Die NIS2-Richtlinie (EU 2022/2555) erweitert den Geltungsbereich der Cybersicherheitsregulierung in der EU erheblich. Für Malta bedeutet dies eine wesentliche Zunahme der Anzahl von Organisationen, die nun verbindlichen Cybersicherheitsanforderungen, Meldepflichten bei Vorfällen und Managementhaftungsregeln unterliegen. Ob Sie im Finanzdienstleistungs-, iGaming-, digitalen Infrastruktur-, Gesundheits- oder einem anderen Sektor tätig sind – NIS2 gilt wahrscheinlich für Ihre Organisation.
Malta und die NIS2-Umsetzung
Die EU-Mitgliedstaaten mussten die NIS2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Malta hat die Richtlinie durch nationale Gesetzgebung umgesetzt, die die Malta Information Technology Agency (MITA) als zentrale zuständige Behörde für Cybersicherheit bestimmt. MITA, die dem Büro des Premierministers untersteht, ist zuständig für die Umsetzung der NIS2-Anforderungen, den Betrieb von MaltaCERT (dem nationalen CSIRT) und die Koordination der nationalen Incident Response.
Welche Organisationen in Malta betroffen sind
Wesentliche Einrichtungen (WE)
Wesentliche Einrichtungen unterliegen einer proaktiven Ex-ante-Aufsicht mit den höchsten Sanktionen (bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes). In Malta als wesentlich eingestufte Sektoren umfassen:
- Energie (Strom, Öl, Gas, Fernärme und -kälte, Wasserstoff)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Banken- und Finanzmarktinfrastruktur
- Gesundheitssektor (Krankenhäuser, Labore, Pharmahersteller)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (DNS-Anbieter, Cloud-Computing, Rechenzentren, CDN)
- IKT-Dienstleistungsmanagement (MSP und MSSP)
- Öffentliche Verwaltung (Zentralregierung)
- Raumfahrt
Wichtige Einrichtungen (WI)
Wichtige Einrichtungen unterliegen einer reaktiven Ex-post-Aufsicht mit niedrigeren Sanktionsobergrenzen (bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes). Sektoren umfassen Post- und Kurierdienste, Abfallbewirtschaftung, Lebensmittelproduktion, Fertigung und digitale Anbieter.
Warum NIS2 für Malta besonders relevant ist
Malta beherbergt eine der größten Konzentrationen von iGaming- und Online-Glücksspielunternehmen in Europa, reguliert durch die Malta Gaming Authority (MGA). Viele dieser Betreiber verlässt sich auf komplexe digitale Infrastruktur, Cloud-Umgebungen und Technologieanbieter von Drittparteien, was sie in den Geltungsbereich von NIS2 als digitale Dienstleister oder IKT-Dienstleistungsmanagement-Einrichtungen bringt.
Maltas Finanzdienstleistungssektor – umfassend Investmentfirmen, Banken, Versicherungen und Zahlungsinstitute, reguliert durch die MFSA – sieht sich gleichzeitigen Pflichten unter NIS2 und DORA gegenüber.
Kernpflichten aus NIS2
NIS2 Artikel 21 legt die Mindestmaßnahmen des Cybersicherheits-Risikomanagements fest:
- Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
- Incident Handling – Erkennung, Analyse, Eindämmung und Wiederherstellung
- Geschäftskontinuität – Backup-Management, Notfallwiederherstellung und Krisenmanagement
- Lieferkettensicherheit – Sicherheit in Beziehungen mit direkten Lieferanten und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von Informationssystemen
- Grundlegende Cyber-Hygienepraktiken und Cybersicherheitsschulungen
- Richtlinien und Verfahren zum Einsatz von Kryptographie und Verschlüsselung
- Einsatz von Multi-Faktor-Authentifizierung
Meldepflichten bei Vorfällen
- Frühwarnung – innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls
- Vorfallsmeldung – innerhalb von 72 Stunden mit einer ersten Einschätzung von Schwere und Auswirkungen
- Abschlussbericht – innerhalb eines Monats nach der Vorfallsmeldung
Managementhaftung nach NIS2
Nach Artikel 20 müssen Leitungsorganmitglieder Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und Cybersicherheitsschulungen absolvieren. Einzelne Manager können bei Compliance-Versagen persönlich haftbar gemacht werden.
NIS2-Readiness in Malta erreichen
- Klassifizierung bestimmen: Bestätigen Sie, ob Ihre Organisation als wesentliche oder wichtige Einrichtung eingestuft wird
- Bei MITA registrieren: Sobald Registrierungsmechanismen etabliert sind
- Gap-Assessment durchführen: Messen Sie Ihre aktuelle Cybersicherheitslage gegenüber den NIS2-Artikel-21-Anforderungen
- Incident-Response-Verfahren aktualisieren: Die 24h/72h/1-Monat-Meldefristen integrieren und Kontakt mit MaltaCERT aufnehmen
- Vorstand einbeziehen: Management-Genehmigung und -schulungen sicherstellen
- Lieferkettensicherheit stärken: Sicherheitspraktiken der Hauptlieferanten bewerten
- MFA und Verschlüsselung implementieren: Explizite Anforderungen nach Artikel 21(2)(j)
Fazit
NIS2 stellt eine grundlegende Veränderung der Cybersicherheitsregulierung für Malta dar. Organisationen in den Sektoren iGaming, Finanzdienstleistungen, digitale Infrastruktur und Technologie – die das Rückgrat von Maltas Wirtschaft bilden – müssen strukturierte, vom Vorstand genehmigte Cybersicherheitsprogramme nachweisen.