Directive (EU) 2022/2555 — NIS2: measures for a high common level of cybersecurity across the Union

Scope

Die horizontale Cybersicherheitsrichtlinie der EU: Sie stuft Betreiber ein — darunter Eisenbahnverkehrsunternehmen und Infrastrukturbetreiber, im Verkehrssektor als wesentliche Einrichtungen gelistet —, verpflichtet zu Risikomanagementmaßnahmen mit persönlicher Verantwortung der Leitungsorgane und setzt gestufte Meldepflichten für Sicherheitsvorfälle mit erheblichen Sanktionen.

NIS2 ist der Grund, warum Cybersicherheit vom IT-Bereich in den Vorstand jeder größeren Eisenbahnorganisation gewandert ist. Anhang I führt den Schienenverkehr — Infrastrukturbetreiber und Eisenbahnverkehrsunternehmen — unter den Sektoren mit hoher Kritikalität, was sie je nach Größe zu wesentlichen oder wichtigen Einrichtungen macht; das löst die Risikomanagement-Basis des Art. 21 aus (Governance, Lieferkettensicherheit, Vorfallsbehandlung, Betriebskontinuität, Verschlüsselung, Schwachstellenmanagement) und die Meldekaskade 24h/72h/ein Monat des Art. 23, wobei die Leitungsorgane die Maßnahmen persönlich verantworten. Für die technische Ebene kombiniert der Sektor NIS2 mit TS 50701/prEN 50701 und der IEC-62443-Reihe: Die Richtlinie sagt, welche Ergebnisse verpflichtend sind, die Normen sagen, wie ein Eisenbahnsystem sie erreicht. Die nationalen Umsetzungen gelten seit Oktober 2024.