Cyber-Angriffe nehmen zu, die Abhängigkeit von digitalen Infrastrukturen wächst – und damit auch die Notwendigkeit, die Sicherheitsstandards zu erhöhen. Mit der NIS 2-Richtlinie stellt die EU neue, strengere Anforderungen, die Unternehmen aus Schlüsselbranchen betreffen. Wer jetzt nicht handelt, riskiert nicht nur hohe Strafen, sondern auch die Sicherheit seiner Systeme und Daten. Welche Maßnahmen notwendig sind und warum die Verantwortung bis in die Geschäftsführung reicht, erfahren Sie in diesem Artikel.

Inhalt der NIS-2-Richtlinie

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Gesetzgebung, die darauf abzielt, das Cybersicherheitsniveau innerhalb der Europäischen Union zu erhöhen. Sie wurde am 14. Dezember 2022 verabschiedet und ersetzt die vorherige NIS-Richtlinie von 2016. Die Mitgliedstaaten hatten die Verpflichtung, die Richtlinie bis zum 18. Oktober 2024 in nationales Recht umzusetzen. Diese Frist ist nun abgelaufen, sodass die neuen Regelungen in allen EU-Staaten gelten. Die NIS-2-Richtlinie legt einen umfassenden Rahmen für die Cybersicherheit fest und enthält folgende Hauptbestandteile:

Erweiterter Anwendungsbereich

Die NIS-Richtlinie 2 erweitert den Anwendungsbereich gegenüber der Vorgängerversion erheblich. Neu ist, dass nun ein breiteres Spektrum an Sektoren und Unternehmen abgedeckt wird, darunter Energie, Verkehr, Banken, Gesundheit und digitale Infrastrukturen. Das bedeutet, dass nicht nur Betreiber kritischer Infrastrukturen, sondern auch viele mittelständische Unternehmen betroffen sein können, sofern sie als „wichtig“ oder „besonders wichtig“ eingestuft werden. Dabei legt die Richtlinie fest, dass „besonders wichtige Infrastrukturen“ strengeren Anforderungen unterliegen, da ihr Ausfall schwerwiegendere Folgen für die Gesellschaft hätte. Diese Unterscheidung ist von besonderer Bedeutung, da sie verdeutlicht, dass der Schutz von Unternehmen nicht nur für den Erfolg einzelner Unternehmen, sondern auch für die Stabilität der gesamten Volkswirtschaft entscheidend ist. Unternehmen sollten frühzeitig klären, ob sie unter den neuen Anwendungsbereich fallen, um rechtzeitig die notwendigen Maßnahmen einleiten zu können. Dies gilt auch für kleinere Unternehmen, die aufgrund ihrer Rolle in der Lieferkette betroffen sein könnten.

Verpflichtende Sicherheitsmaßnahmen

Die NIS-2-Richtlinie schreibt eine Reihe von verpflichtenden Maßnahmen vor, die alle betroffenen Unternehmen einhalten müssen. Diese Maßnahmen umfassen technologische und organisatorische Aspekte, die sicherstellen sollen, dass Netz- und Informationssysteme robust und widerstandsfähig gegenüber Bedrohungen sind. Dazu gehören unter anderem Risikoanalysen, die potenzielle Schwachstellen in Systemen identifizieren, sowie die Implementierung eines effektiven Vorfallsmanagements, das es Unternehmen ermöglicht, schnell auf Sicherheitsvorfälle zu reagieren. Ein weiterer zentraler Punkt ist die Sicherstellung der Business Continuity, also der Fähigkeit, den Geschäftsbetrieb auch im Falle eines Angriffs oder Systemausfalls aufrechtzuerhalten. Zusätzlich sind regelmäßige Sicherheitsüberprüfungen erforderlich, um Schwachstellen frühzeitig zu erkennen und zu beheben. Diese Maßnahmen stellen sicher, dass Unternehmen nicht nur reaktiv auf Bedrohungen reagieren, sondern proaktiv handeln, um Risiken zu minimieren.

Technische und organisatorische Maßnahmen (TOM)

Unternehmen sind verpflichtet, eine Reihe von technischen und organisatorischen Maßnahmen zu implementieren, darunter:

• Multi-Faktor-Authentifizierung (MFA): Sicherung des Zugriffs auf kritische Systeme.
• Verschlüsselungstechnologien: Schutz sensibler Daten während der Übertragung und Speicherung.
• Notfallpläne: Sicherstellung der Geschäftskontinuität im Falle eines Cyberangriffs.

Sicherheit der Lieferkette

Die Sicherheit der gesamten Lieferkette ist ein zentraler Aspekt der NIS 2-Richtlinie und wird angesichts der zunehmenden Abhängigkeit von Drittanbietern und externen Dienstleistern immer wichtiger. Unternehmen müssen sicherstellen, dass auch ihre Lieferanten und Partnerunternehmen die Anforderungen der Richtlinie erfüllen, da Schwachstellen in der Lieferkette häufig als Einfallstor für Cyber-Angriffe dienen. Das bedeutet, dass Unternehmen verpflichtet sind, ihre Dienstleister vor Beginn der Zusammenarbeit umfassend zu prüfen und regelmäßig Audits durchzuführen, um die Einhaltung der Sicherheitsstandards zu gewährleisten. Diese Sicherheitsüberprüfungen umfassen nicht nur technische Aspekte wie den Einsatz von Verschlüsselung und sicheren Zugangslösungen, sondern auch organisatorische Maßnahmen wie klare Kommunikationswege und Krisenmanagementprozesse. Eine effektive Überwachung der Lieferkette erfordert darüber hinaus vertragliche Vereinbarungen, die die Dienstleister verpflichten, ihre Systeme regelmäßig auf Sicherheitslücken zu überprüfen und diese umgehend zu beheben. Ein weiterer wichtiger Aspekt ist die Sicherheit der gesamten Lieferkette:

Verantwortung der Geschäftsleitung

Die Geschäftsleitung trägt die Hauptverantwortung für die Umsetzung und Einhaltung der NIS 2-Richtlinie im Unternehmen. Bei Nichteinhaltung kann die Geschäftsleitung persönlich haftbar gemacht werden, was die Bedeutung einer proaktiven Sicherheitskultur unterstreicht. Neben der Haftung ist die Geschäftsleitung auch verpflichtet, dafür zu sorgen, dass ausreichende Ressourcen – sowohl personeller als auch finanzieller Art – für die Umsetzung der Richtlinie zur Verfügung stehen. Dazu gehören die Implementierung technischer Lösungen, die Schulung von Mitarbeitern und die Etablierung klarer Cybersicherheitsprozesse. Ein unzureichendes Engagement der Unternehmensleitung kann nicht nur rechtliche, sondern auch geschäftliche Konsequenzen haben, beispielsweise durch den Verlust des Kundenvertrauens. Die direkte Einbindung der Geschäftsführung signalisiert, dass Cybersicherheit ein strategisches Thema ist, das auf allen Ebenen des Unternehmens Priorität haben muss.

Erhöhte Aufsicht und Durchsetzung

Nationale Behörden wie das BSI in Deutschland erhalten durch die NIS-2-Richtlinie erweiterte Befugnisse zur Überwachung der Cybersicherheit in Unternehmen. Sie können unangekündigte Kontrollen durchführen und bei Verstößen Bußgelder verhängen. Darüber hinaus sind die Behörden befugt, detaillierte Berichte über die Sicherheitsmaßnahmen eines Unternehmens anzufordern, um sicherzustellen, dass diese den Anforderungen entsprechen. Ziel dieser Maßnahmen ist es, die Einhaltung der Richtlinie konsequent durchzusetzen und Lücken im Cybersicherheitsmanagement aufzudecken. Unternehmen sollten sich bewusst sein, dass nicht nur reaktive Kontrollen, sondern auch präventive Maßnahmen wie regelmäßige Audits durch die Behörden möglich sind. Die verstärkte Überwachung unterstreicht, dass die EU Cybersicherheit als wesentliche Grundlage für wirtschaftliche und soziale Stabilität ansieht..

Geltungsbereich der NIS-2-Richtlinie

Die NIS-2-Richtlinie gilt für eine breite Palette von Sektoren und Unternehmen, die als wesentlich für die Gesellschaft und Wirtschaft angesehen werden. Dazu gehören:

• Energie: Strom, Gas, Öl.
• Transport: Luft-, Schienen-, Straßen- und Schiffsverkehr.
• Banken und Finanzmärkte.
• Gesundheitswesen: Krankenhäuser, Labore.
• Trinkwasserversorgung und Abwasserentsorgung.
• Digitale Infrastrukturen: Cloud-Dienste, Online-Marktplätze.

Unternehmen, die in diesen Sektoren tätig sind und bestimmte Größenkriterien erfüllen, fallen unter die Richtlinie. Unabhängig von ihrer Größe werden auch bestimmte Einrichtungen erfasst, etwa Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten, Vertrauensdienstanbieter sowie Namenregister der Domäne oberster Stufe und Domänennamensystem-Diensteanbieter.

Meldepflichten

Betroffene Unternehmen sind verpflichtet, erhebliche Sicherheitsvorfälle an die zuständigen nationalen Behörden zu melden. Das dreistufige Meldesystem sieht vor:

• Frühwarnung: Innerhalb von 24 Stunden nach Feststellung eines Vorfalls.
• Zwischenbericht: Innerhalb von 72 Stunden mit detaillierteren Informationen.
• Abschlussbericht: Nach Abschluss der Untersuchung mit vollständiger Analyse.

Diese Meldepflichten sollen eine schnelle Reaktion auf Sicherheitsvorfälle ermöglichen und die Zusammenarbeit zwischen Unternehmen und Behörden stärken.

Fazit

Die NIS 2-Richtlinie ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in der EU. Unternehmen in den betroffenen Sektoren sollten frühzeitig Maßnahmen ergreifen, um die Anforderungen der Richtlinie zu erfüllen und so ihre Widerstandsfähigkeit gegenüber Cyber-Bedrohungen zu erhöhen. Eine erfolgreiche Umsetzung erfordert eine enge Zusammenarbeit zwischen Unternehmen, Behörden und Cybersicherheitsexperten. Obwohl die Umsetzung mit Investitionen verbunden ist, sollten diese als langfristige Investition in den Schutz kritischer Infrastrukturen betrachtet werden. Darüber hinaus bietet die NIS 2-Richtlinie auch Chancen für Innovationen im Bereich der Cybersicherheit. Welche zentralen Punkte lassen sich festhalten?

• Sanktionen: Bei Nichteinhaltung der Richtlinie können erhebliche Geldstrafen verhängt werden. Für „besonders wichtige Einrichtungen“ sind höhere Strafen vorgesehen als für „wichtige Einrichtungen“.
• Internationale Zusammenarbeit: Die Richtlinie fördert die Zusammenarbeit zwischen den EU-Mitgliedstaaten im Bereich der Cybersicherheit, einschließlich des Austauschs von Informationen und bewährten Verfahren.
• Umsetzung in nationales Recht: Die Mitgliedstaaten mussten die Richtlinie bis zum 18. Oktober 2024 in nationales Recht umsetzen. In Deutschland erfolgte dies durch Anpassungen des BSI-Gesetzes und anderer relevanter Vorschriften