Die NIS2-Richtlinie (Richtlinie (EU) 2022\/2555<\/a>, amtlich \u201eNIS-2-Richtlinie\u201c) ist ein EU-Gesetz zur Cybersicherheit, das die Sicherheitsanforderungen f\u00fcr Organisationen in kritischen Sektoren versch\u00e4rft, darunter der Energiesektor. Es verpflichtet die erfassten Organisationen, darunter Betreiber von Ladenetzen f\u00fcr Elektrofahrzeuge (EV), die die Kriterien erf\u00fcllen, Cybersicherheitsrisiken zu steuern, ihre Lieferketten abzusichern und erhebliche Sicherheitsvorf\u00e4lle zu melden.<\/p>\n\n\n\n Nach Artikel 41 der Richtlinie mussten die Mitgliedstaaten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen, doch viele haben diese Frist verpasst.<\/p>\n\n\n\n Anhang I der NIS2-Richtlinie, die Liste der Sektoren mit hoher Kritikalit\u00e4t, nennt Betreiber, die f\u00fcr die Verwaltung und den Betrieb von Ladepunkten (so der Rechtsbegriff der EU) zust\u00e4ndig sind und Endnutzern einen Ladedienst erbringen. Diese Formulierung entspricht der Definition eines Ladestationsbetreibers (CPO) in der AFIR, der Verordnung \u00fcber den Aufbau der Infrastruktur f\u00fcr alternative Kraftstoffe, die AMPECO in seinem AFIR-Leitfaden f\u00fcr CPOs<\/a> erl\u00e4utert.<\/p>\n\n\n\n In der Regel erfasst NIS2 Betreiber, die nach EU-Recht als mittlere oder gro\u00dfe Unternehmen gelten. Das bedeutet meist mindestens 50 Besch\u00e4ftigte oder das \u00dcberschreiten der ma\u00dfgeblichen finanziellen Schwellenwerte. Die Unternehmensgr\u00f6\u00dfe kann auch von der Struktur der gesamten Unternehmensgruppe abh\u00e4ngen, daher sollten Betreiber die geltenden nationalen Vorschriften pr\u00fcfen.<\/p>\n\n\n\n Innerhalb des Anwendungsbereichs unterscheidet NIS2 zwei Kategorien:<\/p>\n\n\n\n Ein Mitgliedstaat kann auch eine kleinere Organisation in den Anwendungsbereich aufnehmen, indem er sie benennt, zum Beispiel wenn sie in diesem Land der einzige Anbieter eines Dienstes ist, der f\u00fcr kritische gesellschaftliche oder wirtschaftliche T\u00e4tigkeiten unerl\u00e4sslich ist.<\/p>\n\n\n\n Ein E-Mobilit\u00e4tsanbieter (eMSP)<\/a>, der nur den Zugang zu den Ladepunkten anderer Betreiber verkauft, ist nicht als Ladestationsbetreiber erfasst. Auf dieser Grundlage f\u00e4llt er nur dann in den Anwendungsbereich, wenn er auch selbst Ladepunkte betreibt, er k\u00f6nnte jedoch unter eine andere NIS2-Kategorie fallen.<\/p>\n\n\n\n Da NIS2 eine Richtlinie ist, wendet jeder Mitgliedstaat sie \u00fcber sein eigenes nationales Recht an. Dieses regelt die Einzelheiten, auch wo und wie sich ein Betreiber registriert.<\/p>\n\n\n\n NIS2 verpflichtet die Mitgliedstaaten, f\u00fcr wesentliche Einrichtungen H\u00f6chstgeldbu\u00dfen von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes festzulegen, je nachdem, welcher Betrag h\u00f6her ist. F\u00fcr wichtige Einrichtungen liegen die Werte bei 7 Mio. EUR oder 1,4 %. Die tats\u00e4chlichen Sanktionen h\u00e4ngen vom Versto\u00df und vom nationalen Recht ab.<\/p>\n\n\n\n NIS2 legt ihre Pflichten den EV-Ladenetzbetreibern auf, die die Kriterien erf\u00fcllen, und diese Pflichten bleiben beim Betreiber: Registrierung bei der zust\u00e4ndigen Beh\u00f6rde, eigene Risikoanalyse, Festlegung von Cybersicherheitsrichtlinien, Schulung der Gesch\u00e4ftsleitung, sichere Inbetriebnahme der Ladestationen, Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen und Einhaltung der Meldefristen. Softwareanbieter unterst\u00fctzen sie dabei, indem sie Sicherheitskontrollen integrieren, ihre Systeme sicher betreiben und Unterlagen bereitstellen, etwa Zertifizierungen, Auditberichte und Sicherheitsrichtlinien. Betreiber k\u00f6nnen diese Informationen in ihren Risikobewertungen von Lieferanten nutzen, doch eine sichere Softwareplattform macht sie nicht automatisch NIS2-konform.<\/p>\n\n\n\nGilt NIS2 f\u00fcr EV-Ladenetzbetreiber?<\/h2>\n\n\n\n
\n
Was verlangt NIS2?<\/h2>\n\n\n\n
\n
Was leisten Betreiber und Softwareanbieter jeweils unter NIS2?<\/h2>\n\n\n\n
NIS2 vs. Cyberresilienz-Verordnung<\/h2>\n\n\n\n