Die Einschätzung der Cyber Academy
NIS 1 (Directive 2016/1148) was the EU's first cross-sector cybersecurity directive, covering operators of essential services and digital service providers. Replaced by NIS 2 in October 2024 because scope was too narrow, enforcement uneven and incident reporting toothless. Cited here mainly so you know what the "old regime" your colleagues still half-remember actually was.
Was NIS 1 erreichen wollte
Die NIS-1-Richtlinie war der erste Versuch der Europäischen Union, eine gemeinsame Mindestbasis für Cybersicherheit unter die Sektoren zu legen, die ein Land am Laufen halten. Zuvor gingen die Mitgliedstaaten die Sicherheit kritischer Infrastrukturen nach ihren eigenen Vorstellungen an, ohne gemeinsame Grundlage und ohne koordinierte Möglichkeit, grenzüberschreitende Vorfälle zu bewältigen.
NIS 1 änderte das, indem es jeden Mitgliedstaat aufforderte, die Betreiber zu identifizieren, deren Störung eine schwerwiegende Kettenwirkung hätte, sie zu Sicherheits- und Meldepflichten zu verpflichten und den nationalen Apparat aufzubauen, der sie beaufsichtigt. In Frankreich war dieser Apparat die ANSSI, und die von ihr benannten Betreiber kannten bereits das schwerere OIV-Regime, das der Richtlinie vorausging.
Da es sich um eine Richtlinie und nicht um eine Verordnung handelte, galt NIS 1 nicht unmittelbar. Jeder Mitgliedstaat musste sie in nationales Recht umsetzen, woraus ein Großteil der Ungleichmäßigkeit entstand. Zwei Staaten konnten denselben Text lesen und mit unterschiedlichen Listen regulierter Einrichtungen, unterschiedlichen Meldeschwellen und sehr unterschiedlicher Durchsetzungsbereitschaft enden. Dieser Flickenteppich ist der mit Abstand wichtigste Grund, warum das Regime schließlich neu aufgebaut wurde.
Zwei Kategorien: wesentliche Dienste und Anbieter digitaler Dienste
NIS 1 teilte die regulierte Welt in zwei Gruppen, und die Unterscheidung ist wichtig, weil die Pflichten und die Aufsicht nicht symmetrisch waren.
| Aspekt | Betreiber wesentlicher Dienste | Anbieter digitaler Dienste |
|---|---|---|
| Wer sie waren | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, digitale Infrastruktur | Online-Marktplätze, Suchmaschinen, Cloud-Computing-Dienste |
| Wie sie erfasst wurden | Einzelfallweise von jedem Mitgliedstaat anhand von Kriterien identifiziert | Automatisch im Anwendungsbereich, mit leichterer Behandlung |
| Aufsicht | Proaktiv: Behörden konnten prüfen und Nachweise verlangen | Überwiegend reaktiv: Maßnahmen nach einem Vorfall |
| Sicherheitserwartung | Angemessene, verhältnismäßige technische und organisatorische Maßnahmen | Ähnliche Maßnahmen, aber ein leichteres Regulierungsregime |
Betreiber wesentlicher Dienste waren das Herzstück der Richtlinie. Die Mitgliedstaaten mussten sie benennen, und einmal benannt trugen sie reale Pflichten, Risiken zu steuern und bedeutende Vorfälle der nationalen Behörde oder dem CSIRT zu melden. Anbieter digitaler Dienste wurden leichter behandelt, nach der Überlegung, dass sie ohnehin grenzüberschreitend tätig waren und über Resilienz konkurrierten, sodass ein harmonisiertes, aber leichteres Regime eine Fragmentierung des Binnenmarkts vermeiden würde.
Warum sie ersetzt wurde
Das ehrliche Urteil über NIS 1 lautet, dass sie das Konzept bewies, aber hinter den Erwartungen zurückblieb. Drei Schwächen traten immer wieder auf. Der Anwendungsbereich war zu eng und ließ ganze Sektoren und die meisten mittelgroßen Organisationen außerhalb jeder Pflicht, selbst wenn ihr Ausfall geschadet hätte. Die Durchsetzung war ungleichmäßig, weil die Umsetzung es jedem Mitgliedstaat überließ zu entscheiden, wer im Anwendungsbereich lag und wie hart durchzugreifen war, sodass ein Unternehmen in einem Land reguliert und gleich nebenan unbehelligt sein konnte. Und die Vorfallmeldung war faktisch zahnlos, mit Schwellenwerten und Fristen, die so stark variierten, dass die grenzüberschreitende Sichtbarkeit, die die Richtlinie schaffen sollte, nie wirklich zustande kam.
NIS 2 war die Antwort auf alle drei. Sie weitete den Anwendungsbereich auf weit mehr Sektoren und auf ein größenbasiertes Kriterium aus, ersetzte die OES/DSP-Aufteilung durch wesentliche und wichtige Einrichtungen, straffte die Vorfallmeldung in klarere Phasen und stellte echte Verantwortlichkeit der Leitung sowie Sanktionen hinter die Pflichten. Für einen Praktiker von heute ist NIS 1 vor allem Kontext: Sie erklärt die Form der Regeln, unter denen Sie nun leben, und die Reflexe, die Ihre Organisation vor dem Neuaufbau entwickelt hat.
Häufig gestellte Fragen
01Ist NIS 1 noch in Kraft?
Nein. NIS 1 wurde aufgehoben und durch die NIS-2-Richtlinie ersetzt, die im Oktober 2024 anwendbar wurde. Die Pflichten ergeben sich nun aus NIS 2 und ihrer nationalen Umsetzung, nicht aus der Richtlinie von 2016.
02Was ist der Unterschied zwischen einem OES und einem DSP unter NIS 1?
Betreiber wesentlicher Dienste wurden von den Mitgliedstaaten einzelfallweise in kritischen Sektoren identifiziert und unterlagen einer proaktiven Aufsicht. Anbieter digitaler Dienste, etwa Cloud-Anbieter und Online-Marktplätze, fielen automatischer in den Anwendungsbereich und wurden unter einem leichteren, überwiegend reaktiven Regime beaufsichtigt.
03Warum galt NIS 1 als zu schwach?
Ihr Anwendungsbereich war eng, die Umsetzung machte die Durchsetzung zwischen den Mitgliedstaaten ungleichmäßig, und die Vorschriften zur Vorfallmeldung variierten so stark, dass die grenzüberschreitende Sichtbarkeit nie wie beabsichtigt funktionierte. NIS 2 wurde speziell geschrieben, um diese drei Lücken zu schließen.
04Wenn meine Organisation NIS 1 erfüllte, deckt das NIS 2 ab?
Nicht automatisch. NIS 2 erweitert den Anwendungsbereich, erhöht die Erwartungen an Risikomanagement und Meldung und fügt Verantwortlichkeit der Leitung hinzu. Ein NIS-1-Programm ist ein nützlicher Ausgangspunkt, benötigt aber eine Gap-Analyse gegenüber NIS 2.
05In welchem Verhältnis steht NIS 1 zur DSGVO?
Sie sind getrennt. Die DSGVO schützt personenbezogene Daten und wird von den Datenschutzbehörden durchgesetzt. Bei NIS 1 ging es um die betriebliche Sicherheit und Resilienz wesentlicher und digitaler Dienste. Ein Vorfall kann beide Regime zugleich auslösen.