EU-Durchführungsverordnung 2024/2690: Für wen gilt sie?

Da sitzt ein Unternehmen und hat sich gerade halbwegs damit abgefunden, dass es sich mit NIS-2 beschäftigen muss. Dann landet die nächste Fundstelle auf dem Tisch: „Durchführungsverordnung (EU) 2024/2690“. 34 Seiten, ein Anhang mit 49 Unterthemen und Verweise auf weitere Richtlinien, Verordnungen und Definitionen. Und irgendwo sitzt jemand mit einem ISO 27001-Zertifikat in der Hand und fragt sich: „Gilt das jetzt auch noch für uns?“

Die erfreuliche Antwort lautet: vielleicht nicht. Die weniger erfreuliche lautet: Wenn Sie zu einer von elf bestimmten Unternehmensarten gehören, gilt die Verordnung nicht irgendwann nach einer freundlichen Übergangsphase, sondern unmittelbar.

Die kurze Antwort

Die EU-Durchführungsverordnung 2024/2690 konkretisiert NIS-2 für elf Gruppen von Digital-, Infrastruktur- und Vertrauensdiensteanbietern. Sie legt für diese Unternehmen fest,

• wie die Cybersicherheits-Risikomanagementmaßnahmen aus NIS-2 technisch und methodisch auszugestalten sind und
• wann ein Sicherheitsvorfall als erheblich gilt.

Sie gilt nicht für jedes Unternehmen, das unter NIS-2 fällt. Ein Krankenhaus, Energieversorger oder Maschinenbauunternehmen kann NIS-2-pflichtig sein, ohne deshalb automatisch Adressat dieser Durchführungsverordnung zu werden.

Gehören Sie dagegen beispielsweise zu den Cloud-Computing-Anbietern, Managed Service Providern oder DNS-Diensteanbietern (u.a.), sollten Sie genauer hinsehen. Dann reicht die Feststellung „NIS-2 machen wir bereits, indem wir § 30 Abs. (2) BSIG umsetzen“ nicht aus. Die Verordnung enthält sehr konkrete Anforderungen an Policies, Risikomanagement, Protokollierung, Notfallvorsorge, Lieferanten, Zugriffe, Assets und viele weitere Bereiche.

Was ist die EU-Durchführungsverordnung 2024/2690?

NIS-2 ist eine EU-Richtlinie. Richtlinien müssen grundsätzlich von den Mitgliedstaaten in nationales Recht umgesetzt werden. Deshalb sieht NIS-2 in Deutschland rechtlich etwas anders aus als beispielsweise in Österreich, Frankreich oder Italien.

Die EU 2024/2690 ist dagegen eine Verordnung. Sie ist in allen ihren Teilen verbindlich und gilt unmittelbar in den Mitgliedstaaten. Sie wurde am 18. Oktober 2024 veröffentlicht und gilt seit dem 7. November 2024. Es braucht also kein deutsches Gesetz, das ihren Anhang noch einmal abschreibt und feierlich für anwendbar erklärt.

Die Verordnung besteht aus zwei großen Blöcken:

1. Artikel 2 und der Anhang konkretisieren die technischen und methodischen Anforderungen an die Cybersicherheits-Risikomanagementmaßnahmen.
2. Artikel 3 bis 14 bestimmen allgemeine und anbieterspezifische Schwellen, ab denen ein Sicherheitsvorfall als erheblich gilt.

Die Meldefristen selbst stehen weiterhin in NIS-2 und in den nationalen Verfahren. Die Durchführungsverordnung hilft vor allem bei der Frage, ob ein Vorfall erheblich ist.

Für welche elf Anbietergruppen gilt die EU 2024/2690?

Der vollständige Titel der Verordnung ist ungefähr so kurz und eingängig wie die Bedienungsanleitung eines Kernkraftwerks. Dafür nennt er bereits sämtliche Adressaten. Etwas handlicher sieht die Liste so aus:

Diese Tabelle ist eine erste Orientierung, keine zuverlässige Selbsteinstufung nach dem Prinzip „Klingt ungefähr nach uns, dann sind wir es wohl“. Hinter mehreren Begriffen stecken Legaldefinitionen mit eigenen Verweisketten.

Ein gewöhnlicher Webhoster ist beispielsweise nicht automatisch Cloud-Anbieter, Rechenzentrumsdiensteanbieter und MSP in Personalunion. Ein Unternehmen wird auch nicht zum MSP, nur weil seine IT-Abteilung die eigene IT verwaltet. Und ein Domainregistrar ist nicht dasselbe wie ein TLD-Namenregister oder DNS-Diensteanbieter.

Genau diese Abgrenzungen werden wir in eigenen Beiträgen vertiefen und diesen Artikel nach und nach mit den Entscheidungshilfen verlinken.

Drei Fragen entscheiden über die Anwendbarkeit

1. Erbringen Sie wirklich einen der elf Dienste?

Entscheidend ist nicht, was auf Ihrer Website unter „Unsere Lösungen“ steht. Entscheidend ist, welche konkrete juristische Person welche Leistung tatsächlich erbringt.

Gerade bei MSP, MSSP, Cloud und Rechenzentren hilft Marketingvokabular kaum weiter. Manche Unternehmen nennen jedes Hosting „Cloud“. Andere verkaufen eine vollständig verwaltete Kundenumgebung als „ein bisschen Support“. Das Gesetz interessiert sich nicht für die schickere Bezeichnung, sondern für den Inhalt der Dienstleistung.

2. Erreichen Sie die relevante Unternehmensgröße?

Für Cloud, Rechenzentren, CDN, MSP, MSSP, Online-Marktplätze, Suchmaschinen und soziale Netzwerke greift im Normalfall die NIS-2-Größenlogik. Vereinfacht gesagt sind mittlere und große Unternehmen erfasst.

Dabei darf man nicht nur die einzelne GmbH betrachten und zufrieden feststellen, dass dort lediglich 38 Personen arbeiten. Die europäische KMU-Logik berücksichtigt auch Partnerunternehmen und verbundene Unternehmen. Wer Teil einer Gruppe ist, sollte deshalb nicht mit dem Taschenrechner ausschließlich vor der eigenen Lohnliste stehen bleiben.

DNS-Diensteanbieter, TLD-Namenregister und Vertrauensdiensteanbieter können dagegen unabhängig von ihrer Größe erfasst sein.

3. Greift eine Ausnahme oder ein größenunabhängiger Sonderfall?

Unternehmen unterhalb der üblichen Größenschwelle sind nicht automatisch aus dem Spiel. NIS-2 kennt Sonderfälle, etwa bei besonders kritischen Diensten, erheblichen Systemrisiken oder einer Einstufung als kritische Einrichtung.

Umgekehrt können sektorspezifische Regelungen eine Rolle spielen. Im Finanzsektor ist beispielsweise zu prüfen, wie sich NIS-2 und DORA zueinander verhalten. Unser Vergleich von DORA und ISO 27001 zeigt bereits, warum zwei Regelwerke mit ähnlichen Themen trotzdem nicht dasselbe sind.

Was verlangt der Anhang der Verordnung?

Der Anhang verteilt seine Anforderungen auf 13 Themenfelder mit insgesamt 49 Unterthemen. Er behandelt:

1. Sicherheitskonzepte sowie Rollen und Verantwortlichkeiten,
2. Risikomanagement,
3. Incident Management,
4. Business Continuity und Krisenmanagement,
5. Lieferkettensicherheit,
6. Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen,
7. Bewertung der Wirksamkeit,
8. Cyberhygiene, Awareness und Schulungen,
9. Kryptografie,
10. Personalsicherheit,
11. Zugriffskontrolle,
12. Asset Management sowie
13. physische Sicherheit und Umgebungssicherheit.

Wer bereits ein belastbares ISMS betreibt, wird viele Themen wiedererkennen. Wer bisher nur einen Ordner namens „NIS2 final wirklich final“ besitzt, dürfte etwas mehr Freude bekommen.

Die Detailtiefe ist beachtlich und geht wirklich knietief ins Maschinenöl. Es geht nicht nur um wohlklingende Grundsätze. Die Verordnung fragt unter anderem nach dokumentierten Überprüfungen, Verantwortlichkeiten, Risikobehandlungsplänen, Anbieterregistern, Asset-Inventaren, Protokollierungskonzepten, Wiederherstellungszielen, Backup-Tests, Schwachstellenbehandlung und konkreten Regeln für privilegierte Zugänge.

Das NIS-2-Risikomanagement ist damit ebenso wenig eine einmalig ausgefüllte Tabelle wie Business Continuity Management ein Word-Dokument mit der Überschrift „Im Notfall rufen wir den Admin an“ ist.

Die Verordnung ist konkreter, als viele erwarten

ISO-Managementsystemnormen lassen Unternehmen an vielen Stellen bewusst Spielraum. Die EU 2024/2690 wird stellenweise deutlich kleinteiliger. Einige Beispiele:

• Das Leitungsorgan muss das übergeordnete Sicherheitskonzept mindestens jährlich und zusätzlich anlassbezogen überprüfen; das Ergebnis ist zu dokumentieren.
• Risikobewertung und Risikobehandlungsplan müssen mindestens jährlich und anlassbezogen überprüft werden.
• Mindestens eine Person muss gegenüber dem Leitungsorgan direkt für Netz- und Informationssicherheit verantwortlich sein.
• Wiederholte, einzeln nicht erhebliche Vorfälle müssen mindestens vierteljährlich daraufhin betrachtet werden, ob sie zusammengerechnet erheblich werden.
• Für Logging, Lieferantenverträge, Asset-Inventare, Wiederherstellung und Netzsicherheit macht der Anhang zahlreiche konkrete Vorgaben.

Auch beim Umgang mit Dienstleistern reicht ein freundliches „Die werden schon wissen, was sie tun“ nicht. Die Verordnung verlangt eine strukturierte Betrachtung der Lieferkette. Wie schnell ein vermeintlich einfaches Thema umfangreich wird, zeigt unser Artikel über Lieferantenrisiken unter NIS-2.

Wann wird ein Sicherheitsvorfall erheblich?

Die Verordnung enthält zunächst allgemeine Kriterien. Ein Vorfall kann beispielsweise erheblich sein, wenn der direkte finanzielle Verlust mehr als 500.000 Euro oder fünf Prozent des Vorjahresumsatzes beträgt – maßgeblich ist der niedrigere Wert. Auch der tatsächliche oder mögliche Abfluss von Geschäftsgeheimnissen, schwere Gesundheitsschäden oder ein mutmaßlich böswilliger erfolgreicher Systemzugriff können die Erheblichkeit auslösen.

Dazu kommen eigene Schwellen für jede Anbietergruppe. Bei Cloud-, CDN-, MSP- und MSSP-Diensten spielt etwa die Dauer der Nichtverfügbarkeit sowie die Zahl oder der Anteil betroffener Nutzer eine Rolle. Für Vertrauensdienste, DNS und TLD-Namenregister gelten wiederum andere Kriterien.

Wichtig ist die Trennung:

• Die EU 2024/2690 bestimmt, wann ein Vorfall erheblich ist.
• NIS-2 und das zuständige nationale Verfahren bestimmen, wie und innerhalb welcher Fristen gemeldet wird.

Für die praktische Organisation eines Vorfalls brauchen Unternehmen ohnehin ein funktionierendes Informationssicherheitsvorfall-Management. Die gesetzliche Stoppuhr ist ein ausgesprochen ungünstiger Zeitpunkt, erstmals nach Zuständigkeiten und Telefonnummern zu suchen.

Reicht ein ISO 27001-Zertifikat für die EU 2024/2690?

Nein. Aber ein ordentlich betriebenes ISMS ist eine ausgesprochen gute Ausgangsbasis.

Die Verordnung nennt ISO/IEC 27001 und ISO/IEC 27002 bereits in ihren Erwägungsgründen als fachliche Grundlagen. Auch die ENISA Technical Implementation Guidance ordnet die Anforderungen internationalen Normen und Frameworks zu.

Das bedeutet jedoch nicht, dass ein Zertifikat als amtlicher Joker auf den Tisch gelegt werden kann. ISO 27001 deckt viele Strukturen und Themen ab, die Durchführungsverordnung verlangt aber an verschiedenen Stellen mehr Detailtiefe, feste Mindestintervalle oder bestimmte Nachweise. Außerdem gehören gesetzlicher Anwendungsbereich, behördliche Registrierung, Aufsicht, Sanktionen und Meldeschwellen nicht zum Zertifizierungsversprechen einer ISO 27001.

Die richtige Frage lautet deshalb nicht: „Haben wir ein Zertifikat?“ Sie lautet: „Welche Anforderungen der Verordnung werden durch unser ISMS bereits belastbar erfüllt – und wo bleiben Lücken?“

Eine ISO 27001-Gap-Analyse kann dafür eine gute methodische Grundlage sein. Für die EU 2024/2690 muss der Prüfkatalog allerdings um deren konkrete Anforderungen ergänzt werden.

So prüfen Sie, ob Sie betroffen sind

Gehen Sie nicht direkt mit einer 49-zeiligen Maßnahmenliste los. Klären Sie zuerst den Anwendungsbereich:

1. Listen Sie die tatsächlich erbrachten digitalen und technischen Dienstleistungen je juristischer Person auf.
2. Prüfen Sie diese Leistungen gegen die Legaldefinitionen der elf Anbietergruppen.
3. Ermitteln Sie die Unternehmensgröße einschließlich Partner- und verbundener Unternehmen.
4. Prüfen Sie größenunabhängige Sonderfälle und sektorspezifische Regelungen.
5. Klären Sie bei grenzüberschreitenden Leistungen, welcher Mitgliedstaat zuständig ist.
6. Dokumentieren Sie die Herleitung – auch dann, wenn das Ergebnis lautet, dass die Verordnung nicht anwendbar ist.

Erst danach lohnt sich das eigentliche Mapping der 49 Unterthemen auf vorhandene Policies, Prozesse, Verantwortliche und Nachweise.

Interesse geweckt?

Dieser Artikel ist der Ausgangspunkt unserer Serie zur EU-Durchführungsverordnung 2024/2690. Wir ergänzen nach und nach eigene Entscheidungshilfen zu allen elf Anbietergruppen, zu erheblichen Sicherheitsvorfällen und zum detaillierten Mapping auf ISO 27001. Sobald ein Beitrag veröffentlicht ist, wird er an der passenden Stelle verlinkt.

Wer nicht warten möchte, sollte mindestens die eigene Leistungskette, Unternehmensgröße und vorhandenen Sicherheitsmaßnahmen strukturiert aufnehmen. Denn „Wir nennen das intern gar nicht Managed Service“ ist keine belastbare rechtliche Einordnung.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.