Ressourcen

Das an die EU-Richtlinie NIS2 angeglichene Gesetz über Informationssicherheit bringt konkrete Pflichten für Unternehmen in Serbien mit sich — von der Risikobewertung bis zur Vorfallmeldung. Hier finden Sie einen Überblick über den Rechtsrahmen, die Pflichten nach Sektoren und das Verfahren zur Vorfallmeldung. Wenn Sie nicht sicher sind, ob dies Ihr Unternehmen betrifft, nutzen Sie zuerst die kostenlose NIS2-Prüfung.

Aktuell: Serbiens Energiesektor im Visier von Cyberangriffen | Ihr Onlineshop ist ein Ziel | Beschleunigte NIS2-Durchsetzung in der EU

Leitfaden — häufig gestellte Fragen zu NIS2

Rechtsrahmen

Die zentrale Vorschrift ist das Gesetz über Informationssicherheit, das der Logik der EU-Richtlinie NIS2 (2022/2555) folgt, jedoch mit nationaler Terminologie — statt „wesentlicher“ und „wichtiger“ Einrichtungen verwendet das Gesetz die Begriffe Betreiber eines prioritären IKT-Systems und Betreiber eines wichtigen IKT-Systems. Durchführungsvorschriften werden schrittweise erlassen; bis zu ihrer Verabschiedung gelten die zuvor erlassenen Vorschriften.

Das Gesetz verpflichtet alle Betreiber unabhängig vom Sektor zu drei Grundmaßnahmen: Annahme eines Dokuments zur Risikobewertung, Anwendung der vorgeschriebenen Schutzmaßnahmen und Meldung von Vorfällen an die zuständigen Behörden. Sektorvorschriften (siehe unten) ergänzen dieses Minimum um spezifische Anforderungen.

Pflichten nach Sektoren

Das Gesetz teilt Betreiber je nach Sektor und Unternehmensgröße in prioritäre und wichtige ein — dieselbe Einteilung verwendet auch unser Prüftool. Wählen Sie Ihren Sektor aus, um zu sehen, welche Vorschriften und zuständigen Behörden neben den oben genannten allgemeinen Pflichten konkret für Ihre Tätigkeit gelten.

Wählen Sie oben einen Sektor aus, um zu sehen, welche Vorschriften konkret für Ihre Tätigkeit gelten.

Prioritärer Sektor

Energie

Unternehmen aus den Bereichen Strom, Gas, Öl, Fernwärme und Wasserstoff zählen zu den Betreibern prioritärer IKT-Systeme. Neben den allgemeinen Pflichten nach dem Gesetz über Informationssicherheit gelten für den Sektor auch besondere Vorschriften zur Risikovorsorge in der Versorgung.

Prioritärer Sektor

Verkehr

Luft-, Schienen-, Schiffs- und Straßenverkehr — Infrastrukturbetreiber und Beförderer mit erheblichem Verkehrsaufkommen unterliegen prioritären Pflichten.

Prioritärer Sektor

Bankwesen und Finanzen

Banken, Versicherungen, Pensionsfonds, Leasing- und Zahlungsinstitute haben den am weitesten entwickelten Regulierungsrahmen in Serbien — die Nationalbank Serbiens (NBS) schreibt unabhängig vom Gesetz über Informationssicherheit detaillierte IKT-Standards vor, die parallel gelten.

  • NBS — Mindeststandards für die Verwaltung von IKT-Systemen
  • NBS — Beschluss über Mindeststandards für die Verwaltung von IKT-Systemen von Finanzinstituten
  • NBS — Regeln zur Auslagerung von Tätigkeiten an Dritte (Outsourcing)
  • NBS — technische Authentifizierungsstandards und Standards für die Videoidentifikation
Prioritärer Sektor

Gesundheitswesen

Gesundheitseinrichtungen, Hersteller und Händler von Arzneimitteln sowie Einrichtungen, die Gesundheitsdaten von Patienten verwalten, unterliegen prioritären Pflichten — zusätzlich gilt der besondere Schutz von Gesundheitsdaten als sensible Kategorie personenbezogener Daten.

Prioritärer Sektor

Digitale Infrastruktur und IKT-Dienste

DNS-Anbieter, Rechenzentren, Cloud-Anbieter, Telekommunikationsbetreiber und Unternehmen, die IKT-Systeme für andere verwalten (MSP/MSSP), stehen im Mittelpunkt der NIS2-Pflichten — dieser Sektor wirkt sich am direktesten auf die Sicherheit der gesamten digitalen Infrastruktur des Landes aus.

Prioritärer Sektor

Staatsverwaltung

Behörden der Staatsverwaltung und Einheiten der lokalen Selbstverwaltung sind unabhängig von ihrer Größe verpflichtet — der öffentliche Sektor wird im Gesetz besonders behandelt.

Wichtiger Sektor

Postdienste

Post- und Kurierdienste mit erheblichem Marktanteil unterliegen den Pflichten für wichtige Sektoren.

  • RATEL — Aufsicht über Postdienste
Wichtiger Sektor

Lebensmittelproduktion

Größere Lebensmittelhersteller und -händler unterliegen den Pflichten für wichtige Sektoren, insbesondere wenn sie Teil einer größeren Lieferkette mit prioritären Einrichtungen sind.

Wichtiger Sektor

Chemische Industrie

Herstellung und Vertrieb von Chemikalien — die Pflicht hängt von der Unternehmensgröße und dem Produktionsumfang ab.

Wichtiger Sektor

Digitale Anbieter

Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke — unabhängig vom physischen Standort des Unternehmens können sie der Aufsicht unterliegen, wenn sie ihre Dienste Nutzern in Serbien anbieten.

Vorfallmeldung — Schritt für Schritt

Das Gesetz verpflichtet Betreiber, einen erheblichen Sicherheitsvorfall spätestens 24 Stunden nach Kenntniserlangung zu melden. Hier ist ein praktisches Verfahren auf Grundlage des Gesetzes und der Abläufe des Nationalen CERT:

1. Erkennung und Bewertung

Stellen Sie fest, ob der Vorfall real ist, bewerten Sie die Gefahrenstufe (niedrig, mittel, hoch, sehr hoch) und halten Sie den Zeitpunkt der Entdeckung, die Art des Vorfalls, die betroffenen Systeme und das Schadensausmaß fest. Ab mittlerer Stufe ist die Meldung an das Nationale CERT verpflichtend.

2. Erstmeldung (innerhalb von 24 Stunden)

Füllen Sie das Meldeformular auf cert.rs aus und geben Sie eine Beschreibung des Vorfalls, die geschätzten Folgen, die ergriffenen Maßnahmen und die Einschätzung der Gefahrenstufe an. Weist der Vorfall Merkmale einer Straftat auf, melden Sie ihn auch der Sonderstaatsanwaltschaft für Hightech-Kriminalität.

3. Regelmäßige Berichte

Aktualisieren Sie die Meldung während des Vorfalls über denselben Kanal unter Angabe der Meldungs-ID. Wenn der Vorfall Nutzer der Dienste betrifft, informieren Sie diese über Maßnahmen zur Schadensbegrenzung.

4. Abschlussbericht

Reichen Sie nach Beendigung des Vorfalls beim Nationalen CERT einen Abschlussbericht mit der endgültigen Ursachenanalyse, den ergriffenen Korrekturmaßnahmen und Nachweisen über die Behebung der Schwachstellen ein. Dieser Bericht dient als Grundlage für die jährliche Compliance-Prüfung.

Wichtige Kontakte

  • Nationales CERT Serbiens — cert.rs, info@cert.rs, Palmotićeva 2, Belgrad
  • Innenministerium — Abteilung für Hightech-Kriminalität — für Vorfälle mit Merkmalen einer Straftat
  • Ministerium für Information und Telekommunikation (MIT) — mit.gov.rs, Sektor für Informationssicherheit
  • Beauftragter für Informationen von öffentlicher Bedeutung und den Schutz personenbezogener Daten — poverenik.rs

Diese Seite bietet einen allgemeinen Überblick — jedes Unternehmen hat seine Besonderheiten. Für eine Bewertung speziell für Ihr Unternehmen nutzen Sie die kostenlose NIS2-Prüfung oder fordern Sie eine Beratung an.

Powered by