Hintergrund der NIS2-Richtlinie
Die NIS2-Richtlinie, eine Weiterentwicklung der ersten NIS-Richtlinie von 2016, adressiert die kritische Bedeutung von Cybersicherheit in Schlüsselsektoren der Wirtschaft und Gesellschaft. Angesichts der steigenden Zahl und Schwere von Cyberangriffen sowie der Abhängigkeit von digitalen Technologien, zielt die NIS2-Richtlinie darauf ab, die Sicherheitsbasis in der gesamten EU zu stärken und die Reaktionsfähigkeit auf Vorfälle zu verbessern.
Gemäß der aktualisierten Richtlinie sind nun betroffene Organisationen angehalten, ein breiteres Spektrum an Schutzmaßnahmen zu implementieren oder bereits bestehende zu intensivieren. Dies umfasst alles, von der Durchführung von Risikoanalysen, bis hin zur Etablierung von Verfahren für die Geschäftskontinuität und der Absicherung der Lieferkette, sowie der Einführung von Multi-Faktor-Authentifizierung. Lobenswert ist, dass die NIS2-Richtlinie konkrete Beispiele für Basismaßnahmen liefert. Die Regelung zur Unternehmensgröße („Size cap“) legt fest, dass kleinere Unternehmen, die über weniger Ressourcen verfügen, nicht zwingend die gleichen Standards erfüllen müssen wie größere Unternehmen.
Für Macher
Stärken Sie die Cyber-Resilienz Ihres Unternehmens mit der frühzeitigen Umsetzung der NIS2-Richtlinie – handeln Sie jetzt, um Compliance zu sichern und Risiken vorzubeugen.
Für Gewissenhafte
Sichern Sie die Zukunft Ihres Unternehmens durch sorgfältige Einhaltung der NIS2-Richtlinie und stellen Sie damit die Integrität und Sicherheit Ihrer Netz- und Informationssysteme sicher.
Für Beständige
Vertrauen Sie auf Beständigkeit und Sicherheit durch konsequente Befolgung der NIS2-Richtlinie, um Ihr Unternehmen langfristig vor Cyberrisiken zu schützen.
Verschärfte Berichtspflichten
Im Falle eines signifikanten Sicherheitsvorfalls sind Organisationen verpflichtet, diesen innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Eine erste Einschätzung ist binnen 72 Stunden zu liefern, gefolgt von einem ausführlichen Bericht innerhalb eines Monats.
Verstärkte Aufsicht
Das BSI wird voraussichtlich als regulierende Behörde fungieren, ausgestattet mit umfassenden Befugnissen. In extremen, wenn auch unwahrscheinlichen Fällen, kann das BSI der Geschäftsführung vorübergehend die Leitung des Unternehmens untersagen. Zudem könnten erhebliche Bußgelder bei Nichteinhaltung der Richtlinienforderungen drohen.
Verantwortung und Schulung der Geschäftsführung
Die NIS2 legt fest, dass die Geschäftsführung Verantwortlichkeiten im Bereich der Cybersicherheit nicht mehr einfach so auf andere übertragen darf. Sie ist nun gefordert (unter anderem) Risikomanagementmaßnahmen aktiv zu genehmigen. Die Richtlinie sieht zudem eine Schulungsverpflichtung für die oberste Führungsebene vor.
Umsetzung der NIS2-Richtlinie in Deutschland
In Deutschland wird die NIS2-Richtlinie durch nationale Gesetzgebung umgesetzt, die spezifische Anforderungen und Maßnahmen für deutsche Unternehmen festlegt. Die Bundesregierung arbeitet eng mit den relevanten Aufsichtsbehörden zusammen. Damit sollen die Einhaltung sichergestellt und Unternehmen bei der Umsetzung der erforderlichen Sicherheitsmaßnahmen unterstützt werden.
Kriterien – Welche Unternehmen sind betroffen?
Die Unternehmensgröße
Unternehmen mit mehr als 50 Mitarbeitenden und mehr als 10 Millionen Euro Umsatz im Jahr und/oder aus bestimmten Sektoren, sind von der NIS2 betroffen.
Der Sektor
Die NIS2 definiert 18 Unternehmenssektoren. Wie die Einteilung im deutschen Gesetz genau geregelt ist, steht noch nicht fest. Sie wird aber in jedem Fall den Vorgaben der EU-Richtlinie folgen. Einige Organisationen sind auch unabhängig von ihrer Größe betroffen. Das gilt zum Beispiel, wenn bei einem Ausfall Systemrisiken bestehen. Außerdem unterscheidet die NIS2 zwischen wesentlichen und wichtigen Unternehmen. Die deutsche Umsetzung wird dafür wahrscheinlich die Adjektive „wichtig“ und „besonders wichtig“ verwenden.
Gut zu wissen
Die NIS2 verpflichtet Unternehmen zu umfangreichen Risikomanagementmaßnahmen, auch innerhalb der eigenen Lieferkette. Deshalb sind zahlreiche Zulieferer indirekt von ihr betroffen, angefangen bei IT-Dienstleistern, bis hin zu Herstellern von Windturbinen.
Was sind wesentliche und wichtige Einrichtungen
Wesentliche Einrichtungen sind solche, die in Sektoren tätig sind, die als kritisch für die Aufrechterhaltung vitaler, gesellschaftlicher oder wirtschaftlicher Aktivitäten angesehen werden. Dazu gehören unter anderem:
- Energie (Strom, Gas, und Öl)
- Verkehr (Luft, Wasser, Schiene und Straße)
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasserversorgung und Abwasserentsorgung
- Digitale Infrastrukturen
Wichtige Einrichtungen umfassen eine breitere Palette von Sektoren, die zwar nicht als „kritisch“ im Sinne der wesentlichen Dienste gelten, deren Ausfall oder Beeinträchtigung jedoch immer noch erhebliche soziale oder wirtschaftliche Auswirkungen haben könnte. Diese Kategorie wurde in der NIS2-Richtlinie neu eingeführt und erweitert den Anwendungsbereich auf folgende Bereiche:
- Post- und Kurierdienste
- Abfallwirtschaft
- Herstellung, einschließlich der Herstellung kritischer Produkte wie Pharmazeutika und medizinische Geräte
- Digitale Dienste, einschließlich Cloud-Computing-Dienste, soziale Netzwerke und Online-Marktplätze
Fazit:
Die NIS2-Richtlinie stellt eine wesentliche Verstärkung der Cyber-Sicherheitsanforderungen in der EU dar. Für deutsche Unternehmen bedeutet dies, dass sie ihre Anstrengungen zur Gewährleistung der Cybersicherheit verstärken müssen. Angesichts der Komplexität und der ernsthaften Konsequenzen bei Nichteinhaltung ist es entscheidend, professionelle Unterstützung in Anspruch zu nehmen. Die SMK Group steht bereit, um Ihr Unternehmen durch den Prozess der NIS2-Compliance zu führen und eine solide Grundlage für Ihre Cyberresilienz zu schaffen. Kontaktieren Sie uns heute, um mehr zu erfahren und Ihre Cyber-Sicherheitsstrategie zu stärken.
NIS2-Richtlinie Compliance-Checkliste für Unternehmen
- Überprüfen Sie, ob Ihr Unternehmen zu den betroffenen Sektoren oder Arten von Organisationen gehört, die unter die NIS2-Richtlinie fallen.
- Informieren Sie sich über die grundlegenden Anforderungen der NIS2-Richtlinie und die spezifischen Anforderungen, die auf Ihr Unternehmen zutreffen könnten.
- Ermitteln Sie, welche Behörden in Deutschland für die Überwachung und Durchsetzung der NIS2-Richtlinie zuständig sind.
- Führen Sie eine interne Bewertung durch, um festzustellen, wie gut Ihr Unternehmen auf die Einhaltung der NIS2-Richtlinie vorbereitet ist.
- Erstellen Sie einen Aktionsplan, der die notwendigen Schritte zur Einhaltung der Richtlinie umfasst, einschließlich Zeitrahmen und Verantwortlichkeiten.
- Bestimmen Sie, ob externe Beratungen oder Dienstleistungen erforderlich sind, um die Compliance-Anforderungen zu erfüllen.
- Entwickeln Sie ein umfassendes Risikomanagementprogramm, das die Identifizierung, Bewertung und Behandlung von Cybersicherheitsrisiken umfasst.
- Implementieren Sie die erforderlichen technischen und organisatorischen Maßnahmen, um die Sicherheit Ihrer Netz- und Informationssysteme zu gewährleisten.
- Planen und führen Sie regelmäßige Sicherheitsaudits und -überprüfungen durch, um die Wirksamkeit Ihrer Sicherheitsmaßnahmen zu bewerten.
- Entwickeln Sie Verfahren für die schnelle Erkennung von Sicherheitsvorfällen und deren Meldung an die zuständigen nationalen Behörden.
- Schulen Sie Ihr Personal hinsichtlich der Meldepflichten und des Umgangs mit Sicherheitsvorfällen.
- Stellen Sie sicher, dass alle Maßnahmen und Prozesse zur Einhaltung der NIS2-Richtlinie ordnungsgemäß dokumentiert sind.
- Bewahren Sie Aufzeichnungen über Sicherheitsvorfälle und Meldungen sowie über die ergriffenen Maßnahmen zur Risikominderung auf.
- Richten Sie einen Prozess für die regelmäßige Überprüfung und Aktualisierung Ihrer Sicherheitspraktiken und Compliance-Maßnahmen ein.
- Bleiben Sie auf dem Laufenden bezüglich Änderungen der rechtlichen Anforderungen und Best Practices in der Cybersicherheit.
Weitere Artikel zu
