EU-Richtlinie zur IT-Sicherheit Was NIS2 für Unternehmen bedeutet

Anbieter zum Thema

Governikus GmbH & Co. KG

secunet Security Networks AG

mgm technology partners GmbH

NIS2 ist dieses Jahr in Kraft getreten – EU-Mitgliedsstaaten haben nun bis Oktober 2024, um die Richtlinie in nationales Recht umzusetzen. Doch was bedeutet das für Unternehmen und wer genau ist von der Richtlinie überhaupt betroffen?

Die NIS2-Richtlinie dient dem Schutz kritischer Infrastrukturen (KRITIS) in Europa und reguliert im Speziellen die Anforderungen an die IT-Sicherheit. Als Teil der EU-Strategie zur Gestaltung der digitalen Zukunft Europas im Bereich der IT-Sicherheit ist NIS2 eine direkte Erweiterung der NIS-Richtlinie von 2016, die das erste Gesetz zur IT-Sicherheit auf EU-Ebene darstellte.

Notwendig wurde diese für Brüssel, weil die weltweit dynamische Bedrohungslandschaft sich stark auf die Sicherheit von Unternehmen und damit auf die Versorgungssicherheit ganzer Länder auswirkt. Um die gesamte Lieferkette zu schützen und damit die Versorgungssicherheit zu gewährleisten, ist es durch die enge wirtschaftliche Zusammenarbeit in der EU unabdingbar, auch bezüglich der IT-Sicherheit einen gemeinsamen Rahmen zu schaffen und voneinander zu profitieren. Die erste NIS-Richtlinie wurde in den einzelnen EU-Mitgliedstaaten recht unterschiedlich umgesetzt. Nun will die EU einen einheitlicheren Ansatz für den Schutz wichtiger Sektoren schaffen, da ein großer Cyber-Angriff enorme Auswirkungen auf die Wirtschaft jedes einzelnen Mitgliedstaats, aber auch auf die gesamte Union haben könnte. Dass in Europa alle im selben Boot sitzen, wird schnell deutlich, wenn man sich die Energieversorgung ansieht: Fällt beispielsweise das nationale Energieversorgungsunternehmen eines Landes für kurze oder längere Zeit aus, werden die Strompreise ansteigen. Da Strom an einer europäischen Börse gehandelt wird, werden die Preise dann in ganz Europa erhöht.

Nationale Umsetzung

Alle Mitgliedstaaten sind verpflichtet, innerhalb der Frist eine nationale IT-Sicherheitsstrategie und ein nationales Gesetz auf die Beine zu stellen. Das Gesetz soll Anforderungen an das Risikomanagement und die Berichterstattung jener Unternehmen enthalten, die unter die NIS2-Richtlinie fallen. Außerdem soll auf nationaler Ebene eine zentrale Kontaktstelle dafür eingerichtet werden. In Deutschland wird NIS2 voraussichtlich im IT-Sicherheitsgesetz 3.0 umgesetzt.

Betroffene Institutionen

Neben den Sektoren, die in der ersten NIS-Richtlinie enthalten waren, werden mit NIS2 auch Telekommunikations- und Datenanbieter, Fracht- und Schifffahrtsunternehmen, Social-Media-Plattformen, Anbieter von Rechenzentren und Organisationen, die in der Lebensmittel-, Abfall- oder Abwasserwirtschaft tätig sind, in die Pflicht genommen.

Die von den Vorschriften betroffenen Unternehmen werden grundsätzlich in zwei Kategorien unterteilt: Essential Entities (essenzielle Einrichtungen) und Important Entities (wichtige Einrichtungen). Zu Essential Entities zählt beispielsweise der Energie- und Transportsektor sowie das Bankwesen, außerdem die Gesundheits- und Trinkwasserversorgung. Unter Important Entities sind unter anderem Postdienste, die Abfallbewirtschaftung sowie die Herstellung von Chemikalien gelistet.

Ausnahmen bestehen für Unternehmen mit weniger als 250 Beschäftigten oder einem Jahresumsatz von weniger als 50 Millionen Euro. Da aber auch kleineren Unternehmen eine Verantwortung für die Lieferkette zukommt, kann man davon ausgehen, dass Zulieferer trotzdem – sofern sie für die in der Richtlinie erfassen Sektoren relevant sind – NIS2 einhalten müssen. Desweiteren werden öffentliche Verwaltungen von der Richtlinie erfasst, obwohl derzeit noch nicht klar ist, ob auch Kommunen betroffen sind.

Wie sich Unternehmen vorbereiten können

NIS2 stellt Unternehmen vor zahlreiche Herausforderungen. Um den Anforderungen gerecht zu werden, ist es wichtig, dass man sich rechtzeitig mit den Änderungen befasst und Zuständigkeiten festlegt. Führungskräfte müssen sich das nötige Fachwissen aneignen und Verantwortung übernehmen. Zu den wichtigsten Aspekten gehören: ein wirksames Risikomanagement einschließlich Risikoanalyse und durchdachter Reaktion auf Vorfälle, sowie die Meldung und transparente Behandlung von Cyber-Vorfällen. Für die Einhaltung der Vorgaben durch die Firma ist letztlich das Management verantwortlich – bei groben Verfehlungen können auch einzelne Personen zur Rechenschaft gezogen werden.

Außerdem können Unternehmen, die der Richtlinie nicht nachkommen, mit Geldstrafen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes belegt werden. In Anbetracht dessen scheint es wichtig, darauf hinzuweisen, dass es keine spezielle NIS2-Prüfliste geben wird, an die sich die Unternehmen halten müssen. Jede Institution ist selbst dafür verantwortlich, geeignete Maßnahmen zu sondieren, um Datensicherungsbestimmungen einzuhalten. Sicherheitslösungen können dabei zwar helfen, die Einrichtung der notwendigen Berichterstattung bleibt jedoch Angelegenheit des Unternehmens.

Statt einer Checkliste mit Mindestanforderungen beinhaltet NIS2 die Beschreibung eines angemessenen Schutzniveaus, dessen Umsetzung individuell beschritten wird. Man kann wohl davon ausgehen, dass Unternehmen auf jeden Fall verschiedene Firewall- und Intrusion-Prevention-Technologien in ihrem Netzwerk benötigen. Außerdem gehören Endpunktsicherheit und die Implementierung von Multi-Faktor-Authentifizierung, Datenverschlüsselung und Zugangsbeschränkung zum erwartbaren Standardrepertoire.

Access Management

Auch das Thema Access Management spielt in der NIS2-Richtlinie eine wichtige Rolle. Die erste Erwähnung im Amtsblatt findet man bei den Maßnahmen zum Risikomanagement. Hier wird ganz konkret die Erstellung von Konzepten für die Zugriffskontrolle und das Management von Anlagen verlangt. Zudem wird im Rahmen der Vorschrift zur allgemeinen Cyber-Hygiene die Einschränkung von Zugriffskonten auf Administrator-Ebene verlangt. Außerdem ist sowohl für Essential als auch Important Entities die Implementierung eines Identity and Accessmanagement-Systems vorgesehen.

Wie Konzepte und Software-Lösungen für das Access Management im Detail aussehen, kann jede Institution selbst entscheiden. Je nach Branche und Größe der Organisation sind verschiedene Ansätze sinnvoll und erforderlich. Aber genau darum geht es bei NIS2: Einen Rahmen, ein Sicherheitsniveau zu definieren, jedoch nicht die Umsetzung zu diktieren.

Frist für die Umsetzung

Die NIS2-Richtlinie wurde Ende des letzten Jahres verabschiedet. Nun haben die Mitgliedsstaaten 21 Monate Zeit, die Richtlinie in nationales Recht umzusetzen. Dennoch sollten sich Unternehmen besser heute als morgen mit dem Thema auseinandersetzen: Bereits 18 Monate nach der Verabschiedung müssen die von der Richtlinie betroffenen Institutionen in der Lage sein, diese einzuhalten. Scheinbar eine lange Zeit. Aber moderne Sicherheitsstrategien haben immer auch eine organisatorische Komponente. Sie sind nicht bloß zu installieren, sondern müssen sich in die bestehende Sicherheitsarchitektur des Unternehmens einfügen.

Fazit

Die Umsetzung der NIS2-Richtlinie scheint auf den ersten Blick kompliziert. Viele Unternehmen haben aber bereits zielführende Maßnahmen umgesetzt, wenn sie schon die ursprünglichen NIS-Anforderungen erfüllen mussten. Andere müssen sich wiederum auf völlig neue Herausforderungen einstellen. Damit die neuen Aufgaben einen nicht überwältigen, ist es ratsam, sich so früh wie möglich mit den neuen Anforderungen auseinanderzusetzen und Experten zu konsultieren.

(ID:49597666)