Cyber-Resilienz NIS2-Richtlinie: Wie Unternehmen die Compliance einhalten

Anbieter zum Thema

NetApp Deutschland GmbH

Kendox AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

In der Vergangenheit herrschten große Unterschiede zwischen den EU-Mitgliedsstaaten, wenn es um den Umgang mit Cybersicherheit ging. Die NIS2-Richtlinie schreibt nun einheitliche Standards für viele Unternehmen vor. Wenn Unternehmen Compliance garantieren wollen, müssen sie dabei vor allem ihre Daten richtig managen.

Die zunehmende Bedrohung durch Cyberangriffe ist heute ein immer größeres Risiko für Unternehmen. Hinzu kommt, dass sich auch Angriffsmethoden dynamisch entwickeln und immer neue Abwehrstrategien erfordern. Der Gesetzgeber reagiert darauf mit verschärften regulatorischen Anforderungen wie der neuen NIS2-Richtlinie. Diese tritt am 17. Oktober 2024 in Kraft und soll die Sicherheit kritischer Infrastrukturen gewährleisten.  Strafen. Was mit der NIS2-Richtlinie auf die Unternehmen zukommt

Die Überarbeitung tat dringend Not: NIS1 hatte zwar bereits für eine bessere Cyber-Resilienz von Unternehmen gesorgt, gleichzeitig aber auch die großen Unterschiede zwischen den rechtlichen Rahmenbedingungen der Mitgliedstaaten im Bereich der Cybersicherheit aufgezeigt. Dies soll sich mit der neuen NIS2-Richtlinie ändern. Für Unternehmen im europäischen Raum heißt es nun, sich auf die neuen Regelungen einzustellen, sonst drohen empfindliche Strafen.  

Was mit der NIS2-Richtlinie auf Unternehmen zukommt

Die NIS2-Richtlinie erweitert die Anzahl der betroffenen Sektoren massiv. So fallen nun auch die Raumfahrt, Abwasseranlagen, die öffentliche Verwaltung und B2B IKT-Dienstleister konkret unter die wesentlichen Einrichtungen. Insgesamt steigt die Zahl der Sektoren auf 18, sieben neue „Important Entities“ kommen hinzu und die Schwellenwerte werden gesenkt. Darüber hinaus sind Unternehmen nun verpflichtet, das Risiko eines Cyber-Angriffs über ihre Lieferkette zu bewerten und ein Cyber-Risikomanagement zu implementieren.  

Diese Anforderung ist nicht trivial, gehört dazu doch eine erarbeitete Umsetzung – idealerweise auf Basis eines Information Security Management System (ISMS) mit Reaktionsplänen, Mitarbeiterschulungen, Tests und regelmäßigen Audits, die je nach Branche auch unangekündigt erfolgen können. Werden diese Regelungen nicht eingehalten, haften die Geschäftsführer nun persönlich für eventuelle Schäden. Die Strafen können sehr hoch ausfallen – bei „wesentlichen Entitäten“ bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes.

Strengere Meldepflichten bei Sicherheitsvorfällen

Zudem gelten nun deutlich strengere Meldepflichten, wobei das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Aufsichtsbehörde fungiert. So muss innerhalb von 24 Stunden nach einem signifikanten Vorfall eine Frühwarnmeldung erfolgen, wenn der Verdacht auf gezielte Kriminalität besteht oder es zu weiteren Auswirkungen kommen könnte. Spätestens nach 72 Stunden ist ein Update erforderlich, das über die Schwere des Vorfalls und Anzeichen einer Kompromittierung informiert. Auf Anfrage sind weitere Zwischenberichte zu liefern. Der Abschlussbericht, der eine genaue Beschreibung des Vorfalls enthält, muss innerhalb von einem Monat geliefert werden. Dieser umfasst Art und Ursache der Bedrohung, Gegenmaßnahmen sowie etwaige grenzüberschreitende Auswirkungen auf andere Unternehmen und Sektoren. 

Um die Kommunikation und Vorgehensweisen innerhalb der EU zu organisieren, richten die Mitgliedstaaten ein nationales CSIRT (Computer Security Incident Response Team) ein. In Deutschland wird diese Rolle das BSI übernehmen. Die CSIRTs arbeiten EU-weit zusammen und berichten an die übergreifende und koordinierende Cyber-Sicherheitsbehörde ENISA (European Union Agency for Cybersecurity). NIS2 erweitert die Sicherheitsanforderungen in der EU und sieht die Verantwortung für sichere Lieferketten, klarere Meldepflichten sowie strengere Sanktionen bei Verstößen vor.

Beispiele für praktische Auswirkungen der NIS2-Richtlinie 

Case Study zu Transportfirma: Um die NIS2-Richtlinie umzusetzen, musste ein transeuropäisches Transportunternehmen seine Cybersicherheits-Infrastruktur neu bewerten. Eine detaillierte Risikobewertung brachte mehrere Schwachstellen in den Altsystemen ans Licht. Das Unternehmen rüstete in der Folge sein System auf, führte eine strengere Zugangsverwaltung ein und erstellte einen soliden Reaktionsplan gegen potenzielle Cybersicherheits-Bedrohungen. Diese und weitere Änderungen stellten die Einhaltung der NIS2-Richtlinie sicher und stärkten die betriebliche Widerstandsfähigkeit des Unternehmens. 

Case Study zu Energiedienstleister: Ein regionaler Energiedienstleister in der EU wurde gemäß der NIS2-Richtlinie als Operator of Essential Services (OES) eingestuft. Eine Lückenanalyse zeigte auf, in welchen Bereichen die Vorschriften nicht eingehalten wurden. Daraufhin wurden die Systeme zur Erkennung von Datenschutzverletzungen aufgestockt, die IT-Infrastruktur verstärkt und die Mitarbeiter regelmäßig in den neuesten Methoden zur Abwehr von Cyber-Bedrohungen geschult. Dank seiner proaktiven Vorgehensweise kann der Energiedienstleister die Richtlinie einhalten und sich gleichzeitig besser gegen potenzielle Cyber-Angriffe wappnen.

Diese Fälle verdeutlichen, wie Lieferanten und Unternehmen, die von der NIS2-Richtlinie betroffen sind, sich an die veränderte Regulierungslandschaft anpassen, ihre Geschäftskontinuität sicherstellen und dabei das Vertrauen ihrer Interessengruppen bewahren. 

Compliance mit intelligentem Datenmanagement erfüllen

Intelligente Datenmanagement- und Sicherheitslösungen unterstützen Unternehmen dabei, ihre Cybersicherheit zu verbessern und die Anforderungen der NIS2-Richtlinie zu erfüllen. Gute Datenmanagementlösungen bieten beispielsweise Analysen, automatisierte Gefahrenerkennung und Maßnahmen zur Eindämmung von Cyber-Angriffen auf Basis von Machine Learning und KI, sowie robuste Datensicherungsfunktionen, einschließlich Backup, Replikation und Wiederherstellung. Diese Funktionen gewährleisten die Verfügbarkeit und Ausfallsicherheit kritischer Systeme und Daten, was eine der Hauptanforderungen von NIS2 ist.  

Darüber hinaus sind sichere Speicherlösungen erforderlich, die Daten im Ruhezustand und während der Übertragung schützen können. Verschlüsselung, Zugriffskontrollen und sichere Protokolle verhindern unberechtigten Zugriff und Datenverletzungen und entsprechen damit dem Sicherheitsfokus von NIS2. Ein wichtiger Faktor ist dabei die intelligente Erkennung sowie automatisierte Handhabung von ungewöhnlichen Datenaktivitäten im tagtäglichen Betrieb – dies vermeidet eine Mehrbelastung der Mitarbeiter.

Erfüllung der Compliance-Anforderungen von NIS2

Die Compliance muss laufend überprüft werden. Einheitliche Plattformen stellen dafür die benötigten Überwachungs- und Reporting-Tools zur Verfügung. Mit ihrer Hilfe können Unternehmen ihren Compliance-Status verfolgen, potenzielle Schwachstellen identifizieren und proaktive Maßnahmen ergreifen, um die Sicherheit aufrechtzuerhalten.Im Falle eines Angriffs schreibt die NIS2-Richtlinie schnelle Gegenmaßnahmen und Berichterstattung vor. Intelligente Datenmanagement-Lösungen erleichtern die Reaktion auf Vorfälle, indem sie die Erkennung von Gefahren automatisieren, nicht veränderbare Daten-Snapshots erstellen, optional Daten in Compliance-konformen, gesicherten Speicherbereichen oder DataVaults speichern sowie mit Wiederherstellungsmethoden eine schnelle Betriebsbereitschaft unterstützen.

Auf diese Weise können Unternehmen im Falle eines Cybersicherheits-Vorgangs Dienste und Daten wiederherstellen. Automatisierungs- und Orchestrierungstools tragen dazu bei, Compliance-Prozesse effizienter zu gestalten, das Risiko menschlicher Fehler zu verringern und die konsistente Anwendung von Sicherheitsrichtlinien zu gewährleisten. Ein intelligentes Datenmanagement unterstützt durch Analysen, Reportings, Testmöglichkeiten und Erkennung sowie Handhabung kann damit ein entscheidender Faktor sein, um die Compliance-Anforderungen von NIS2 zu erfüllen.

Cybersecurity

Nur wenige Unternehmen sind auf NIS2 vorbereitet