EU-Direktive für Cybersicherheit NIS-2: 7 Fehleinschätzungen rund um die EU-Richtlinie

Mit der neuen EU-Richtlinie für Cybersicherheit erweitert sich der Kreis der betroffenen Firmen von rund 2.000 Unternehmen auf geschätzte 30.000. Während sich Großbetriebe von ihren Rechtsabteilungen beraten lassen, sind viele Mittelständler verunsichert. Die wichtigsten Fakten und Fehleinschätzungen rund um NIS-2.

Das Risiko, Opfer einer Cyberattacke zu werden, ist derzeit höher denn je – und Unternehmen sind dafür nur selten ausreichend gerüstet. Daher hat die EU 2022 eine zweite, verschärfte Direktive zum Schutz von Netzwerken und Informationssystemen, kurz NIS-2, auf den Weg gebracht. Derzeit wird sie in Deutschland in geltendes Recht umgesetzt. Vor folgenden sieben Fehleinschätzungen sollten Verantwortliche hüten.

1. NIS-2 betrifft nur KRITIS-Unternehmen

Betreiber kritischer Infrastrukturen und digitaler Dienste, kurz KRITIS, müssen in Deutschland schon seit 2017 besondere Vorgaben für die IT-Sicherheit erfüllen. Mit NIS-2 nimmt die EU jetzt neben diesen „besonders wichtigen“ Betrieben noch viele weitere „wichtige Einrichtungen“ aus anderen Branchen in die Pflicht. Darunter fällt praktisch die gesamte deutsche Fertigungsindustrie. Denn wer gewerblich Waren herstellt oder weiterverarbeitet, muss sich an die neuen Vorschriften halten – vorausgesetzt sein Unternehmen ist groß genug. Gleiches gilt zum Beispiel auch für Hersteller und Händler chemischer Stoffe.

2. NIS-2 betrifft nur Großunternehmen

Diese Aussage war bisher korrekt. Mit der neuen Richtlinie ändert sich auch hier etwas. Der Geltungsbereich wurde auf „mittlere Unternehmen“ ausgeweitet. Und die sind laut EU-Definition ganz schön klein. Firmen, die als „wichtige Einrichtungen“ gelten und mindestens 50 Mitarbeiter haben, fallen bereits unter die verschärften Regelungen. Genauso wie Unternehmen aus diesen Sektoren mit einem Jahresumsatz und einer Bilanzsumme von zehn Millionen Euro. Die Industrie- und Handelskammer München schätzt die Zahl der betroffenen Unternehmen auf 30.000: Das sind 28.000 mehr als bisher.

3. Nach Inkrafttreten von NIS-2 gibt es eine Übergangsfrist

Eine Übergangsfrist ist nicht vorgesehen. Die Bundesregierung hat bis zum 17. Oktober 2024 Zeit, die EU-Vorgaben in nationales Recht zu überführen. Der aktuelle Referentenentwurf wurde Ende Juli 2024 im Bundeskabinett verabschiedet. Jetzt muss er noch das Gesetzgebungsverfahren durchlaufen. Ein Inkrafttreten ab dem 18. Oktober 2024 liegt damit im Bereich des Möglichen. Der jeweils aktuelle Stand lässt sich auf der Webseite des Bundesinnenministeriums abrufen.

4. Backup, Firewall und Virenscan reichen für die Risikovorsorge

Diese Maßnahmen sind wesentliche Elemente der vorgeschriebenen Risikomanagementmaßnahmen. Sie sind aber bei weitem nicht ausreichend, um sich heute vor Angriffen zu schützen. Fundament einer modernen Sicherheitsstrategie ist das Wissen, welche Geräte sich zu jedem Zeitpunkt im Netz befinden, ob es sich dabei um zulässige Devices handelt und welche Software-Versionen installiert sind. An einer laufenden, vollständigen Inventarisierung kommt daher niemand mehr vorbei.

5. Unternehmen entscheiden selbst, wann sie die Systeme patchen

Unter dem Schlagwort „Cyberhygiene“ führt der deutsche Gesetzesentwurf exemplarisch konkrete Maßnahmen auf. Neben Regelungen für sichere Passwörter oder Backup-Konzepten für Daten findet sich hier auch explizit das Patchmanagement. Wer nach Bekanntwerden einer Schwachstelle wertvolle Zeit verstreichen lässt und damit einen Sicherheitsvorfall verursacht (Stichwort Ransomware), hat nicht nur ein internes Problem. Betroffene müssen auch nachweisen können, dass kein Versäumnis zu einem Sicherheitsvorfall geführt hat. Denn wer fahrlässig oder vorsätzlich nicht rechtzeitig aktiv wird oder definierte Maßnahmen nicht korrekt ausführt, handelt ordnungswidrig und riskiert empfindliche Bußgelder.

6. Wer technisch sauber aufgestellt ist, erfüllt die NIS-2-Pflichten

Zusätzlich zur Analyse und Sicherung von Systemen umfasst das nach NIS erforderliche Risikomanagement auch organisatorische und personelle Aspekte. Das beginnt bei entsprechenden Zugriffskontrollen und endet bei der regelmäßigen Schulung aller Mitarbeitenden. Denn ein falscher Klick kann bereits einer zu viel sein.

7. Die IT-Abteilung trägt die volle Verantwortung für die Umsetzung

Natürlich liegen strategische Planung und taktische Umsetzung in der Hand der IT-Abteilung oder eines damit beauftragten Dienstleisters. Die alleinige Verantwortung dafür tragen sie gemäß NIS-2 jedoch nicht. Die Richtlinie nimmt speziell die Geschäftsleitung in die Pflicht, und das in mehrfacher Hinsicht. So müssen die „leitenden Organe“ einer Organisation zum einen die zu ergreifenden Maßnahmen für das Risikomanagement umsetzen und deren Umsetzung überwachen. Des Weiteren müssen sie durch regelmäßige Schulungen nachweisen, Risiken und deren Auswirkungen erkennen und bewerten zu können.

Bei NIS-2 besteht noch Nachholbedarf

Gerade bei kleineren und mittleren Betrieben besteht im Bereich Cybersicherheit und NIS-2-Compliance noch Nachholbedarf. Da 28.000 Betriebe erstmals unter die NIS-2-Regelung fallen, drängt die Zeit. „Für Mittelständler ist es höchste Eisenbahn, aktiv zu werden. Sie brauchen jetzt bis Oktober einfach umsetzbare Lösungen. Cybersicherheit beginnt mit der tagesaktuellen Inventarisierung der eigenen Infrastruktur und deren Absicherung durch automatisiertes Patching. Damit lassen sich einige zentrale Anforderungen der NIS-2-Richtlinie schnell abdecken“, kommentiert Martin Schaletzky, Vorstand von Deskcenter. Denn selbst wenn der deutsche Gesetzentwurf noch nicht final verabschiedet ist. Die EU-Regeln sind schon bekannt.

NIS-2-Richtlinie

Wie Unternehmen ein effizientes Vorfallmanagement umsetzen