NIS 2 und Compliance vs. Security: Kann Sicherheit einfach beschlossen werden?
Mit der NIS-2-Richtlinie will der Gesetzgeber für IT-Sicherheit sorgen. Doch gut gemeinte Regeln kommen in der Praxis nicht immer unbedingt auch gut an.
Nach (wie auf europäischer Ebene üblich) langen Verhandlungen hat das europäische Parlament am 10. November 2022 die NIS-2 Richtlinie angenommen. Sie gibt Vorgaben zur IT-Sicherheit von kritischen Infrastrukturen. Zentrales Element ist die Verpflichtung zur Umsetzung "geeigneter und verhältnismäßiger" Sicherheitsmaßnahmen für eingesetzte Informationstechnik. Eine derartige hoheitliche Festsetzung von IT-Sicherheit hört sich zunächst positiv an. Doch lässt sich IT-Sicherheit einfach so beschließen? Die Verabschiedung der NIS-2 Richtlinie bietet einen hervorragenden Anlass, das Instrument der risikoorientierten Pflichten für IT-Sicherheit genauer anzusehen.
