Was bedeuten die neuen NIS2-Anforderungen konkret?

In einer Zeit, in der Cyber-Bedrohungen größer und raffinierter denn je sind, hat die Europäische Union (EU) mit der Einführung der Richtlinie zur Netz- und Informationssicherheit (NIS2) einen wichtigen Schritt zur Stärkung ihrer digitalen Verteidigung getan.

Die NIS2-Richtlinie baut auf der Grundlage der Vorgängerrichtlinie aus dem Jahr 2016 auf und ist eine Reaktion auf die zunehmenden Angriffe auf Lieferketten und den Bedarf an robusteren Meldeverfahren in ganz Europa. Diese Richtlinie betrifft mehr als 160.000 in der EU tätige Unternehmen, insbesondere diejenigen, die in 15 Schlüsselsektoren als „wesentliche” und „wichtige” Unternehmen eingestuft sind.

NIS2 schreibt diesen Unternehmen eine umfassende Überarbeitung ihrer Cyber-Sicherheitspraktiken vor und zwingt sie, ihre Schutzmaßnahmen in der Lieferkette und ihre Meldepflichten neu zu bewerten und zu verbessern. Da die Frist für die Einhaltung der Vorschriften im Oktober 2024 abläuft, beginnt für die Unternehmen ein Wettlauf mit der Zeit, um die strengen Anforderungen von NIS2 zu erfüllen.

Ein genauerer Blick auf die neuen Anforderungen

NIS2 führt vier Hauptbereiche ein, die jeweils spezifische Mandate umfassen, die darauf abzielen, die Cybersicherheitsstandards in allen Bereichen zu erhöhen:

• Risikomanagement: Die Unternehmen müssen einen vielschichtigen Ansatz zur Minimierung von Cyberrisiken umsetzen. Dazu gehören die Einführung fortschrittlicher Protokolle für das Management von Vorfällen, die Stärkung der Sicherheit der Lieferkette, die Verbesserung der Sicherheit von Netzwerken, die Verbesserung der Zugangskontrolle und der Einsatz von Verschlüsselungstechnologien.
• Verantwortlichkeit der Unternehmen: Die Richtlinie unterstreicht die Notwendigkeit der Überwachung und Schulung von Maßnahmen zur Cybersicherheit durch die Unternehmensleitung. Sie führt Sanktionen, auch finanzieller Art, für Verstöße ein, die auf fahrlässiges Verhalten von Führungskräften zurückzuführen sind.
• Berichtspflichten: Organisationen müssen Verfahren für die unverzügliche Meldung von Cybervorfällen einrichten, die die Bereitstellung von Diensten oder Datenempfängern erheblich beeinträchtigen, und dabei die festgelegten Meldefristen einhalten.
• Geschäftskontinuität: Die Unternehmen müssen solide Pläne entwickeln, um die Betriebskontinuität nach größeren Cybervorfällen zu gewährleisten. Dazu gehören Strategien zur Systemwiederherstellung, Notfallverfahren und die Bildung von Krisenreaktionsteams.

Die 10 Mindestanforderungen von NIS2

NIS2 definiert neben den allgemeinen Verpflichtungen zehn grundlegende Anforderungen, die das Fundament der Cybersicherheit in der EU bilden sollen: 

1. Risikobewertungen und Formulierung von Sicherheitsrichtlinien für Informationssysteme
2. Evaluierung der Wirksamkeit von Sicherheitsmaßnahmen durch festgelegte Richtlinien und Verfahren
3. Anwendung von Kryptographie und Verschlüsselung
4. Effiziente Bewältigung von Sicherheitsvorfällen
5. Sichere Systembeschaffung, -entwicklung und -betrieb, einschließlich Protokollen zur Meldung von Sicherheitslücken
6. Durchführung von Schulungen zur Cybersicherheit und Einhaltung grundlegender Praktiken der Cyberhygiene
7. Sicherheitsverfahren für Mitarbeiter, die auf sensible Daten zugreifen
8. Notfallpläne zur Aufrechterhaltung des Geschäftsbetriebs während und nach Cybervorfällen
9. Multi-Faktor-Authentifizierung und Verschlüsselung für Sprach-, Video- und Textkommunikation
10. Stärkung der Sicherheit in der Lieferkette – Anpassung der Sicherheitsmaßnahmen an die Schwachstellen der einzelnen direkten Zulieferer

Die Nichteinhaltung dieser umfassenden Anforderungen könnte erhebliche Geldbußen nach sich ziehen, die sich für „wesentliche Unternehmen“ auf 10 Mio. € oder 2 % des weltweiten Jahresumsatzes und für „wichtige Unternehmen“ auf 7 Mio. € oder 1,4 % belaufen.

Vorbereitung auf NIS2: ein strategischer Imperativ

Für Unternehmen, die in der EU tätig sind, bedeutet die Vorbereitung auf NIS2 eine Reihe strategischer Schritte, darunter die Feststellung der Anwendbarkeit, die Bewertung bestehender Sicherheitsmaßnahmen, die Überarbeitung der Sicherheitsrichtlinien und die Einbeziehung neuer Sicherheits- und Meldemaßnahmen in ihr Lieferkettenmanagement.

Glücklicherweise können aktuelle Cybersicherheitsrahmenwerke, wie das NIST Cyber Security Framework (CSF) oder ISO27001 eine solide Grundlage bilden, die den Übergang für Unternehmen erleichtern können. Da die Frist im Oktober 2024 immer näher rückt, ist die Botschaft klar: Die Zeit zum Handeln ist jetzt gekommen. Die NIS2-Richtlinie der EU legt nicht nur die Messlatte für die Cybersicherheit höher, sondern unterstreicht auch die Bedeutung eines einheitlichen und proaktiven Ansatzes zum Schutz der digitalen Landschaft vor neuen Bedrohungen. Unternehmen müssen diese Veränderungen mit Sorgfalt und Weitsicht angehen.