NIS2: Was Geschäftsführer über die Umsetzung wissen sollten

Lesedauer ‘NIS2: Was Geschäftsführer über die Umsetzung wissen sollten’ 8 Minuten

Die Umsetzung der Richtlinie NIS2 und ihre Bedeutung für deutsche KMU ist ein aktuelles Thema von großer Relevanz. In diesem Blog-Beitrag erfahren Sie, was es mit NIS2 überhaupt auf sich hat und auf welche Details Sie als Entscheider achten müssen, damit Sie der Umsetzung nach deutschem Recht entspannt entgegenblicken können. Neben den möglichen Auswirkungen für deutsche KMU beschreiben wir zudem den geplanten zeitlichen Ablauf zur Einführung und Umsetzung von NIS2 und schildern mögliche Zusammenhänge mit anderen IT-Gesetzen, Richtlinien und Regularien.

NIS2: Richtlinie für IT-Infrastruktursicherheit

Was genau ist NIS2? ‘Network and Information Security 2’ ist die offizielle Bezeichnung für eine aktuell in der Umsetzung befindliche europäische Richtlinie zur Netzwerk und Informationssicherheit, welche das Sicherheitsniveau von Computernetzwerken und Informationssystemen verbessern soll mit dem Ziel, die Cybersicherheit in der Europäischen Union weiter zu stärken und die Zusammenarbeit zwischen den Mitgliedsstaaten zu verbessern. Sie baut auf der ersten NIS-Richtlinie auf, die im Jahr 2016 verabschiedet wurde.

Die NIS2-Richtlinie legt fest, dass Unternehmen, die als Betreiber kritischer Dienste oder Anbieter digitaler Dienste tätig sind, bestimmte Sicherheitsmaßnahmen ergreifen müssen, um ihre Systeme vor Cyberangriffen zu schützen. Kritische Dienste umfassen beispielsweise Sektoren wie die Energieversorgung, das Verkehrs-, Gesundheits- und Finanzwesen. Anbieter digitaler Dienste umfassen Online-Marktplätze, Suchmaschinen und Cloud-Computing-Dienste.

Die Richtlinie enthält detaillierte Anforderungen an die Sicherheitsvorkehrungen, die Unternehmen umsetzen müssen, sowie Vorgaben für die Meldung von Sicherheitsvorfällen und den Austausch von Informationen zwischen den Mitgliedstaaten der EU.

Wie geht es weiter?

Die Einführung und Umsetzung von NIS2 erfolgt in mehreren Schritten. Zunächst müssen die einzelnen Mitgliedstaaten die EU-Richtlinie in nationales Recht überführen und geeignete nationale Behörden zur Überwachung der Einhaltung der Sicherheitsanforderungen benennen. Danach sind Unternehmen dazu aufgefordert, die erforderlichen Maßnahmen im Betrieb umzusetzen und ihre IT-Infrastruktur entsprechend abzusichern. Dabei folgen solche Richtlinien dem sog. Mindestharmonisierungs-Konzept – die auf nationaler Ebene verabschiedeten Gesetze müssen mindestens so streng sein wie die Vorgaben der EU. Deshalb hat man schon jetzt ein recht präzises Bild der deutschen Gesetzgebung.

Ungeachtet der Tatsache, dass NIS2 vorrangig Unternehmen der o.g. Kategorien betreffen wird, ist schon jetzt absehbar, dass ihre Auswirkungen für deutsche KMU generell relevant werden.

Zum einen können mittelständische Unternehmen direkt betroffen sein, nämlich dann, wenn NIS2 neue Anforderungen und Verpflichtungen festlegt, die aufgrund mangelnder Ressourcen und Fachwissen mühsam (oder gar nicht!) umsetzbar sind.

Zum anderen kann es passieren, dass Unternehmen indirekt betroffen sind, beispielsweise als Zulieferbetrieb für ein Unternehmen der o.g. Kategorien. Wenn diese nämlich über NIS2 Vorgaben bezüglich ihrer Lieferkette umsetzen müssen, kann das auch Auswirkungen auf den Zulieferer haben – mit möglicherweise fatalen wirtschaftlichen Folgen (Beendigung der Geschäftsbeziehung), sollten die Vorgaben nicht erfüllt werden.

Zu guter Letzt ist durchaus denkbar, dass Deutschland die Vorgaben der EU erweitert oder verschärft – so könnten zum Beispiel strengere Vorgaben für o.g. Anbieter festgelegt oder sogar zusätzliche Wirtschaftsbereiche als kritisch definiert werden.

NIS2 und deutsche KMU: Mögliche Verpflichtungen als Chance nutzen

Aufgrund von Ressourcenknappheit, mangelndem Fachwissen und der aktuellen Wirtschaftslage sind mittelständische Unternehmen oft nicht ausreichend gegen Cyberangriffe geschützt.

In diesem Zusammenhang können die (möglicherweise) durch NIS2 umzusetzenden Regularien von KMU tatsächlich als Chance angesehen werden, um ihre IT-Infrastruktursicherheit entscheidend zu verbessern:

Risikomanagement: KMU könnten zur Einführung und regelmäßigen Kontrolle eines funktionierenden Risikomanagements verpflichtet werden. Dieses beinhaltet die Identifizierung, Bewertung und Behandlung von Risiken sowie die Implementierung geeigneter Sicherheitsmaßnahmen.

Meldung von Sicherheitsvorfällen: In irgendeiner Art und Weise wird es Regularien zu Meldepflichten für Sicherheitsvorfälle (Cyberangriffe, Datenschutzverletzungen etc.) geben. Ziel ist eine schnellere Reaktionszeit zur Ergreifung von geeigneten Gegenmaßnahmen sowie grenzübergreifende, reibungslose Zusammenarbeit zwischen einzelnen Mitgliedsstaaten.

Zertifizierungen: KMU könnten dazu angehalten werden, Sicherheitszertifizierungen zu erwerben, um ihre IT-Sicherheitsmaßnahmen zu validieren. Positiver Nebeneffekt ist ein hohes Renommee und Vertrauen gegenüber Kunden und Partnern.

Die genauen Anforderungen und Verpflichtungen, die die NIS2-Richtlinie mit sich bringt, sind noch nicht abschließend festgelegt. Es ist jedoch zu erwarten, dass sie sich eng an den Vorgaben der europäischen Richtlinie orientieren werden. Daher sollten Geschäftsführer und Entscheider bereits jetzt beginnen, sich mit Grundlagen und Erfordernissen praxistauglicher IT-Infrastruktursicherheit vertraut zu machen und ihre IT-Systeme entsprechend zu schützen.

NIS2: Zeitplan und Umsetzung in Deutschland

Das EU-Parlament hat dem Entwurf der NIS2-Richtlinie am 10. November 2022 zugestimmt, der EU-Rat am 28. November 2022. Offiziell in Kraft getreten ist die Richtlinie am 16. Januar 2023.

Die Mitgliedsstaaten der Europäischen Union haben nun bis zum 18. Oktober 2024 Zeit, NIS2 in nationales Recht zu überführen (es ist zu erwarten, dass Deutschland diese Frist einhält und die NIS2-Richtlinie rechtzeitig umsetzt). Da aktuell keine Übergangsfristen vorgesehen sind, sind betroffene Unternehmen ab diesem Datum dazu verpflichtet, sich bei der zuständigen Behörde zu registrieren, Sicherheitsvorfälle zu melden und die Einhaltung der definierten Anforderungen an IT-Infrastruktursicherheit zu gewährleisten. Zudem muss der Compliance-Nachweis durch regelmäßig wiederkehrende Zertifizierungen bzw. Audits erbracht werden.

NIS2 im Kontext weiterer IT-Gesetze

NIS2 ist nicht die einzige Richtlinie, die Unternehmen beachten müssen. Es gibt eine Vielzahl von weiteren Gesetzen und Regularien im Bereich der IT-Infrastruktursicherheit, die ebenfalls Auswirkungen auf deutsche Unternehmen haben und möglicherweise sogar mit NIS2 interagieren. Einige relevante Beispiele sind:

Allgemeine Datenschutzverordnung (DSGVO): Die DSGVO regelt den Schutz personenbezogener Daten in der Europäischen Union. Unternehmen müssen sicherstellen, dass sie die Anforderungen der DSGVO erfüllen, wie beispielsweise die Implementierung angemessener Sicherheitsmaßnahmen zum Schutz personenbezogener Daten.

Telekommunikationsgesetz (TKG): Das TKG regelt den Betrieb von Telekommunikationsnetzen und -diensten in Deutschland. Es enthält auch Bestimmungen zur Netz- und Informationssicherheit, die von Unternehmen beachtet werden müssen.

IT-Sicherheitsgesetz 2.0: Das IT-Sicherheitsgesetz 2.0 (Link zum Amtsblatt) ist seit 7. Mai 2021 veröffentlicht und nimmt einige Inhalte von NIS2 vorweg: Es definiert Anforderungen an die IT-Infrastruktursicherheit von Unternehmen, insbesondere solche mit kritischen Infrastrukturen. Die Umsetzung von NIS2 in Deutschland wird inoffiziell als ‘IT-Sicherheitsgesetz 3.0’ bezeichnet.

ISO 27001: Die ISO 27001 ist ein international anerkannter Standard für Informationssicherheitsmanagementsysteme. Unternehmen können die ISO 27001-Zertifizierung erlangen, um ihre IT-Sicherheit nachzuweisen und das Vertrauen ihrer Kunden zu stärken.

Die NIS2-Richtlinie steht in Zusammenhang mit anderen IT-Gesetzen, Richtlinien und Regularien, insbesondere mit der Datenschutz-Grundverordnung (DSGVO) und dem IT-Sicherheitsgesetz 2.0 (welches sie aller Voraussetzung nach ablösen wird):

Die DSGVO legt allgemeine Anforderungen an den Datenschutz fest und gilt für alle Unternehmen, die personenbezogene Daten verarbeiten. Das IT-Sicherheitsgesetz 2.0 beinhaltet ebenfalls Vorgaben zur IT-Sicherheit und betrifft insbesondere Unternehmen, die zur Kritischen Infrastruktur (KRITIS) gehören.

Für Geschäftsführer und Entscheider ist es wichtig, die Zusammenhänge zwischen den verschiedenen Regelwerken zu verstehen und sicherzustellen, dass alle Anforderungen erfüllt werden. Durch eine ganzheitliche Betrachtung und Integration der verschiedenen Richtlinien und Gesetze können Unternehmen ihre IT-Sicherheit effektiv verbessern – Nichtbeachtung kann zu rechtlichen Konsequenzen, Bußgeldern und Reputationsschäden führen.

Wie können sich Geschäftsführer und Entscheider sinnvoll vorbereiten?

Für Geschäftsführer und Entscheider ist es wichtig, sich bereits jetzt auf die Einführung der NIS2-Richtlinie vorzubereiten. Zwar ist Stand Jetzt noch über ein Jahr Zeit bis zur Überführung in deutsches Recht, sie sollten jedoch folgendes beachten:

Budgetierung: Machen wir uns nichts vor – die Umsetzung entsprechender Maßnahmen ist mit finanziellem Aufwand verbunden. Entscheiden Sie sich für einen zeitnahen Start zur Vorbereitung Ihrer IT-Infrastruktur auf NIS2, haben Sie weitgehend freie Hand bei der Planung und Budgetierung der Umsetzung. Wenn Sie bis Oktober 2024 warten, entsteht ein riesiger Kostenblock mit wenig Handlungsspielraum.

Fachkräftemangel: Der kluge Unternehmer baut vor. Gemäß Angebot und Nachfrage ist schon jetzt ziemlich sicher, dass qualifizierte IT-Dienstleister im Oktober 24 entweder gar nicht erst verfügbar sind … oder der hohe Bedarf an Fachpersonal zur Umsetzung von NIS2 für eine Kostenexplosion im entsprechenden Dienstleistungssektor sorgt.

Beugen Sie hohen Kosten, Termindruck und Fachkräftemangel durch eine frühzeitige Planung und Umsetzung vor.

Weitere direkt umsetzbare Maßnahmen

Informieren Sie sich über die NIS2-Richtlinie: Lesen Sie die Richtlinie selbst oder informieren Sie sich über deren wichtigste Aspekte und Anforderungen. Das Regelwerk zu verstehen, hilft Ihnen dabei, die eigenen Pflichten und Verantwortlichkeiten besser abschätzen zu können.

Überprüfen Sie Ihre IT-Infrastruktursicherheitsmaßnahmen: Machen Sie eine Bestandsaufnahme Ihrer aktuellen IT-Infrastruktursicherheitsmaßnahmen und überprüfen Sie, ob diese den Anforderungen der NIS2-Richtlinie entsprechen. Überlegen Sie, ob zusätzliche Maßnahmen erforderlich sind, um die Sicherheit Ihrer Netzwerke und Informationssysteme zu verbessern.

Schaffen Sie Bewusstsein für Cybersicherheit: Schulen Sie Ihr Team zu den Themen Cybersicherheit und Datenschutz. Sensibilisieren Sie die Belegschaft für mögliche Bedrohungen und stellen Sie sicher, dass sie im Bedarfsfall angemessen reagiert.

Erstellen Sie einen Notfallplan: Entwickeln Sie einen Notfallplan, der klare und effektive Maßnahmen bei einem auftretenden Sicherheitsvorfall festlegt. Das schnelle Handeln im Ernstfall kann große Schäden verhindern.

Arbeiten Sie mit externen Experten zusammen: Ziehen Sie externe IT-Sicherheitsexperten hinzu, um Ihre Sicherheitsmaßnahmen zu überprüfen und gegebenenfalls Verbesserungen vorzunehmen. Externe Experten können wertvolles Fachwissen und Erfahrung einbringen.

Bleiben Sie auf dem Laufenden: Verfolgen Sie die Entwicklungen im Bereich der Cybersicherheit und informieren Sie sich regelmäßig über neue Gesetze, Richtlinien und Best Practices auf der einen und Bedrohungen sowie relevante Technologien auf der anderen Seite. Halten Sie sich über aktuelle Änderungen und Updates der NIS2-Richtlinie auf dem Laufenden und passen Sie Ihre Sicherheitsmaßnahmen entsprechend an.

Fazit: NIS2 und IT-Infrastruktursicherheit

Die NIS2-Richtlinie bringt neue Anforderungen und Verpflichtungen für deutsche KMU mit sich. Unternehmen müssen ihre IT-Sicherheit verbessern und Maßnahmen ergreifen, um sich vor Cyberangriffen und IT-Störungen zu schützen. Es ist ratsam, bereits jetzt mit der Umsetzung zu beginnen: Zeitnahes Vorgehen reduziert und optimiert das Budget, Fachkräftemangel wird vermieden.

Durch die Überprüfung der IT-Sicherheitsmaßnahmen, die Schulung der Mitarbeiterinnen und Mitarbeiter, die Erstellung eines Notfallplans und die Zusammenarbeit mit externen Experten können Sie Ihre IT-Infrastruktur direkt besser schützen.

Zudem ist es sinnvoll, sich regelmäßig über neue Entwicklungen in der Cybersicherheit zu informieren und die Sicherheitsmaßnahmen entsprechend anzupassen.

Die NIS2-Richtlinie ist eine wichtige Initiative, um die IT-Sicherheit in der EU zu stärken und die Resilienz von Netzwerken und Informationssystemen zu verbessern.

Wir begleiten Sie auf dem Weg zur Umsetzung der NIS2-Vorgaben: Von der ersten Analyse Ihres Geschäftsmodelles und Ihrer Infrastruktur um zu ermitteln, in welchem Maß Ihr Unternehmen von NIS2 betroffen ist bis hin zur Umsetzung erforderlicher Maßnahmen und der Erbringung regelmäßiger Compliance-Nachweise.

Kontaktieren Sie uns unter 0800 4883 338, wir beraten Sie gerne!

Weiterführende Informationen

Cybersecurity Prüfungen durch CRISEC | IT-Infrastruktursicherheit mit ITQ

 

Foto © Mikhail Nilov @ Pexels