NIS2 kommt – was müssen Unternehmen jetzt tun? 

Die Neufassung der EU-Direktive NIS erhöht nicht nur die Mindestanforderungen an die Cybersicherheit, sie betrifft auch deutlich mehr Unternehmen als zuvor. Welche Maßnahmen sollten Unternehmen jetzt ergreifen?

Dirk Wocke, IT Compliance Manager und Datenschutzbeauftragter bei indevis, nennt die wichtigsten fünf Punkte. 

Im Oktober ist es so weit: Die neue EU-Richtline ist dann in nationales Recht überführt und verpflichtet eine deutlich höhere Anzahl an Unternehmen in Deutschland zu höherer Widerstandsfähigkeit gegenüber Cyberbedrohungen. Dies bedeutet, dass auch kleine und zahlreiche bisher nicht dem KRITIS-Bereich zugeordnete Unternehmen festgelegte Cybersecuritymaßnahmen umsetzen müssen. Das kostet Zeit. Daher ist es sinnvoll, sich bereits jetzt auf die NIS2-Konformität vorzubereiten.

1. Ermitteln, ob man betroffen ist

Die NIS2-Richtlinie erweitert die KRITIS-Sektoren von elf auf achtzehn. Auch kleine Firmen und Organisationen können nun als für die Allgemeinheit wichtige Einrichtungen eingestuft werden. Dies verpflichtet deutlich mehr Organisationen als bisher zur Umsetzung der NIS2-Vorgaben. Ein erster Weg zu ermitteln, ob das eigene Unternehmen betroffen ist, bieten im Internet verfügbare Online-Checks. Jedoch ist hier Vorsicht geboten. Denn auch wenn sich die Analyse auf den ersten Blick als negativ erweist, kann es sein, dass man unter NIS2 fällt. Beispielsweise dann, wenn man als Lieferant oder über die eigenen Lieferantenbeziehungen zu NIS2-Maßnahmen verpflichtet ist. Um sicher zu sein, ist es daher sinnvoll, juristische Expertise oder einen erfahrenen Managed Security Service Provider (MSSP) an Bord zu holen. Sollte infolge der NIS2-Betrachtung der Aufbau einer Sicherheitsstrategie in Form eines ISMS (Information Security Management System) beschlossen werden, hat ein MSSP den Vorteil, dass dieser seine Erfahrung einbringen kann und beratend zur Seite steht.

2. Die Geschäftsführung sensibilisieren

Die NIS2-Direktive macht Geschäftsführer persönlich haftbar, wenn es zu einem Sicherheitsvorfall kommt, weil im Unternehmen Security-Vorgaben missachtet wurden. Zudem erlischt in diesem Fall auch der Versicherungsschutz: Sowohl Cybersecurity-Versicherungen für Unternehmen als auch Geschäftsführerversicherungen beziehungsweise D&O-Versicherungen (Directors & Officers Liability Insurance) unterstellen bei fehlenden Security-Systemen zur Angriffserkennung Fahrlässigkeit. Die Verantwortung für die Sicherheit obliegt damit der Geschäftsführung, nicht etwa den IT-Experten einer Organisation. Führungsriegen in Unternehmen sollten sich daher umgehend informieren, was aufgrund der NIS-Bestimmungen von ihrem Unternehmen erwartet wird. Hierfür stehen ihnen webbasierte Kurse, aber auch die Expertise externer IT-Berater zur Verfügung. Wichtig ist, dass sie ein Bewusstsein dafür entwickeln, was auf dem Spiel steht und welche Strafen im Ernstfall im Raum stehen. Um dieses Bewusstsein auch in der Firma zu verankern, sollten im zweiten Schritt zielgruppenspezifische Schulungen in den einzelnen Abteilungen erfolgen. Auf diese Weise erhalten alle, die mit der Umsetzung der Sicherheitsmaßnahmen befasst sind, die gleiche Grundlage.

3. Verantwortliche bestimmen

Ist die Geschäftsführung für NIS2 sensibilisiert, wird es einfacher, das Thema Sicherheit im gesamten Unternehmen zu verankern. Denn die Initiative zur Einführung umfassender Maßnahmen geht nun von ganz oben und nicht mehr allein von der IT-Abteilung aus. Der nächste Schritt ist jetzt eine Gap-Analyse – wenn nötig mit externer Hilfe – um herauszufinden, welche Maßnahmen und Security-Systeme oder Tools noch fehlen und wer welche Herausforderungen lösen kann. Diese Unterstützer sind meist mehrere Personen im Unternehmen, beispielsweise der Einkauf, der die Lieferanten steuert oder das Marketing, das die Krisenkommunikation beherrscht. Ist im Unternehmen ein Qualitätsmanagement-Beauftragter vorhanden, kann dieser beispielsweise Teile der Funktion des Informationssicherheitsbeauftragten (ISB) übernehmen, der sich leitend um die Implementierung von Sicherheitsrichtlinien kümmert. Gibt es im eigenen Unternehmen keinen Mitarbeiter mit den notwendigen Qualifikationen, können Verantwortliche auch einen externen Experten für diese Position engagieren. Auf diese Weise entsteht ein unternehmensübergreifendes Sicherheitsteam, das sich von der Geschäftsführung gesteuert kompetent um das Thema Informationssicherheit kümmert.

4. Zeitplan und Budget festlegen

Das Unternehmen im Sinne von NIS2 mit einem ISMS (Information Security Management System), das Regeln, Prozesse und Tools für die Informationssicherheit umfasst, wasserdicht zu machen, kostet Zeit. Fällt eine Firma unter die neue Richtlinie, sollte sie nicht nur ein ausführendes Expertenteam parat haben, das sich um die Einführung oder Erweiterung des ISMS kümmert. Wichtig ist auch, der Belegschaft zu vermitteln, dass NIS2 und damit die Cybersicherheit eine zentrale Rolle spielen und entsprechende Vorgaben einzuhalten sind. Durch Abstimmungsprozesse, das Erstellen von Richtlinien und Schulungen kann sich diese Phase durchaus hinziehen – was wiederum im Budget berücksichtigt sein sollte. Wer eine Zertifizierung nach DIN ISO/IEC 27001:2022 seines ISMS anstrebt, sollte – abhängig vom individuellen Reifegrad – mit zirka ein bis zwei Jahren Einführungszeit rechnen. Eine Zertifizierung ist nicht vorgeschrieben, kann aber mit Blick auf zukünftige Compliance-Vorgaben sinnvoll sein und erleichtert es außerdem, gegenüber Kunden, Lieferanten oder dem BSI (Bundesamt für Sicherheit in der Informationstechnik) nachzuweisen, dass ein vorgabenkonformes ISMS im Einsatz ist. 

5. Meldekette für den Ernstfall definieren

NIS2 schreibt vor, dass ein Sicherheitsvorfall innerhalb von 72 Stunden zu melden ist und eine Evaluation nachgereicht werden muss. Neben den notwendigen Tools für die Angriffserkennung – Incident Management, Endpoint Security oder Managed Detection & Response (MDR) Services – benötigen Unternehmen auch interne Richtlinien, die vorschreiben, wie Sicherheitsvorfälle gemeldet werden müssen. Ein Notfallplan, der beschreibt, was im Ernstfall zu tun ist, sollte vorliegen – möglichst auch in physischer Form, damit er bei einem Angriff nicht durch Verschlüsselung unzugänglich gemacht werden kann. Dieser Notfallplan legt Verantwortlichkeiten und Abläufe fest. Im Rahmen von Notfallübungen oder Planspielen lassen sich diese Abläufe überprüfen und verfestigen, sodass die Organisation auch auf individuelle Krisensituationen optimal vorbereitet ist. 

Fazit: Auf externe Expertise setzen

Die NIS2-Richlinie nimmt weitaus mehr Unternehmen als zuvor in die Pflicht. Daher sollten Geschäftsleitungen jetzt prüfen, ob sie von den neuen Bestimmungen betroffen sind. „Per Top-Down-Ansatz, mit dem richtigen Team und unter Einbeziehung externer Expertise eines erfahrenen Managed Security Service Providers meistern Unternehmen die Anforderungen der neuen Direktive zeitgerecht und ohne Hindernisse“, erklärt Dirk Wocke, IT Compliance Manager und Datenschutzbeauftragter bei indevis. „Damit machen sie ihre Organisation resilient gegen Cyberbedrohungen – aktuell und für die Zukunft sowie im Sinne von NIS2.“

(pd/indevis)