NIS2-Richtlinie: Warum Geschäftsführer jetzt handeln müssen

Die NIS2-Richtlinie der Europäischen Union (EU) stellt einen bedeutenden Schritt zur Stärkung der europäischen Cybersicherheit dar. Mit dem Ziel, die wachsenden Bedrohungen im digitalen Raum effizienter zu bekämpfen, ersetzt NIS2 die NIS1-Richtlinie, um Unternehmen besser vor Cyberangriffen zu schützen.

Als Geschäftsführer in Deutschland ist es essenziell, die Auswirkungen der NIS2-Richtlinie zu verstehen und entsprechende Maßnahmen zu ergreifen.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive) ist eine EU-weite Gesetzgebung, die darauf abzielt, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der gesamten Union sicherzustellen. Sie ersetzt die ursprüngliche NIS1-Richtlinie und erweitert deren Anwendungsbereich erheblich.

Warum wurde NIS2 eingeführt und nicht NIS1 beibehalten?

Die Einführung von NIS2 war notwendig, um auf die sich ständig weiterentwickelnde Bedrohungslandschaft im Cyberraum zu reagieren. Während NIS1 einen wichtigen ersten Schritt darstellte, zeigte sich, dass die Richtlinie in ihrer ursprünglichen Form nicht ausreichte, um den aktuellen Herausforderungen gerecht zu werden.

Mit NIS2 reagiert die EU auf diese Defizite und sorgt für eine Vereinheitlichung der Sicherheitsstandards in Europa: der Geltungsbereich wird auf weitere Sektoren und Unternehmen ausgeweitet, die Sicherheitsanforderungen verschärft und eine engere Zusammenarbeit zwischen den EU-Mitgliedstaaten gefördert.

Zusätzlich wird die Verantwortlichkeit des Managements erhöht. Geschäftsführer und leitende Angestellte sind nun direkt für die Einhaltung der Richtlinie verantwortlich und können bei Verstößen haftbar gemacht werden. Dies soll den Druck auf Entscheidungsträger verstärken.

Welche Unternehmen sind von NIS2 betroffen?

Die NIS2-Richtlinie betrifft nun weit mehr Unternehmen als die ursprüngliche NIS1-Richtlinie. Konkret sind folgende Sektoren betroffen:

• Energie (Elektrizität, Öl, Gas)
• Transport (Luftfahrt, Schiene, Straße, Wasser)
• Banken und Finanzmärkte
• Gesundheitswesen (Krankenhäuser, Labore)
• Trinkwasser- und Abwasserwirtschaft
• Digitale Infrastruktur (DNS-Dienste, Rechenzentren)
• Öffentliche Verwaltung
• Raumfahrt
• Lebensmittelproduktion
• Post- und Kurierdienste
• Herstellung kritischer Produkte (z.B. Chemikalien, Arzneimittel)

NIS2 und DORA: Was Finanzunternehmen beachten müssen

Der Finanzsektor unterliegt sowohl der NIS2-Richtlinie als auch der Digital Operational Resilience Act (DORA). Während NIS2 einen allgemeinen Rahmen für die Cybersicherheit in verschiedenen Sektoren bietet, richtet sich DORA spezifisch an Finanzunternehmen und legt detaillierte Anforderungen an die digitale Betriebsstabilität fest.

Es ist wichtig zu beachten, dass die Erfüllung der DORA-Anforderungen nicht automatisch die Einhaltung von NIS2 garantiert, da beide Regelwerke unterschiedliche Schwerpunkte setzen. Daher sollten Sie als Geschäftsführer sicherstellen, dass Ihr Unternehmen sowohl die Vorgaben von DORA als auch von NIS2 erfüllt.

ISO 27001-Zertifizierung und NIS2-Compliance

Eine ISO 27001-Zertifizierung zeigt, dass Ihr Unternehmen ein Informationssicherheits-Managementsystem (ISMS) implementiert hat. Obwohl dies eine solide Grundlage für die Cybersicherheit bildet, deckt ISO 27001 nicht alle spezifischen Anforderungen von NIS2 ab.

Daher ist es notwendig, zusätzliche Maßnahmen zu ergreifen, um vollständig NIS2-konform zu sein.

Was müssen Geschäftsführer jetzt tun?

Als Geschäftsführer tragen Sie die Verantwortung für die Umsetzung der NIS2-Anforderungen in Ihrem Unternehmen. Unabhängig davon, ob Ihr Unternehmen bereits unter NIS1 fiel oder nun neu unter NIS2 fällt, sollten Sie folgende Schritte einleiten:

1. Risikomanagement etablieren oder aktualisieren:
   Führen Sie regelmäßige Risikobewertungen durch, um potenzielle Bedrohungen zu identifizieren und geeignete Sicherheitsmaßnahmen zu implementieren. Sollten Sie dies bereits tun, richten Sie Ihre Risikoanalysen spezifisch auf die NIS2-Anforderungen aus.

2. Sicherheitsrichtlinien entwickeln:
   Erstellen Sie klare Richtlinien und Prozesse für die Informationssicherheit und stellen Sie sicher, dass alle Mitarbeiter diese kennen und befolgen. Definieren Sie einzelne Verantwortlichkeiten – auch auf Führungsebene – und stellen Sie sicher, dass alle Beteiligten diese kennen.

3. ISMS erweitern:
   Sollte in Ihrem Unternehmen ein ISMS im Sinne der ISO 27001 implementiert sein, erweitern Sie dieses und versehen Sie es mit zusätzlichen Berichts- und Dokumentationspflichten im Bezug auf die NIS2.

4. Technische Schutzmaßnahmen implementieren:
   Nutzen Sie aktuelle Sicherheitslösungen wie Firewalls, Intrusion-Detection-Systeme und regelmäßige Sicherheitsupdates.

5. Meldesysteme einrichten:
   Implementieren Sie Prozesse zur schnellen Erkennung und Meldung von Sicherheitsvorfällen an die zuständigen Behörden. Aktualisieren Sie bestehende Prozesse und gehen Sie hier in den Austausch mit Ihrer IT-Leitung oder Ihrem IT-Systemhaus.

6. Schulungen durchführen:
   Sensibilisieren Sie Ihre Mitarbeiter regelmäßig für Cyberbedrohungen und schulen Sie sie im sicheren Umgang mit IT-Systemen. Führen Sie regelmäßig Angriffssimulationen durch, um die erworbenen Kenntnisse in der Praxis zu überprüfen.

7. Externe Experten hinzuziehen:
   Lassen Sie die Umsetzung der NIS2 sowie Ihre Dokumentationen überprüfen. Sollten Sie zu Beginn nicht wissen, welche Maßnahmen im Rahmen der NIS2 bereits umgesetzt werden und welche Sie noch umsetzen müssen, lassen Sie ein internes Audit durchführen. Auf diese Weise erhalten Sie umgehend eine ausführliche Liste aller bereits erfüllten und noch zu erledigenden Aufgaben, die Sie anschließend nur noch abhaken müssen.

Als Anbieter für Informationssicherheit und Cyber Security bietet Admijalo ein breites Leistungsspektrum für die NIS2-Umsetzung, darunter Schulungen und E-Learning, branchenspezifische Phishing-Kampagnen, Schwachstellenscans und Penetrationstests.
Hier geht es zu unseren NIS2-Leistungen.

Fazit: NIS2 nimmt Geschäftsführer in die Pflicht

Mit der NIS2-Richtlinie steigt die Verantwortung der Geschäftsführung erheblich. Wer bereits NIS1-konform war, kann nicht davon ausgehen, dass die bisherigen Maßnahmen ausreichen. Es gilt, die neuen Anforderungen systematisch zu prüfen und entsprechende Schritte einzuleiten.

Wer proaktiv handelt, schützt nicht nur die IT-Infrastruktur, sondern vermeidet auch rechtliche Konsequenzen.

Sie denken, dass Sie vor einem Cyberangriff sicher sind?
Dann stellen Sie Ihre NIS2-Maßnahmen auf die Probe. Lassen Sie sich von unseren spezialisierten ethischen Hackern angreifen. Wir überprüfen Ihre Cyber-Resilienz und geben Ihnen anschließend detailliert Feedback, welche Sicherheitslücken Sie im Sinne Ihrer NIS2-Compliance noch schließen müssen.
Mehr Informationen finden Sie hier.