NIS2 im Überblick
- Erweitert die Richtlinie von 2016
- Wurde im Dezember 2022 veröffentlicht
- EU-Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 umsetzen
- Erhöht die Anforderungen und Pflichten innerhalb betroffener Sektoren
- Gilt für ein breiteres Spektrum an Unternehmen und Organisationen
In der heutigen digitalisierten Welt ist die Netz- und Informationssicherheit (NIS) für Unternehmen aller Größenordnungen, insbesondere für den Mittelstand und Organisationen, von entscheidender Bedeutung. Die NIS2-Richtlinie der Europäischen Union, die im Oktober 2024 in Kraft tritt, verschärft die Anforderungen an die Cybersicherheit deutlich. Dieser Artikel beleuchtet die wichtigsten Punkte der Richtlinie und bietet praktische Handlungsempfehlungen für die Umsetzung in KMU und Organisation.
Was versteht man unter Cybersicherheit?
Cybersicherheit, auch bekannt als IT-, Daten oder Informationssicherheit, ist der Schutz von System, Netzwerken und Informationen vor unbefugtem Zugriff, Nutzung, Offenlegung, Änderung oder Kompromittierung. Sie zielt darauf ab, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen zu gewährleisten. Die NIS2-Richtlinie der Europäischen Union erweitert die Cybersicherheitsvorgaben auf mehr Sektoren und mehr Unternehmen. Die Mindeststandards für Cybersicherheit betreffen auch Unternehmen der kritischen Infrastruktur (KRITIS).
Zu den kritischen Infrastrukturen zählen Organisationen und Einrichtungen, die eine wichtige Bedeutung für das staatliche Gemeinwesen haben. Ein Ausfall hätte erhebliche Störungen der öffentlichen Sicherheit oder Versorgung zur Folge. Dazu zählen beispielsweise Krankenhäuser, lokale Energieversorger, Unternehmen der Lebensmittel sowie Verkehr und Finanzwesen.
Was bedeutet NIS2 nun für die Geschäftsführung in KMU und Organisationen?
In erster Linie verschärft die Richtlinie die Pflichten für Unternehmen und die Anforderungen an die Cybersicherheit innerhalb der Unternehmensstruktur. Das umfasst:
- Risikomanagement: Regelmäßige Identifizierung, Analyse und Bewertung von Cybersicherheitsrisiken.
- Schutzmaßnahmen: Implementierung technischer und organisatorischer Maßnahmen zum Schutz von Informationen und Daten.
- Incident Response: Erstellung und regelmäßige Aktualisierung eines Plans für den Fall eines Cyberangriffs.
- Meldepflicht: Schwere Sicherheitsvorfälle müssen an die zuständige Behörde sowie an Kund:innen gemeldet werden.
- Schulung und Bewusstseinsbildung: Sensibilisierung von Mitarbeitenden für Cybersicherheitsrisiken und Schulung im richtigen Verhalten.
- Kontinuierliche Verbesserung: Regelmäßige Überprüfung und Anpassung der Cybersicherheitsmaßnahmen.
Die Gesamtverantwortung für die Cybersicherheit des Unternehmens liegt natürlich zunächst bei der Geschäftsführung, die mit NIS2 sogar zu Schulungen verpflichtet ist. Die Umsetzung der Richtlinie erfordert (je nach Ausgangssituation im Unternehmen) Investitionen in Personal, Technik und Prozesse. Die Geschäftsführung sollte außerdem stets mit bestem Vorbild vorangehen und aktiv für ein sicherheitsbewusstes Verhalten im Unternehmen werben. Und nicht zu vergessen: In Krisensituationen muss die Geschäftsführung schnell und handlungsstark agieren können.
Um diese Herausforderung erfolgreich zu meistern, ist also ein klares Bekenntnis zum Thema Cybersicherheit seitens der Geschäftsführung unerlässlich. Es ist ratsam, sich hier externer Expertise zu bedienen, um die Umsetzung praktikabel und ressourcenoptimiert zu gestalten. Die richtigen Expert:innen bringen Unternehmen auf den richtigen Weg, damit sie souverän …
… Risiken managen: Cybersicherheitsrisiken aktiv identifizieren, analysieren und bewerten.
… Schutzmaßnahmen umsetzen: Technische und organisatorische Maßnahmen zum Schutz von Informationen, Systemen und Netzwerken implementieren (z. B. Verschlüsselung, Zwei-Faktor-Authentifizierung, sichere Passwortverwaltung).
…. auf Vorfälle reagieren: Einen Plan für den Fall eines Cyberangriffs erstellen und üben.
… Mitarbeitende schulen: Mitarbeitende für Cybersicherheitsrisiken sensibilisieren und im richtigen Verhalten schulen.
… Maßnahmen kontinuierlich verbessern: Cybersicherheitsmaßnahmen regelmäßig überprüfen und bei Bedarf anpassen.
Unternehmen und Organisationen müssen aktiv handeln
Die NIS2-Richtlinie ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in der gesamten EU. KMU und Organisationen sollten sich frühzeitig mit den neuen Anforderungen vertraut machen und einen Plan zur Umsetzung erstellen. Durch aktives Handeln können sie ihre Cybersicherheitsrisiken senken und die Widerstandsfähigkeit ihres Unternehmens verbessern.
Zahlreiche Expert:innen bieten auf experdoo.de verschiedene Möglichkeiten zur Unterstützung bei der Umsetzung der NIS2-Richtlinie. Sie helfen Unternehmen aller Größen und Branchen bei der Betroffenheitsanalyse, der Gap-Analyse, also der Betrachtung des Status Quo in punkto Cybersicherheit verglichen mit den gesetzlichen Anforderungen, sowie der Entwicklung eines effektiven Maßnahmenplans, um die Lücke („Gap“) zu schließen. Weiterhin bieten diese Profis auch Schulungen an, zu denen die Geschäftsführenden nach NIS2 verpflichtet sind.
