NIS2-Richtlinie umsetzen – sind Sie vorbereitet?

NIS2-Richtlinie – aktualisiert & verbessert

Mit Einführung der Richtlinie Netz- und Informationssystemsicherheit (NIS) hat die Europäische Union 2016 einen wichtigen Schritt gemacht, um die Cybersicherheit der Mitgliedstaaten zu stärken und Meldepflichten bei Sicherheitsvorfällen festzulegen. Doch die Umsetzung war nicht konsistent und offenbarte Schwachstellen. Besonders problematisch waren folgende Punkte:

• die unterschiedlichen Interpretationen der Vorschriften durch die Mitgliedstaaten
• eine begrenzte Reichweite bezüglich betroffener Sektoren und Unternehmen
• Herausforderungen bei der grenzüberschreitenden Zusammenarbeit im Falle von Cybersicherheitsvorfällen

Die jetzt überarbeitete Version schließt diese Lücken, indem sie klare Vorgaben macht, den Anwendungsbereich erweitert und die Zusammenarbeit zwischen den Mitgliedstaaten verbessert. Ziel dabei ist, ein hohes Sicherheitsniveau für Netz- und Informationssysteme in der gesamten EU zu gewährleisten (NIS2-Richtlinie PDF). Oder mit anderen Worten: einen Mindeststandard setzt.

In Deutschland wird die NIS2-Richtlinie durch das NIS2-Umsetzungsgesetz (Referententwurf Mai 2024) verbindlich umgesetzt. Bis voraussichtlich Oktober 2024 müssen EU-Mitgliedsstaaten die NIS2-Richtlinie in lokale Gesetzgebung überführen und nationale Betreiber mit Cybersicherheit regulieren (dazu: NIS2-Umsetzungsgesetz verzögert sich). Doch mit der NIS2-Richtlinie steigt nicht nur die Zahl der betroffenen Unternehmen, sondern auch die Anforderungen an diese. Ignoranz oder Unwissen werden mit hohen Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes bestraft.

Anforderungen an Unternehmen

Betroffene Unternehmen müssen gemäß NIS2-Richtlinie bzw. NIS2-Umsetzungsgesetz verschiedene technische und organisatorische Maßnahmen ergreifen.

Notwendige Maßnahmen:

• Richtlinien zur Cybersicherheit & Risiko-Management: Unternehmen müssen klare Richtlinien etablieren, um so ihre Cybersicherheitsrisiken zu identifizieren, zu bewerten und zu mindern.
• Incident- und Business Continuity Management: Es müssen Prozesse vorhanden sein, um auf Sicherheitsvorfälle reagieren zu können sowie Strategien zur Aufrechterhaltung kritischer Geschäftsprozesse (s. Thema Notfallhandbuch).
• Überwachung der Lieferketten: Unternehmen haben sicherzustellen, dass ihre Lieferanten ebenfalls angemessene Sicherheitsmaßnahmen treffen.
• Bewertung der Maßnahmeneffektivität: Die Wirksamkeit der implementierten Sicherheitsmaßnahmen muss regelmäßig überprüft werden.
• Maßnahmen zur personellen Sicherheit: Mitarbeiter*innen sollten hinsichtlich potentieller Cyberbedrohungen geschult werden.
• Umsetzung von kryptographischen Maßnahmen: Verschlüsselungstechnologien sollten zum Schutz sensibler Daten eingesetzt werden.
• Zugangskontrollen: Der Zugriff auf Systeme sollte durch sichere Authentifizierungsverfahren streng reguliert werden.
• Asset Management: Alle Vermögenswerte sollten genau dokumentiert sein, um eine effektive Überwachung zu ermöglichen.
• Sichere Kommunikationsmöglichkeiten: Kommunikationssysteme müssen auch im Notfall funktionstüchtig bleiben.

Die oben genannten Maßnahmen sollen nach dem aktuellen Stand der Technik umgesetzt werden. Erwägungsgrund 89 (NIS2-Richtlinie PDF 89) enthält daher ergänzende Punkte, um die Netz- und Informationssysteme abzusichern. Zum Beispiel:

• Zero Trust-Grundsätze
• Gerätekonfiguration
• regelmäßige Softwareupdates
• Netzwerksegmentierung
• die Nutzung künstlicher Intelligenz

Hinzu kommen noch Melde- und Registrierungspflichten, für die im Unternehmen entsprechende Verfahren definiert werden müssen.

Fazit: Sehen Sie es positiv!

Die neuen Anforderungen sind für Unternehmen ohne etabliertes Informationssicherheits-Management eine Herausforderung. Interne Prozesse im Unternehmen gilt es zu überprüfen und anzupassen. Das kann auch bedeuten, dass weitere Rollen (sogar Teams) definiert und etabliert werden müssen, etwa um Risiken bewerten und behandeln zu können. Systeme zur Angriffserkennung unterstützen dabei ergänzend mit wertvollen Informationen.

Und was passiert, wenn man die neue Richtlinie und das NIS2-Umsetzungsgesetz einfach nicht beachtet? Gar keine gute Idee! Unternehmen müssen mit rechtlichen Konsequenzen einschließlich hoher Geldbußen rechnen. Und nicht nur das! Da betroffene Unternehmen auch Einkaufsstrategie und Lieferketten prüfen müssen, bedeutet das unter Umständen den Verlust langjähriger Partnerschaften und Aufträge für Zulieferer.

Wettbewerbsvorteil: Prädikat „sicher“

Und trotzdem sollten Unternehmen diese Notwendigkeit nicht nur als Belastung sehen. Sondern vielmehr auch als Chance, ihre eigene Widerstandsfähigkeit gegenüber Cyberbedrohungen zu stärken. Die Umsetzung kann auch helfen, sich am Markt als vertrauenswürdiger Partner zu positionieren, denn Kunden legen zunehmend Wert auf Datenschutz und -sicherheit.