Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 mit Durchführungsbestimmungen zur Richtlinie (EU) 2022/2555 im Hinblick auf die technischen und methodischen Anforderungen der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Präzisierung der Fälle, in denen ein Sicherheitsvorfall in Bezug auf DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter als erheblich gilt

Die VO (EU) 2024/2690 ist eine unmittelbar geltende Durchführungsverordnung der Kommission zur Konkretisierung von Artikel 21 und 23 der Richtlinie (EU) 2022/2555. Sie konkretisiert für bestimmte digitale und vertrauensbasierte Dienste die technischen und methodischen Anforderungen an Cybersicherheits-Risikomanagementmaßnahmen und legt abschließend fest, wann Sicherheitsvorfälle als erheblich gelten. Systematisch steht sie unterhalb der NIS-2-Richtlinie als deren Vollzugs- und Präzisierungsakt; zugleich hebt sie die frühere Durchführungsverordnung (EU) 2018/151 auf. Inhaltlich verbindet sie detaillierte Organisations-, Technik-, Kontroll- und Meldekriterien mit einem verhältnismäßigkeitsbezogenen Ansatz und einem umfangreichen Anhang zu Governance, Risikomanagement, Vorfallbehandlung, Lieferkette, Entwicklung, Zugriffskontrolle, Kryptografie sowie physischer Sicherheit. • Der Anwendungsbereich erfasst DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter. Adressiert sind vor allem die betroffenen Einrichtungen und ihre Leitungsorgane; mittelbar werden auch Mitarbeitende, direkte Anbieter, Diensteanbieter, Unterauftragnehmer, Nutzer und bei Vertrauensdiensten auch vertrauende Beteiligte einbezogen. Die Verordnung verlangt risikoadäquate Umsetzung und lässt bei Anforderungen, die nur soweit angemessen, anwendbar oder durchführbar sind, dokumentierte Abweichungsbegründungen sowie bei kleineren Strukturen Ausgleichsmaßnahmen zu. Ausgenommen von der Einordnung als erheblicher Sicherheitsvorfall sind planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten. • In der Praxis bedeutet dies für die erfassten digitalen Dienste einen verbindlichen Mindestkatalog an Governance-, Technik- und Nachweispflichten, der von der Leitungsorgansgenehmigung über Risiko- und Lieferkettenmanagement bis zu Protokollierung, Backup, Segmentierung und Multifaktor-Authentifizierung reicht. Zugleich schafft die Verordnung klare sektorbezogene Schwellen dafür, wann Ausfälle, eingeschränkte Verfügbarkeit, Datenbeeinträchtigungen, unbefugte Zugriffe oder physische Beeinträchtigungen meldepflichtig erheblich werden. Einrichtungen müssen daher ihre Sicherheitsorganisation, Dokumentation, Verträge und Vorfallbewertung so ausgestalten, dass erhebliche Vorfälle belastbar erkannt, eingeordnet und fristgerecht gemeldet werden können.

Stand: 01.07.2026

Betroffene Einrichtungen: • Pflicht1: Technische und methodische Anforderungen an Risikomanagementmaßnahmen im Bereich der Cybersicherheit aus dem Anhang festlegen, umsetzen, überwachen und regelmäßig überprüfen. • Pflicht2: Sicherheitsvorfälle anhand der horizontalen und sektorspezifischen Kriterien bewerten und erhebliche Vorfälle nach der NIS-2-Systematik melden. • Pflicht3: Abweichungen von Anforderungen, soweit diese nur angemessen, anwendbar oder durchführbar sind, nachvollziehbar dokumentieren. • Empfehlung: Die Pflichten in ein integriertes Governance-, Risiko-, Kontroll- und Nachweissystem mit belastbarer Dokumentation und Testzyklen überführen. Leitungsorgane: • Pflicht1: Das Konzept für die Sicherheit von Netz- und Informationssystemen förmlich genehmigen. • Pflicht2: Ergebnisse von Risikobewertungen, Restrisiken, Compliance-Überprüfungen und unabhängigen Überprüfungen entgegennehmen und beaufsichtigen. • Pflicht3: Rollen, Verantwortlichkeiten und Weisungsbefugnisse für Cybersicherheit regelmäßig überprüfen und aktualisieren. • Empfehlung: Die Überwachung über feste Berichtswege, Reifegradindikatoren und Eskalationsmechanismen institutionalisieren. Mitarbeitende: • Pflicht1: Sicherheitskonzepte, themenspezifische Konzepte und Verfahren der Einrichtung anwenden. • Pflicht2: Verdächtige Ereignisse über den eingerichteten Meldemechanismus melden. • Pflicht3: Cyberhygiene- und sicherheitsrelevante Schulungen entsprechend der jeweiligen Rolle wahrnehmen. • Empfehlung: Besonders privilegierte oder sicherheitsrelevante Rollen eng mit Zugriffs-, Protokollierungs- und Schulungsanforderungen verknüpfen. Direkte Anbieter und Diensteanbieter: • Pflicht1: Vertraglich vorgegebene Cybersicherheitsanforderungen der Einrichtung einhalten. • Pflicht2: Sicherheitsvorfälle, die ein Risiko für die Netz- und Informationssysteme der Einrichtung darstellen, unverzüglich melden. • Pflicht3: Vorgaben zu Unterauftragsvergabe, Schwachstellenbehebung, Prüfungsrechten und Rückgabe oder Entsorgung von Informationen bei Vertragsende beachten. • Empfehlung: Sicherheitsklauseln, Nachweise und Kommunikationswege vor Leistungsbeginn eindeutig festlegen.