Erhöhte Sicherheitsanforderungen: Was Unternehmen über die NIS2-Richtlinie wissen müssen

Die Richtlinie zur Netz- und Informations­sicherheit 2 ist eine Überarbeitung der NIS-Richtlinie von 2016. Ziel ist es, das EU-weite IT-Sicherheits­niveau zu erhöhen. Die Frist für die Umsetzung der NIS2 für alle EU-Mitglieds­staaten endete am 17. Oktober 2024.

Was unterscheidet die Neufassung von der Erstfassung?

Die Meldepflichten für Sicherheits­vorfälle werden verschärft, es gibt strengere Aufsichts­maßnahmen und Durchsetzungs­vorschriften, unter anderem durch Androhung höherer Sanktionen. Durch die neue Richtlinie sind zudem mehr Unternehmen betroffen als durch die NIS-Direktive von 2016.

Wer ist davon betroffen? Organisationen ab einer Größe von 50 Mitarbeitern und ab einem Jahresumsatz von 10 Millionen Euro, die als wesentlich und wichtig eingestuft sind. Einige Einrichtungen sollen unabhängig von ihrer Größe reguliert werden, dazu gehören die Bereiche der digitalen Infrastruktur und der öffentlichen Verwaltung. Es wird zusätzlich eine weitere Unter­scheidung zwischen wichtigen und besonders wichtigen Einrichtungen gemacht. Wichtige Einrichtungen werden mit geringeren Geldstrafen belegt als besonders wichtige Einrichtungen. Gegen wichtige Einrichtungen kann ein Bußgeld von sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes verhängt werden, gegen besonders wichtige Einrichtungen belaufen sich die Zahlen auf zehn Millionen oder zwei Prozent des Jahresumsatzes.

Laut einem Entwurf vom Bundes­innen­ministerium sollen Leitungs­organe mit ihrem Privatvermögen haften. Die entsprechende Obergrenze beträgt zwei Prozent des Jahresumsatzes des Unternehmens.

Zu den wesentlichen, wichtigen und besonders wichtigen Organisationen gehören jene aus folgenden Bereichen:

• Abfallwirtschaft
• Banken- und Finanzwesen
• Bildungswesen
• Digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke)
• Digitale Infrastruktur
• Energie
• Forschungsinstitute
• Herstellung, Produktion und Vertrieb von Chemikalien
• Industrie & Herstellung (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau)
• ITK-Dienstleistungsmanagement
• Lebensmittel­produktion, -verarbeitung und -vertrieb
• Öffentliche Verwaltung
• Post- und Kurierdienste
• Transport
• Wasserversorgung
• Weltraum

Ausgenommen von NIS2 sind Unternehmen, welche im Bereich Verteidigung, nationale Sicherheit oder Strafverfolgung tätig sind. Auch Justiz, Parlamente und Zentralbanken sind nicht betroffen.

Was heißt das im Detail für Unternehmen?

Einrichtungen müssen sich eigenständig in eine der Kategorien einordnen. Innerhalb von drei Monaten muss eine Registrierung beim Bundesamt für Sicherheit in der Informations­technik erfolgen. Sicherheits­vorfälle müssen innerhalb von 24 Stunden gemeldet werden.

Neue Anforderungen für von NIS2 betroffene Einrichtungen

Risikomanagement – Es müssen geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergriffen werden. Ein ganzheitlicher Ansatz soll Risiken für die Sicherheit von Netz- und Informations­systemen abwenden.

Sicherheits­bewertung – Unternehmen sollten eine Analyse der Sicherheits­maßnahmen und Schwachstellen vornehmen.

Angriffspunkte vermeiden – Ein Schwerpunkt der NIS2 ist der proaktive Schutz vor Ransomware. Hierbei können Lösungen für die Endpunkt­sicherheit helfen. Mitarbeiter­schulungen helfen zusätzlich dabei, ein Bewusstsein für die Risiken zu schaffen und Cyber­angriffe abzuwehren. Eine weitere Problematik sind Attacken auf Lieferketten. Unternehmen sollen daher sicherstellen, dass deren Produkte oder Dienstloesungen den aktuellen Sicherheits­anforderungen entsprechen.

Zugriffsmanagement – Unternehmen, die unter die NIS2-Regelung fallen, sind angehalten, den Zugriff auf Konten auf die minimal mögliche Anzahl an Nutzern zu beschränken. Diejenigen Personen, die Zugriffs­rechte haben, müssen ihre Passwörter regelmäßig ändern.

Business Continuity – Damit kritische Systeme aufrechterhalten werden können, müssen Maßnahmen für das sogenannte Business Continuity Management ergriffen werden. Dazu gehören beispielsweise Backup-Management, Disaster Recovery, Krisenmanagement und Notfallpläne.

Zero-Trust-Strategie – Perimeterbasierte Sicherheits­lösungen werden durch Zero-Trust-Konzepte abgelöst. Die Grundlage dieses Konzepts beinhaltet, dass alle Benutzer, Geräte und Anwendungen als nicht vertrauenswürdig eingestuft werden, bis sie verifiziert sind. Die Verifizierung findet kontinuierlich statt. Es wird außerdem der am geringsten mögliche Zugriff gewährt, der möglich ist.

Unser Fazit

Zusammenfassend kann man sagen, dass die NIS2-Richtlinie eine Reaktion auf die aktuelle IT-Sicherheitslage in Europa darstellt. Die Intensität und Häufigkeit der Angriffe steigen. Auch die Methoden der Angreifer variieren stark. In Deutschland wird mit Hochdruck an der Umsetzung dieser EU-Richtlinie in nationalem Recht gearbeitet. Für Unternehmen ist es wichtig, jetzt schon zu agieren. Eine Erhöhung des IT-Sicherheits­standards im Unternehmen kann viel Zeit in Anspruch nehmen. Auch ohne die neue Richtlinie sollten sich Unternehmen der aktuellen Sicherheitslage bewusst sein und Maßnahmen ergreifen.