Optimal gerüstet für die NIS2-Richtlinie

Die Implementierung der Richtlinie (bzw. des entsprechenden Gesetzes) in die Strukturen der betroffenen Unternehmen ist entscheidend, um den wachsenden Bedrohungen und Anforderungen an die Cyber-Sicherheit in einer vernetzten Wirtschaft gerecht zu werden, Sanktionen zu vermeiden und die Wettbewerbsfähigkeit zu sichern.

Dafür sind ein zuverlässiges und leistungsstarkes Risikomanagement sowie umfassende Cyber-Sicherheitsmaßnahmen unerlässlich. Richtlinienkonformität lässt sich nur erreichen, wenn das Unternehmen in der Lage ist, technische und betriebliche Risiken einzuschätzen und abzuwehren.

Folgende NIS2-Regeln gelten für betroffene Unternehmen:
Für Unternehmen ist ein professionelles ISMS essenziell. Es gewährleistet unter anderem:

• Die NIS2-Richtlinie gibt vor, dass Sie robuste und umfassende Konzepte und Praktiken der Risikoanalyse einsetzen.
• Sie müssen die Wirksamkeit Ihrer Risikomaßnahmen bewerten können.
• Sie müssen auch die Sicherheitsmaßnahmen von Drittanbietern, deren Lösungen Sie für kritische Dienste nutzen, hinterfragen und kontrollieren. Auch IT-Dienstleister müssen mit Lieferanten-Audits rechnen.
• Sie müssen über Technologien und Lösungen zur Abwehr von Sicherheitsvorfällen verfügen.
• Sie sollten ein leistungsstarkes und umfassendes Informationssicherheits-Managementsystem implementieren.
• Sie müssen über eine fundierte Strategie und definierte Maßnahmen bei Sicherheitsvorfällen und Ausfällen verfügen. Krisen- und Business Continuity Management sind erforderlich.
• Sie müssen die Beschaffung, Entwicklung und Wartung von IT-und Netzwerklösungen in Ihr Risikomanagement einbeziehen.
• Sie müssen Sicherheitsfälle proaktiv melden. Per Incident-Reporting-System lassen sich Vorfälle schnell und effizient erfassen und melden.
• Sie müssen kontinuierliche Sicherheitsschulungen für Mitarbeitende anbieten.
• Achten Sie zudem auf starke Zugriffskontrollen, Multi-Faktor-Authentifizierung und kontinuierliches Monitoring.
• Teilen Sie Ihre Erfahrungen und Best Practices mit anderen Unternehmen.

Für „wesentliche“ Organisationen sieht die Richtlinie Geldbußen bis zu mindestens zehn Millionen Euro Höchstbetrag vor. Bei „wichtigen“ Einrichtungen betragen sie bis zu mindestens sieben Millionen Euro. Bei erfolgreichen Cyber-Angriffen mit geschäftseinschränkenden Auswirkungen aufgrund mangelhaften Risikomanagements in besonders wichtigen Einrichtungen haftet die Unternehmensleitung direkt.

Zu den wesentlichen Sektoren gehören:

• Energie (Strom, Öl, Gas, Fernwärme und -kälte sowie Wasserstoff)
• Verkehr (Luft, Schiene, Wasser und Straße)
• Gesundheitswesen
• Wasserversorgung (Trinkwasser, Abwasser).
• Digitale Infrastruktur (Telekommunikation, DNS, TLD, Cloud-Dienste, Rechenzentren, Anbieter von Vertrauensdiensten)
• Finanzen (Banken, Finanzmarktinfrastruktur)
• Öffentliche Verwaltung
• Raumfahrt

Zu den wichtigen Sektoren gehören:

• Digitale Anbieter (Online-Märkte, Suchmaschinen, soziale Netzwerke)
• Postdienste
• Abfallwirtschaft
• Lebensmittel
• Fertigung (medizinische Geräte, Elektronik, Maschinen, Transportmittel)
• Chemikalien (Produktion und Vertrieb)
• Forschung

Betroffene Unternehmen und Organisationen müssen jetzt schnell handeln und kritische Maßnahmen rund um Risikomanagement, Cyber-Sicherheit, Reporting und Meldepflichten implementieren.
Sie sollten ein strukturiertes Sicherheits-Managementsystem etablieren, das auf bewährten Methoden und Standards basiert. Dazu gehören die Festlegung von Sicherheitsrichtlinien, Verfahren und Prozessen, die
Förderung des Sicherheitsbewusstseins und -verhaltens von Mitarbeitenden durch Schulungen sowie die regelmäßige Überprüfung und Aktualisierung von Sicherheitsrichtlinien.

Insbesondere in folgenden Bereichen gilt es nachzurüsten:

• Effektive Prävention zum Erkennen und Verhindern von Sicherheitsvorfällen
• 24/7-Überwachung Ihrer Security und Cyber-Hygiene
• Zugriffsschutz für Konten und Daten (Identity and Access Management)
• Risikomanagement und Assessments Ihrer IT-Infrastruktur
• Vollumfängliches Krisen- und Business Continuity Management
• Konstante Bewertung Ihrer Maßnahmen
• Training und Awareness Ihrer Belegschaft
• Meldung von Sicherheitsvorfällen: Vorgeschrieben sind eine Frühwarnung innerhalb von 24 Stunden an die zuständige Aufsichtsbehörde, eine detailliertere Vorfallsmeldung nach 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

Laut einer Studie von Cybersecurity Ventures fand 2023 alle 39 Sekunden ein Cyber-Angriff statt. Das entspricht mehr als 2200 Attacken pro Tag, Tendenz steigend. Digitalisierung, Vernetzung, KI und Co. sorgen dafür, dass das Risiko, selbst Opfer eines Angriffs zu werden, stetig steigt.

NIS2 ist deshalb nicht nur eine Frage der Compliance oder eine weitere gesetzliche Vorgabe: Die Umsetzung der NIS2-Anforderungen bietet Ihnen auch die Chance, Ihr Unternehmen in puncto Cyber-Sicherheit neu aufzustellen und wettbewerbstauglicher zu machen. Das bedeutet:

• Höhere Sicherheitsstandards und verbessertes Sicherheitsniveau
• Umfassenderer Schutz
• Eine sichere digitale Umgebung für alle

Mit NIS2-Konformität demonstriert Ihr Unternehmen gegenüber Kunden und Partnern, dass Sie Datenschutz leben und auf dem neuesten Stand der Sicherheitstechnik sind. Und je eher Sie NIS2-Compliance umsetzen, desto schneller stärken Sie Ihre IT-Sicherheit und das Kundenvertrauen.

Dabei helfen:

• Verbesserte Datenverschlüsselung
• Penetration Tests
• Identity und Access Management
• Network Security
• Firewalls
• Intrusion Detection
• Sicherheitstrainings für Mitarbeitende

NIS2 gibt Ihrem Unternehmen klare Vorgaben und wertvolle Tipps, wie Sie Ihre Cyber-Abwehr stärken können. Unsere erfahrenen NIS2-Expertenteams zeigen Ihnen den besten Weg zur NIS2-Compliance.