Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555, amtlich „NIS-2-Richtlinie“) ist ein EU-Gesetz zur Cybersicherheit, das die Sicherheitsanforderungen für Organisationen in kritischen Sektoren verschärft, darunter der Energiesektor. Es verpflichtet die erfassten Organisationen, darunter Betreiber von Ladenetzen für Elektrofahrzeuge (EV), die die Kriterien erfüllen, Cybersicherheitsrisiken zu steuern, ihre Lieferketten abzusichern und erhebliche Sicherheitsvorfälle zu melden.
Nach Artikel 41 der Richtlinie mussten die Mitgliedstaaten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen, doch viele haben diese Frist verpasst.
Gilt NIS2 für EV-Ladenetzbetreiber?
Anhang I der NIS2-Richtlinie, die Liste der Sektoren mit hoher Kritikalität, nennt Betreiber, die für die Verwaltung und den Betrieb von Ladepunkten (so der Rechtsbegriff der EU) zuständig sind und Endnutzern einen Ladedienst erbringen. Diese Formulierung entspricht der Definition eines Ladestationsbetreibers (CPO) in der AFIR, der Verordnung über den Aufbau der Infrastruktur für alternative Kraftstoffe, die AMPECO in seinem AFIR-Leitfaden für CPOs erläutert.
In der Regel erfasst NIS2 Betreiber, die nach EU-Recht als mittlere oder große Unternehmen gelten. Das bedeutet meist mindestens 50 Beschäftigte oder das Überschreiten der maßgeblichen finanziellen Schwellenwerte. Die Unternehmensgröße kann auch von der Struktur der gesamten Unternehmensgruppe abhängen, daher sollten Betreiber die geltenden nationalen Vorschriften prüfen.
Innerhalb des Anwendungsbereichs unterscheidet NIS2 zwei Kategorien:
- Wesentliche Einrichtungen: große Ladestationsbetreiber (CPOs). Die Behörden beaufsichtigen sie proaktiv und können sie auch ohne Verdacht auf einen Verstoß prüfen.
- Wichtige Einrichtungen: mittlere Betreiber, die nachträglich beaufsichtigt werden, wenn Hinweise auf einen Verstoß vorliegen.
Ein Mitgliedstaat kann auch eine kleinere Organisation in den Anwendungsbereich aufnehmen, indem er sie benennt, zum Beispiel wenn sie in diesem Land der einzige Anbieter eines Dienstes ist, der für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten unerlässlich ist.
Ein E-Mobilitätsanbieter (eMSP), der nur den Zugang zu den Ladepunkten anderer Betreiber verkauft, ist nicht als Ladestationsbetreiber erfasst. Auf dieser Grundlage fällt er nur dann in den Anwendungsbereich, wenn er auch selbst Ladepunkte betreibt, er könnte jedoch unter eine andere NIS2-Kategorie fallen.
Da NIS2 eine Richtlinie ist, wendet jeder Mitgliedstaat sie über sein eigenes nationales Recht an. Dieses regelt die Einzelheiten, auch wo und wie sich ein Betreiber registriert.
Was verlangt NIS2?
- Verantwortung der Geschäftsleitung: Das Leitungsorgan (Vorstand oder Geschäftsführung) muss die Cybersicherheitsmaßnahmen genehmigen und überwachen und an Schulungen teilnehmen. Seine Mitglieder können für Verstöße haftbar gemacht werden.
- Maßnahmen zum Risikomanagement: Artikel 21 legt zehn Mindestbereiche fest, darunter die Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Backups, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Der Leitfaden für CPOs zur NIS2-Richtlinie erläutert alle zehn.
- Meldung von Sicherheitsvorfällen: Ein erheblicher Sicherheitsvorfall ist ein Vorfall, der schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden für andere verursacht oder verursachen kann. Er löst drei Fristen aus: eine Frühwarnung innerhalb von 24 Stunden, nachdem der Betreiber davon Kenntnis erlangt hat, eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach dieser Meldung.
- Sicherheit der Lieferkette: Betreiber müssen die Sicherheit ihrer direkten Lieferanten bewerten, darunter die Hersteller der Ladestationen und das Lademanagementsystem (CPMS), auf dem sie arbeiten.
NIS2 verpflichtet die Mitgliedstaaten, für wesentliche Einrichtungen Höchstgeldbußen von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes festzulegen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegen die Werte bei 7 Mio. EUR oder 1,4 %. Die tatsächlichen Sanktionen hängen vom Verstoß und vom nationalen Recht ab.
Was leisten Betreiber und Softwareanbieter jeweils unter NIS2?
NIS2 legt ihre Pflichten den EV-Ladenetzbetreibern auf, die die Kriterien erfüllen, und diese Pflichten bleiben beim Betreiber: Registrierung bei der zuständigen Behörde, eigene Risikoanalyse, Festlegung von Cybersicherheitsrichtlinien, Schulung der Geschäftsleitung, sichere Inbetriebnahme der Ladestationen, Bewältigung von Sicherheitsvorfällen und Einhaltung der Meldefristen. Softwareanbieter unterstützen sie dabei, indem sie Sicherheitskontrollen integrieren, ihre Systeme sicher betreiben und Unterlagen bereitstellen, etwa Zertifizierungen, Auditberichte und Sicherheitsrichtlinien. Betreiber können diese Informationen in ihren Risikobewertungen von Lieferanten nutzen, doch eine sichere Softwareplattform macht sie nicht automatisch NIS2-konform.
NIS2 vs. Cyberresilienz-Verordnung
| Aspekt | NIS2-Richtlinie | Cyberresilienz-Verordnung (CRA) |
|---|---|---|
| Gegenstand | Wie eine Organisation ihre Netzwerke und Systeme absichert | Wie Produkte mit digitalen Elementen, auch Ladestationen, entwickelt werden |
| Adressaten | EV-Ladenetzbetreiber, die die Kriterien erfüllen, und andere erfasste Einrichtungen | Hersteller, Einführer und Händler |
| Kernpflichten | Governance, Risikomanagement, Meldung von Sicherheitsvorfällen | Security by Design, Umgang mit Schwachstellen |
| Fristen | Frist für die nationale Umsetzung: 17. Oktober 2024 | Meldepflichten ab 11. September 2026; volle Anwendung ab 11. Dezember 2027 |
Die beiden Gesetze betreffen unterschiedliche Aspekte der Cybersicherheit. NIS2 regelt, wie Organisationen Cybersicherheitsrisiken steuern, auch solche, die von Lieferanten ausgehen. Die Cyberresilienz-Verordnung, Verordnung (EU) 2024/2847, legt Cybersicherheitsanforderungen an vernetzte Hardware- und Softwareprodukte fest. Eigenständige Cloud-Dienste fallen in der Regel nicht unter den CRA, bestimmte Ferndienste, die für die Funktion eines Produkts wesentlich sind, können jedoch erfasst sein.
Wie AMPECO die Lieferantenbewertung nach NIS2 unterstützt
Die EV-Ladeplattform von AMPECO verfügt über unabhängig geprüfte Sicherheitskontrollen, die Betreiber einsehen können, wenn sie AMPECO als Lieferanten im Rahmen von NIS2 bewerten:
- Zertifizierung nach ISO/IEC 27001:2022 und ein SOC-2-Typ-II-Audit
- Rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung und Single Sign-on (SSO)
- TLS 1.2 für Daten bei der Übertragung und AES-256-Verschlüsselung für gespeicherte Daten
- Audit-Protokollierung
- Notfallwiederherstellungsverfahren, die in regelmäßigen Übungen getestet werden
Die Zertifizierungen und Kontrollen sind auf der Sicherheitsseite von AMPECO beschrieben.
Verwandte Begriffe
- Ladestationsbetreiber (CPO)
- eMSP (E-Mobilitätsanbieter)
- CPMS (Lademanagementsystem)
- OCPP (Open Charge Point Protocol)
- ISO 15118
Häufige Fragen
Gilt NIS2 für kleine EV-Ladenetzbetreiber?
In der Regel nicht. Kleine Unternehmen mit weniger als 50 Beschäftigten und höchstens 10 Mio. EUR Jahresumsatz oder Jahresbilanzsumme fallen nicht unter die Größenregel. Ein Mitgliedstaat kann einen kleinen Betreiber dennoch benennen, zum Beispiel wenn er in diesem Land der einzige Anbieter eines wesentlichen Dienstes ist. Prüfen Sie daher das nationale Recht, bevor Sie dies ausschließen.
Welche Meldefristen gelten nach NIS2?
Bei einem erheblichen Sicherheitsvorfall sendet ein Betreiber innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, eine Frühwarnung an sein nationales Computer-Notfallteam (CSIRT) oder die zuständige Behörde. Innerhalb von 72 Stunden folgt eine Meldung des Sicherheitsvorfalls mit einer ersten Bewertung, und innerhalb eines Monats nach dieser Meldung ein Abschlussbericht. Dauert der Sicherheitsvorfall zu diesem Zeitpunkt noch an, sendet der Betreiber stattdessen einen Fortschrittsbericht und den Abschlussbericht innerhalb eines Monats nach der Bewältigung des Vorfalls.
Gilt NIS2 für Anbieter von EV-Ladesoftware?
Das ist möglich. Anbieter von EV-Ladesoftware sind nicht automatisch als Ladestationsbetreiber erfasst, sie können jedoch über andere Kategorien unter NIS2 fallen, etwa Cloud-Computing oder verwaltete Dienste. Auch wenn ein Softwareanbieter nicht direkt reguliert ist, müssen Ladenetzbetreiber, die unter NIS2 fallen, die Cybersicherheitspraktiken ihrer Lieferanten bewerten, auch die ihrer CPMS-Anbieter.
Reicht eine ISO-27001-Zertifizierung für die NIS2-Konformität aus?
Nein. Eine Zertifizierung nach ISO/IEC 27001 kann Organisationen helfen nachzuweisen, dass sie Prozesse für das Cybersicherheits-Risikomanagement eingerichtet haben, begründet aber nicht automatisch die NIS2-Konformität. Organisationen müssen außerdem die geltenden Anforderungen an die Verantwortung der Geschäftsleitung, die Meldung von Sicherheitsvorfällen, die Sicherheit der Lieferkette und weitere Pflichten nach den nationalen NIS2-Gesetzen erfüllen.
War das hilfreich?