EU-Richtlinie für Cybersicherheit NIS-2: Wie Unternehmen die Richtlinie jetzt umsetzen

Anbieter zum Thema

Mimecast Germany GmbH

Kendox AG

xSuite Group GmbH

Die NIS-2-Richtlinie stellt hohe Anforderungen an die Cybersicherheitsstrategie von Unternehmen in ihrem Geltungsbereich. Eine aktuelle Umfrage zeigt jedoch, dass viele Unternehmen noch nicht vollständig auf die Umsetzung vorbereitet sind. Was jetzt zu tun ist.

Die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 zielte darauf ab, ein hohes gemeinsames Niveau der Cybersicherheit in der EU zu gewährleisten. Immer öfter erwiesen sich die bisherigen Auflagen jedoch als ungenügend für die IT-Risiken einer immer stärker vernetzten Welt und immer raffinierterer Cyberangriffe. NIS-2 verpflichtet Unternehmen, robuste Sicherheitsstrategien umzusetzen, die der veränderten Bedrohungslage entsprechen. Dazu zählen auch neue technische und organisatorische Maßnahmen. Durch die Ausweitung des Geltungsbereichs fallen jetzt mehr Unternehmen unter die strengen Auflagen, und die Haftung der Geschäftsführung macht Cybersicherheit zur Chefsache.

Das ändert sich durch die NIS-2-Richtlinie

Für betroffene Unternehmen bringt NIS-2 einige Herausforderungen mit sich. Im Gegensatz zur ersten NIS-Richtlinie, die nur für eine begrenzte Anzahl von Sektoren galt, umfasst NIS-2 eine größere Bandbreite an Branchen. Betroffen sind neben Betreibern wesentlicher Dienste (Essential Service Operators) nun auch Anbieter digitaler Dienste, die zuvor nicht unter die Regelungen fielen. Dazu zählen zum Beispiel auch Anbieter von Cloud-Diensten, Rechenzentren und Online-Marktplätzen.Neben der Erweiterung des Geltungsbereichs bringt NIS-2 auch strengere Cybersicherheitsanforderungen mit sich. Unternehmen müssen nicht nur technische, sondern auch organisatorische Maßnahmen ergreifen, um den Schutz ihrer IT-Infrastruktur sicherzustellen. Dazu gehören unter anderem:

• Risikoanalysen und Risikomanagement: Unternehmen müssen regelmäßige Risikoanalysen durchführen und Maßnahmen zur Risikominderung implementieren. 

• Incident Response: Unternehmen müssen Prozesse zur schnellen Erkennung von und Reaktion auf Cybersicherheitsvorfälle etablieren.

• Business Continuity: Unternehmen müssen sicherstellen, dass ihre Dienstleistungen auch im Fall eines Cyberangriffs aufrechterhalten werden können.

• Berichtspflichten: Sicherheitsvorfälle sind innerhalb kurzer Fristen an die zuständigen Behörden zu melden.

Sanktionen und erweiterte Haftung

NIS-2 sieht auch deutlich schärfere Sanktionsmechanismen vor. Im Fall von Verstößen drohen hohe Geldstrafen. Besonders brisant ist die persönliche Haftbarkeit der Geschäftsführung: Hochrangige Manager können nun direkt zur Verantwortung gezogen werden, wenn sie den NIS-2-Verpflichtungen in ihrem Unternehmen nicht nachgekommen sind. Diese Haftungserweiterung soll sicherstellen, dass das Thema Cybersicherheit auf der Führungsebene die notwendige Priorität erhält. Einer aktuellen Umfrage zufolge, die die Computerwoche in Zusammenarbeit mit Mimecast durchführte, kennt allerdings nur jeder fünfte der Befragten die entsprechenden Sanktionen bei Verstößen. 

NIS-2: Auf dem Weg zur Compliance

Für die Umfrage NIS2, weshalb, warum? wurden im Juli 2024 100 Unternehmensentscheider und IT-Verantwortliche befragt. Die Erkenntnisse geben Anlass zur Besorgnis: So sind 88 % der Befragten noch nicht ausreichend über die spezifischen Anforderungen von NIS-2 informiert. Nur zehn Prozent konnten mindestens vier von fünf grundlegenden Fragen zur NIS-2 korrekt beantworten. Das weist auf ein ernstes Informationsdefizit der Verantwortlichen hin. 

Trotz der vorhandenen Defizite schätzen 81 Prozent der Unternehmen ihre Fähigkeit zur fristgerechten Umsetzung der NIS-2-Anforderungen weiterhin positiv ein. Die Ergebnisse zeigen allerdings auch, dass bei 92 Prozent der Unternehmen die vorhandenen Security-Infrastrukturen und -Maßnahmen nicht für die NIS-2-Compliance ausreichen und (zum Teil erheblicher) Investitionsbedarf besteht. 24 Prozent planen Investitionen in der Größenordnung bis 50.000 Euro, 37 Prozent haben vor, bis zu 100.000 Euro auszugeben, und 31 Prozent gehen von einem Investitionsbedarf über 100.000 Euro aus. Diese Zahlen verdeutlichen den Aufwand, den Unternehmen für die Umsetzung der NIS-2-Richtlinie betreiben müssen.

Herausforderungen und Risiken bei der Umsetzung 

Die Umsetzung der NIS-2-Richtlinie stellt vor allem kleine und mittlere Unternehmen (KMU), die erstmals in den Geltungsbereich fallen, vor Herausforderungen. Sie verfügen in der Regel nicht über die finanziellen und personellen Ressourcen großer Unternehmen. Viele Verantwortliche kennen die genauen Anforderungen der Richtlinie nicht oder sind sich der Tragweite der notwendigen Maßnahmen nicht bewusst. Diese Unsicherheiten führen dazu, dass die Umsetzung vielerorts schleppend voranschreitet. Es besteht Bedarf an externer Expertise sowie an Schulungen und Sensibilisierungsmaßnahmen, um das nötige Know-how langfristig in den Unternehmen zu verankern.Häufig hapert es auch an technischen und organisatorischen Voraussetzungen wie einer geeigneten IT-Architektur für die Nutzung automatisierter Dienste zur Bedrohungserkennung oder ausreichender Expertise im Haus. Auch hier sind vor allem KMU betroffen.

NIS-2: Was Verantwortliche jetzt tun können 

Eine umfassende Bestandsaufnahme der vorhandenen IT-Infrastruktur und der bereits implementierten Sicherheitsmaßnahmen schafft die Grundlage für eine Risikoanalyse und die Entwicklung einer Roadmap, die sowohl technische als auch organisatorische Aspekte berücksichtigt. Neben der Implementierung bekannter technischer Sicherheitsmaßnahmen wie Firewalls, Verschlüsselung von Kommunikation, Multi Factor-Authentication (MFA) und sicheren Netzwerkarchitekturen ist es auch entscheidend, dass Mitarbeiter auf allen Ebenen des Unternehmens für das Thema Cybersicherheit sensibilisiert werden. Regelmäßige Schulungen und und ein konsequentes Human Risk Management sind unerlässlich. 

Um Reaktionszeiten bei Vorfällen zu verkürzen und dadurch sowohl den Auflagen zur Incident Response als auch den Berichtspflichten gerecht zu werden, gibt es spezialisierte, cloudbasierte Lösungen, die Datenabfluss schnell erkennen. Das kann die Verantwortlichen und ihre Teams erheblich entlasten und hilft, die strengen Vorgaben besser einzuhalten.Die NIS-2-Richtlinie stellt Unternehmen vor erhebliche Herausforderungen, bietet aber auch die Chance, die eigenen Cybersicherheitsstrategien an die aktuelle Bedrohungslage anzupassen. Denn die Konsequenzen von Sicherheitsvorfällen sind bereits heute erheblich. Sie reichen von hohen Strafzahlungen bei Datenverlust bis hin zu Reputationsschäden und verlorenem Kundenvertrauen.

Die Investitionen, die zur Einhaltung der NIS-2-Richtlinie erforderlich sind, sollten deshalb eine zukunftssichere IT-Infrastruktur im Blick haben. Sie müssen Teil einer robusten Cybersicherheitsstrategie sein, die nicht nur Angriffe abwehrt, sondern auch das Vertrauen von Kunden, potenziellen Kunden sowie Partnern stärkt und so zum Wachstumstreiber wird. 

Cybersecurity-Strategie

Cyberbedrohungen: KI-gestützte Angriffe auf dem Vormarsch