Die NIS-2-Richtlinie der EU: Was Ihr Unternehmen wissen und tun muss

Ziel der NIS 2 ist es, sicherzustellen, dass die so genannten "wesentlichen" und "wichtigen" Einrichtungen gegen Cyber-Bedrohungen gewappnet sind. Wenn Ihr Unternehmen unter die in dieser Richtlinie genannten Sektoren fällt, ist es von entscheidender Bedeutung, die Anforderungen dieser Richtlinie zu verstehen und umzusetzen.

In gewisser Hinsicht ist die NIS-2 ein Update der ursprünglichen Richtlinie für Netz- und Informationssicherheit (NIS-1-Richtlinie). In Anbetracht des erweiterten Geltungsbereichs und der viel strengeren Anforderungen handelt es sich jedoch in Wirklichkeit um einen völlig neuen Rahmen. Viele Unternehmen, die keinen Grund hatten, sich mit der ursprünglichen NIS-Richtlinie zu befassen, werden sich an die NIS-2 halten müssen - oder besser gesagt an die nationalen Gesetze, die die Richtlinie in nationales Recht umsetzen werden.

Wer ist von NIS-2 betroffen?

Mit der NIS-2-Richtlinie wird das Spektrum der Sektoren und Dienstleistungen, die die Anforderungen der Richtlinie erfüllen müssen, erheblich ausgeweitet. Die Verordnung gilt für Unternehmen, die in zwei Hauptgruppen eingeteilt sind, die so genannten "wesentlichen Unternehmen" und "wichtigen Unternehmen".

Die NIS-2-Richtlinie richtet sich jedoch nicht nur an Unternehmen und Organisationen, sondern auch an deren Management, das bei Nichteinhaltung persönlich haftbar gemacht wird.

Anhang 1 der Richtlinie enthält eine umfassende Liste der betroffenen Sektoren, und das sind nicht wenige:

Zu den wesentlichen Einrichtungen gehören:

• Energie (Elektrizität, Öl, Gas und Wasserstoff; einschließlich Verteilung und Speicherung)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheit (einschließlich Krankenhäuser und Kliniken)
• Trinkwasserversorgung und -verteilung
• Abwasserentsorgung
• Digitale Infrastruktur (Rechenzentren, DNS-Dienste, Anbieter von Cloud Computing und Kommunikationsnetze)
• IKT-Dienstleistungsmanagement (Anbieter von verwalteten Dienstleistungen B2B)
• Öffentliche Verwaltung (zentrale und regionale Regierungsstellen)
• Raumfahrt.

Zu den wichtigen Einrichtungen gehören:

• Post- und Kurierdienste
• Abfallwirtschaft
• Produktion, Herstellung und Vertrieb von chemischen Stoffen
• Lebensmittel (Großproduktion und Vertrieb)
• Fertigung (medizinische Geräte, Computerprodukte, Elektrogeräte und mehr)
• Digitale Anbieter (Plattformen für soziale Medien, Online-Marktplätze)
• Forschung.

Wichtige Regelungen und Vorschriften der NIS-2

Um die Cybersicherheit zu verbessern, schreibt die NIS-2-Richtlinie mehrere wichtige Maßnahmen vor. Viele der Anforderungen mögen Organisationen, die bereits nach ISO 27001 zertifiziert sind oder einen ähnlichen Prozess durchlaufen haben, vertraut sein, andere nehmen sich ein Beispiel an der Datenschutz-Grundverordnung (DSGVO). Aber zusammengenommen und in Kombination mit den erweiterten Berichtspflichten und der persönlichen Verantwortung von Führungskräften und Management bilden sie einen völlig neuen Rahmen für die Cybersicherheit in der EU.

Hier ist ein Überblick über die wichtigsten Anforderungen:

• Risikomanagement und Meldung von Vorfällen: Unternehmen müssen regelmäßig Risikobewertungen durchführen und Maßnahmen zur Bewältigung festgestellter Risiken ergreifen. Erhebliche Cybersicherheitsvorfälle müssen den nationalen Behörden innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden - viel schneller als die 72 Stunden, an die die meisten Unternehmen gemäß der Datenschutz-Grundverordnung gewöhnt sind. All dies erfordert die rechtzeitige Umsetzung der entsprechenden Prozesse.
• Governance: Die Unternehmensleitung wird persönlich für die Cybersicherheit verantwortlich gemacht, Cybersicherheit wird so zur Führungsaufgabe. Regelmäßige Schulungen und Sensibilisierungsprogramme für alle Mitarbeiter sind erforderlich.
• Sicherheit der Lieferkette: Cyber-Sicherheitsrisiken in Lieferketten und Dienstleistungsbeziehungen müssen angegangen werden. Lieferanten und Dienstleister müssen strikte Cybersicherheitspraktiken anwenden.
• Aufsicht und Umsetzung: Bewerten Sie fortwährend die Risiken für Ihr Netzwerk und Ihre Informationssysteme. Achten Sie dabei besonders auf kritische Systeme und Funktionen.
• Robuste Sicherheitsmaßnahmen: Die Unternehmen müssen technische und organisatorische Maßnahmen (TOMs) ergreifen, die auf die ermittelten Risiken zugeschnitten sind. Sie müssen Verschlüsselung, Zugangskontrollen und sichere Softwareentwicklungsverfahren einsetzen.
• Unternehmensführung und Rechenschaftspflicht: Machen Sie die Cybersicherheit zu einer Aufgabe auf Vorstandsebene. Integrieren Sie das Thema in die Führungs- und Entscheidungsprozesse.
• Schulung und Sensibilisierung: Unternehmen müssen ihre Mitarbeiter regelmäßig in Cybersicherheit schulen und im gesamten Unternehmen eine Kultur des Sicherheitsbewusstseins schaffen.
• Führen von Dokumentationen und Aufzeichnungen: Unternehmen müssen detaillierte Aufzeichnungen über Risikobewertungen, Sicherheitsmaßnahmen und Berichte über Vorfälle führen.
• Lösungen für die Identitäts- und Zugriffsverwaltung (IAM): Unternehmen sollten IAM-Lösungen implementieren, um eine sichere Zugangskontrolle und Identitätsüberprüfung zu gewährleisten. Fortgeschrittene Funktionen wie Multi-Faktor-Authentifizierung (MFA), Single Sign-On (SSO) zur Verbesserung der Sicherheit sollten erwogen werden.

Durchsetzung

Die Mechanismen für die Durchsetzung der NIS-2-Richtlinie sind robust, umfassend und ermächtigen die nationalen Behörden in der gesamten EU, die Einhaltung der Richtlinie zu gewährleisten. Diese Behörden haben das Mandat, Einrichtungen, die in den Anwendungsbereich der Richtlinie fallen, zu beaufsichtigen und regelmäßige Audits und Inspektionen durchzuführen. Sie sind bevollmächtigt, hohe Bußgelder gegen Unternehmen zu verhängen, die die Bestimmungen der Richtlinie nicht einhalten. Die Nichteinhaltung kann zu Sanktionen von bis zu 10 Mio. EUR und 2 % des gesamten Jahresumsatzes für wesentliche Organisationen bzw. 7 Mio. EUR und 1,4 % des gesamten Jahresumsatzes für wichtige Organisationen führen.

Darüber hinaus haben die nationalen Behörden die Aufgabe, die Organisationen anzuleiten und zu unterstützen, damit diese ihre Verpflichtungen aus der Richtlinie verstehen und erfüllen können. Dieser doppelte Ansatz von Aufsicht und Unterstützung soll eine proaktive Cybersicherheitskultur fördern und gleichzeitig die strikte Einhaltung der Vorschriften gewährleisten.

Um eine wirksame Durchsetzung zu erleichtern, sieht die NIS-2-Richtlinie auch Mechanismen für die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten vor. Dazu gehört die Gründung des European Cyber Crises Liaison Organization Network (EU-CyCLONe), dass die grenzüberschreitende Zusammenarbeit bei der Bewältigung von und Reaktion auf schwerwiegende Cybersicherheitsvorfälle verbessert. Durch die Förderung einer koordinierten Reaktion auf EU-Ebene stellt die Richtlinie sicher, dass Durchsetzungsmaßnahmen harmonisiert und bewährte Verfahren grenzüberschreitend ausgetauscht werden.

Dieser kooperative Rahmen stärkt nicht nur die allgemeine Cybersicherheitslage der EU, sondern stellt auch sicher, dass Unternehmen unabhängig von ihrem Standort innerhalb der Union an einheitliche Standards gehalten werden.

Zusammenfassung und Empfehlung

Die NIS-2-Richtlinie ist ein wichtiger Schritt zur Verbesserung der Cybersicherheit in der EU. Für Unternehmen in den betroffenen Sektoren ist das Verständnis und die Einhaltung dieser neuen Vorschriften nicht nur eine rechtliche Verpflichtung, sondern ein entscheidendes Element ihrer Cybersicherheitsstrategie. Wenn Sie die notwendigen Schritte zur Einhaltung der Vorschriften unternehmen, kann Ihr Unternehmen seine Widerstandsfähigkeit gegenüber Cyber-Bedrohungen verbessern und zu einer sichereren digitalen Landschaft in Europa beitragen.

Um die NIS-2-Richtlinie zu erfüllen, sollten Unternehmen zunächst eine umfassende Risikobewertung ihrer Netze und Informationssysteme durchführen. Dazu gehört die Identifizierung kritischer Vermögenswerte, die Bewertung potenzieller Bedrohungen und die Priorisierung von Risiken auf der Grundlage ihrer potenziellen Auswirkungen. Die Umsetzung solider technischer und organisatorischer Maßnahmen ist von entscheidender Bedeutung, wie z. B. der Einsatz fortschrittlicher Verschlüsselung, mehrstufiger Authentifizierung und sicherer Softwareentwicklungsverfahren. Die Einrichtung eines gründlichen Protokolls zur Erkennung und Meldung von Vorfällen ist ebenfalls unerlässlich. Stellen Sie sicher, dass Ihre Organisation in der Lage ist, bedeutende Cybersicherheitsvorfälle schnell zu erkennen und innerhalb der vorgeschriebenen 24-Stunden-Frist an die nationalen Behörden zu melden. Führen Sie darüber hinaus eine detaillierte Dokumentation dieser Vorfälle und der ergriffenen Maßnahmen.

Ein weiterer wichtiger Aspekt der NIS-2-Konformität ist die Stärkung der Governance und der Verantwortlichkeit innerhalb Ihrer Organisation. Cybersicherheit muss eine Priorität auf Vorstandsebene sein, wobei die Geschäftsleitung für die Einbindung in den allgemeinen Governance-Rahmen verantwortlich ist. Regelmäßige Schulungen und Sensibilisierungsprogramme für alle Mitarbeiter sind unerlässlich, um eine Kultur der Cybersicherheit im gesamten Unternehmen zu fördern. Darüber hinaus müssen sich Unternehmen mit Cybersicherheitsrisiken innerhalb ihrer Lieferketten befassen und sicherstellen, dass Lieferanten und Dienstleister strenge Cybersicherheitspraktiken einhalten. Die Aufrechterhaltung offener Kommunikationswege und die Zusammenarbeit mit nationalen Behörden und anderen Stellen in Ihrem Sektor helfen dabei, über Bedrohungen und bewährte Verfahren informiert zu bleiben und so die Widerstandsfähigkeit Ihres Unternehmens gegenüber Cyberbedrohungen zu verbessern.

Als Anbieter von Identitäts- und Zugriffsmanagement (IAM) Lösungen kann Engity Unternehmen bei der Einhaltung von NIS-2 unterstützen, indem es robuste Zugriffskontroll- und Identitätsprüfungsmechanismen sicherstellt. Durch die Implementierung fortschrittlicher IAM-Lösungen können Unternehmen strenge Zugriffsrichtlinien durchsetzen und sicherstellen, dass nur autorisiertes Personal Zugriff auf kritische Systeme und Daten hat. IAM-Anbieter bieten Funktionen wie Multi-Faktor-Authentifizierung (MFA), Single Sign-on (SSO) und andere Technologien, die für die Minderung von Risiken durch unbefugten Zugriff unerlässlich sind. Darüber hinaus helfen IAM-Lösungen bei der Führung detaillierter Protokolle von Zugriffsaktivitäten und unterstützen so die Audit- und Compliance-Bemühungen, indem sie klare Aufzeichnungen für behördliche Inspektionen liefern.

Mit dem Fachwissen eines IAM-Anbieters können Unternehmen ihre Identitätsmanagementprozesse verbessern, das Risiko von Sicherheitsverletzungen verringern und die Einhaltung der strengen Anforderungen der NIS-2-Richtlinie gewährleisten.

Zeit zu handeln:

Ist Ihr Unternehmen bereit für NIS-2? Informieren Sie sich, bereiten Sie sich vor und stellen Sie sicher, dass Ihre Cybersicherheitsmaßnahmen den neuen Standards entsprechen. Wenn Sie weitere Informationen darüber wünschen, wie Sie die NIS-2-Richtlinie einhalten können, oder wenn Sie Unterstützung bei der Verbesserung Ihrer Cybersicherheit benötigen, kontaktieren Sie noch heute Engity.