersuchung von Vorfällen verantwortlich, während grenzüberschreitende Auswirkungen je nach Bedarf an die Computer-Notfallteams (CSIRT) weitergeleitet werden. Dieser Ansatz bietet Flexibilität und stellt gleichzeitig sicher, dass wichtige Vorfälle zeitnah gemeldet werden.

NCCS

Der NCCS setzt strengere Anforderungen für die Meldung durch, insbesondere für Vorfälle, die grenzüberschreitende Energiesysteme betreffen könnten. Bedeutende Vorfälle müssen innerhalb eines kürzeren Zeitfensters (innerhalb von 4 Stunden) gemeldet werden, um den potenziell größeren Auswirkungen Rechnung zu tragen. Darüber hinaus schreibt der NCCS die Untersuchung von Zwischenfällen unter Beteiligung der zuständigen Behörde und mit Unterstützung von CSOC vor. Dieser umfassende Ansatz soll eine rasche, koordinierte Reaktion auf kritische Zwischenfälle ermöglichen, insbesondere auf solche mit Auswirkungen über die Landesgrenzen hinaus.

NIS 2 | NCCS
--- | ---
Bedeutende Sicherheitsvorfälle im Zusammenhang mit IT/OT-Systemen müssen sofort (innerhalb von 24 Stunden) gemeldet werden, während Bedrohungen und Cyber-nahe Vorfälle den Computer-Notfallteams (CSIRT) auf freiwilliger Basis gemeldet werden müssen (Aktualisierung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats). Organisationen untersuchen Vorfälle intern; grenzüberschreitende Auswirkungen werden von Computer-Notfallteams (CSIRT) untersucht. | *Bedeutende Sicherheitsvorfälle im Zusammenhang mit IT/OT-Systemen - oder mit grenzüberschreitenden Auswirkungen auf die Energie - müssen unverzüglich (innerhalb von 4 Stunden) der zuständigen Behörde und dem CSIRT gemeldet werden, einschließlich Bedrohungen und Beinahe-Cyber-Vorfälle. * Alle anderen bedeutenden Sicherheitsvorfälle müssen gemäß den NIS-2-Standards gemeldet werden. * Auf der Grundlage der vom CSOC bereitgestellten Informationen untersucht die Organisation die Vorfälle mit Unterstützung der zuständigen Behörde.

Sicherheit der Lieferkette
NIS 2

In der NIS 2 wird die Sicherheit der Lieferkette als zwingendes Element des Cybersecurity-Risikomanagements aufgenommen. Organisationen müssen die Sicherheitsrisikobewertung von kritischen Lieferketten auf EU-Ebene berücksichtigen. Zusätzlich kann die Kommission Verordnungen erlassen, die technische und methodische Anforderungen für das Cybersecurity-Risikomanagement festlegen, falls dies auf sektoraler Ebene erforderlich ist. Ein Zertifikat für einen Lieferanten oder das gelieferte Produkt oder die Dienstleistung kann verlangt werden, um die Einhaltung der Sicherheitsstandards zu gewährleisten.

NCCS

Der NCCS bietet ausführlichere Leitlinien zur Sicherheit der Lieferkette mit definierten Risikobewertungs- und Kontrollkriterien. Es ist vorgeschrieben, die Sicherheitsrisikobewertung von kritischen Lieferketten auf EU-Ebene zu berücksichtigen, und es werden spezifische Empfehlungen für die Beschaffung gegeben. Für Einrichtungen mit erheblichen/kritischen Auswirkungen wird die Verantwortung dafür übernommen, dass die Lieferanten die Cybersicherheitsanforderungen erfüllen, einschließlich der Festlegung von Auswahlkriterien und vertraglichen Verpflichtungen. Anbieter kritischer IKT-Dienstleistungen müssen ebenfalls benachrichtigt werden und die NCCS-Bestimmungen für Organisationen mit kritischer oder erheblicher Auswirkung einhalten.

NIS 2 | NCCS
--- | ---
Obligatorisches Element des Cybersecurity-Risikomanagements Die Berücksichtigung der Sicherheitsrisikobewertung kritischer Lieferketten auf EU-Ebene ist obligatorisch. Die Kommission kann Verordnungen erlassen, die die technischen und methodischen Anforderungen an das Cybersecurity-Risikomanagement regeln, gegebenenfalls auf sektoraler Ebene. Ein Zertifikat für einen Lieferanten oder ein geliefertes Produkt oder eine Dienstleistung kann verlangt werden. | Es wurden detaillierte Kriterien für die Risikobewertung und -kontrolle festgelegt. Die Berücksichtigung der Sicherheitsrisikobewertung kritischer Lieferketten auf EU-Ebene ist obligatorisch. Empfehlungen für die Auftragsvergabe sind definiert. Die für die Umsetzung der Cybersicherheitsanforderungen durch den Lieferanten verantwortliche Stelle (Auswahlkriterien, vertragliche Anforderungen) Kritische IKT-Dienstleister müssen benachrichtigt werden und unterliegen den NCCS-Bestimmungen in Bezug auf Organisationen mit kritischen Auswirkungen oder erheblichen Auswirkungen.

Einrichtung eines nationalen Überwachungs- und Kontrollsystems (NIS 2 und NCCS-konform)
NIS 2

Gemäß NIS 2 muss ein nationales Aufsichtskontrollsystem eingerichtet werden, wobei die Prüfungen im Bezugsjahr 2025 beginnen und alle zwei Jahre durchgeführt werden müssen. Dieser Rahmen gewährleistet eine regelmäßige Aufsicht, enthält jedoch keine sektorspezifischen Anforderungen an die Prüfer, sondern erlaubt allgemeinere Prüfungsansätze.

NCCS

Der NCCS verfolgt einen intensiveren Ansatz, insbesondere für Unternehmen mit kritischen Auswirkungen. Audits sind jährlich vorgeschrieben, wobei ab dem Referenzjahr 2026 alle drei Jahre ein umfassendes Audit stattfindet. Für die Prüfer gelten sektorspezifische Anforderungen, die sicherstellen, dass der Prüfprozess auf die Bedürfnisse der kritischen Infrastruktursektoren zugeschnitten ist und dass Unternehmen mit erheblicher Auswirkung eine spezielle Aufsicht erhalten.

NIS 2 | NCCS
--- | ---
* Audit alle 2 Jahre | Erfordert Unternehmen mit kritischen Auswirkungen Jährliches Audit, vollständiges Audit alle 3 Jahre Sektorspezifische Anforderungen gelten für den Prüfer

Managementsystem für Cybersicherheit, Überprüfung der Konformität der durchgeführten Kontrollen
NIS 2

Die NIS 2 schreibt nicht ausdrücklich ein Cybersicherheitsmanagementsystem vor, so dass die Organisationen ihren Ansatz für die Kontrolle und Überprüfung der Cybersicherheit entsprechend ihren Bedürfnissen und Ressourcen flexibel wählen können.

NCCS

Der NCCS verlangt jedoch, dass alle kritischen Wermögenswerte innerhalb des kritischen Bereichs über ein Cybersicherheitsmanagementsystem verfügen. Für diese Anlagen sind alle drei Jahre verpflichtende Audits und Überprüfungen vorgeschrieben, wobei zwei Überprüfungsmethoden zulässig sind: Sicherheitsaudits durch unabhängige Dritte oder interne Überprüfungen, die bestimmte Anforderungen erfüllen und einen einheitlichen Standard für die Einhaltung der Cybersicherheitsvorschriften gewährleisten.

NIS 2 | NCCS
--- | ---
Erfordert kein Cybersicherheitsmanagementsystem | Erfordert alle Vermögenswerte von Organisationen mit kritischer Auswirkung innerhalb des kritischen Bereichs Obligatorisches Audit und Überprüfung alle 3 Jahre Zwei Möglichkeiten: Sicherheitsaudits durch unabhängige Dritte, die die Anforderungen des vorhergehenden Punktes erfüllen, oder der vorhergehende Punkt

Verfahren zum Management von Cyberangriffen testen
NIS 2

Die NIS 2 verlangt von den Organisationen nicht, dass sie ihre Verfahren zum Management von Cyberangriffen unabhängig testen. Stattdessen wird diese Verantwortung in der Regel den Behörden auf EU- und nationaler Ebene zugewiesen, die die Aufsicht übernehmen, ohne spezifische Testverpflichtungen für einzelne Organisationen durchzusetzen.

NCCS

Der NCCS verlangt jedoch, dass Organisationen mit kritischen Auswirkungen mindestens einmal im Jahr umfassende Tests ihrer Verfahren zur Reaktion auf Cyberangriffe durchführen. Diese Tests können auch Teil von umfassenderen organisationsweiten Cybersicherheitsübungen sein. Die Testanforderung muss bis zum 31. Dezember 2025 vollständig umgesetzt werden, wobei sich einige Organisationen schrittweise dazu verpflichten. Dadurch wird sichergestellt, dass die Organisationen ihre Reaktionsfähigkeit aktiv bewerten und verbessern.

NIS 2 | NCCS
--- | ---
Erfordert keine Prüfung von Verfahren zum Management von Cyberangriffen | Umfassende Verfahren zur Reaktion auf Cyberangriffe, die mindestens einmal jährlich getestet werden. Sie kann auch als Teil einer organisationsweiten Cybersicherheitsübung durchgeführt werden.

Krisenmanagement
NIS 2

Im Rahmen der NIS 2 werden die Zuständigkeiten für das Krisenmanagement in erster Linie von Behörden auf EU- und nationaler Ebene wahrgenommen und nicht einzelnen Organisationen auferlegt. Dieser Ansatz auf hoher Ebene ermöglicht eine zentralisierte Koordinierung bei größeren Zwischenfällen.

NCCS

Der NCCS legt einen stärkeren Fokus auf die aktive Beteiligung am Krisenmanagement durch Organisationen mit kritischer Auswirkung. Sie verpflichtet diese Organisationen dazu, in Abstimmung mit den zuständigen Behörden zu handeln, um eine koordinierte Reaktion auf groß angelegte Cybervorfälle sicherzustellen. Diese Anforderung fördert die Krisenvorsorge und stärkt gemeinsame Maßnahmen zur Krisenbewältigung.

NIS 2 | NCCS
--- | ---
Aufgabe der Behörde für Krisenmanagement | Akive Teilnahme

Durchführung von Cyberangriffsübungen
NIS 2

Für die NIS 2 ist die Durchführung von Cyberangriffsübungen nur auf EU- und nationaler Ebene vorgeschrieben, so dass die Behörden Cyberbedrohungen simulieren und sich darauf vorbereiten können, ohne diese Übungen für einzelne Organisationen vorzuschreiben.

NCCS

Der NCCS schreibt vor, dass Organisationen mit kritischen Auswirkungen alle drei Jahre Cyberangriffsübungen durchführen, um die ständige Bereitschaft zu gewährleisten. Außerdem müssen kritische IKT-Dienstleister in diese Übungen einbezogen werden. Diese Vorschrift, die am 31. Dezember 2025 in Kraft tritt, stellt sicher, dass Organisationen mit kritischen Infrastrukturen ihre Bereitschaft durch regelmäßige Übungen aufrechterhalten.

NIS 2 | NCCS
--- | ---
Nur auf EU- und nationaler Ebene erforderlich | Erforderlich alle drei Jahre für Organisationen mit kritischen Auswirkungen Beteiligte kritische IKT-Dienstleister

Geschäftskontinuitätsplanung
NIS 2

Nach der NIS-2-Richtlinie ist die Geschäftskontinuitätsplanung ein obligatorischer Bestandteil des Cybersicherheits-Risikomanagements. Diese Anforderung stellt sicher, dass kritische Organisationen über Maßnahmen zur Aufrechterhaltung der Betriebsfähigkeit verfügen, um ihre operationelle Resilienz auch bei potenziellen Störungen zu gewährleisten.e

NCCS

Der NCCS verlangt, dass die Geschäftskontinuitätsplanung alle drei Jahre getestet und aktualisiert wird. Die Verantwortung für die Überwachung dieser Kontinuitätsmaßnahmen liegt bei den Regulierungsbehörden, was eine zusätzliche Ebene der Compliance-Überwachung darstellt.

NIS 2 | NCCS Obligatorisches Element des Cybersicherheits-Risikomanagements
--- | ---

Sanktion
NIS 2

Für die NIS 2 können die Sanktionen bei Nichteinhaltung der Cybersicherheitsanforderungen erheblich sein. Für Organisationen mit kritischer Auswirkung können Geldbußen bis zu 10.000.000 EUR oder 2 % des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr betragen, je nachdem, welcher Betrag höher ist, was eine starke Abschreckung darstellt.

NCCS

Die NCCS-Sanktionen werden von Regulierungsbehörden um- und durchgesetzt, wobei Sanktionen gegen Organisationen verhängt werden, die die Anforderungen an die Geschäftskontinuität und Cybersicherheit nicht erfüllen.

NIS 2 | NCCS
--- | ---
Für eine Organisation mit kritischer Auswirkung: mindestens 10.000.000 EUR oder 2 % des Gesamtbetrags seines weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr | Durchgeführt von einer Regulierungsbehörde

#### Vollständige Vergleichstabelle

Kategorie | NIS 2 | NCCS
--- | --- | ---
Betroffene Systeme | Alle Systeme | Systeme innerhalb kritischer und/oder erheblicher Perimeter (physisch, logisch)
Risikoanalyse und Risikomanagement | Obligatorisch | Obligatorisch
Informationsaustausch zwischen den Betroffenen | Freiwillig und auf Vereinbarungsbasis | Es besteht eine Verpflichtung zur Zusammenarbeit (was, wann, mit wem)
CSOC erstellen | Nicht erforderlich | Obligatorisch
Identifizierung und Meldung von Vorfällen | Bedeutende Sicherheitsvorfälle im Zusammenhang mit IT/OT-Systemen müssen sofort (innerhalb von 24 Stunden) gemeldet werden, während Bedrohungen und Cyber-nahe Vorfälle dem Computer-Notfallteam (CSIRT) auf freiwilliger Basis gemeldet werden müssen. (Aktualisierung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats) Organisationen untersuchen Vorfälle intern; grenzüberschreitende Auswirkungen werden vom Computer-Notfallteam (CSIRT) untersucht. | Bedeutende Sicherheitsvorfälle im Zusammenhang mit IT/OT-Systemen - oder mit grenzüberschreitenden Auswirkungen auf die Energie - müssen unverzüglich (innerhalb von 4 Stunden) der zuständigen Behörde und dem CSIRT gemeldet werden, einschließlich Bedrohungen und Beinahe-Cyber-Vorfälle. Alle anderen bedeutenden Sicherheitsvorfälle müssen gemäß den NIS-2-Standards gemeldet werden. Auf der Grundlage der vom CSOC bereitgestellten Informationen untersucht die Organisation die Vorfälle mit Unterstützung der zuständigen Behörde.
Sicherheit der Lieferkette | Obligatorisches Element des Cybersicherheits-Risikomanagements Die Sicherheitsrisikobewertung kritischer Lieferketten muss auf EU-Ebene berücksichtigt werden. Die Kommission kann Verordnungen zur Regelung der technischen und methodischen Anforderungen an das Risikomanagement im Bereich der Cybersicherheit erlassen, erforderlichenfalls auf sektoraler Ebene. Ein Zertifikat für einen Lieferanten oder ein geliefertes Produkt oder eine Dienstleistung kann erforderlich sein. | Es wurden detaillierte Kriterien für die Risikobewertung und -kontrolle festgelegt. Die Sicherheitsrisikobewertung kritischer Lieferketten auf EU-Ebene muss berücksichtigt werden. Beschaffungsempfehlungen werden definiert Eine Organisation mit erheblicher/kritischer Auswirkung ist verantwortlich für die Umsetzung der Cybersicherheitsanforderungen durch den Lieferanten (Auswahlkriterien, vertragliche Anforderungen) Kritische IKT-Dienstleister müssen benachrichtigt werden und unterliegen den Bestimmungen der NCCS, die sich auf Organisationen mit kritischer oder erheblicher Auswirkung beziehen.
Einrichtung eines nationalen Überwachungs- und Kontrollsystems (NIS 2 und NCCS-konform) | Audit alle 2 Jahre | Erfordert Einrichtungen mit kritischer Auswirkung Jährliches Audit, vollständiges Audit alle 3 Jahre Für den Prüfer gelten sektorspezifische Anforderungen
Cybersicherheits-Managementsystem, Überprüfung der Einhaltung der angewandten Kontrollen | Cybersicherheits-Managementsystem nicht erforderlich | Erfordert alle Vermögenswerte von Einrichtungen mit kritischer Auswirkung innerhalb des kritischen Geltungsbereichs Obligatorische Prüfung und Überprüfung alle 3 Jahre Zwei Möglichkeiten: Unabhängige Sicherheitsprüfungen durch Dritte, die den Anforderungen des vorherigen Punktes entsprechen, oder der vorhergehende Punkt
Testverfahren zur Bewältigung von Cyberangriffen | Testverfahren zur Bewältigung von Cyberangriffen nicht erforderlich | Umfassende Verfahren zur Reaktion auf Cyberangriffe, die mindestens einmal jährlich getestet werden. Sie kann auch als Teil einer organisationsweiten Cybersicherheitsübung durchgeführt werden.
Krisenmanagement | Aufgabe der Behörde für Krisenmanagement | Aktive Teilnahme
Durchführung von Cyberangriffsübungen | Nur auf EU- und nationaler Ebene erforderlich | Erforderlich alle drei Jahre für Organisationen mit kritischen Auswirkungen Beteiligte kritische IKT-Dienstleister
Geschäftskontinuitätsplanung | Obligatorisches Element des Cybersicherheits-Risikomanagements | Test und Überprüfung alle 3 Jahre