In der heutigen, schnelllebigen digitalen Welt stehen Unternehmen vor zunehmend komplexen Herausforderungen in Sachen Cybersicherheit. Die EU hat deshalb mit der Einführung der NIS2-Richtlinie einen entscheidenden Schritt unternommen, um den Schutz Kritischer Infrastrukturen und die Cybersicherheit innerhalb ihrer Mitgliedstaaten zu stärken.
Doch was genau verbirgt sich hinter NIS2, welche Sektoren sind betroffen und wie können Sie die Anforderungen der Richtlinie umsetzen? All das und mehr erfahren Sie in diesem Artikel.
Die NIS2-Richtlinie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie (kurz für: Richtlinie zur Netzwerk- und Informationssicherheit) – einer EU-weiten Regelung zur Cybersicherheit aus dem Jahr 2016. Um die Widerstandsfähigkeit Kritischer Infrastrukturen (KRITIS) gegen Cyberangriffe zu stärken, schließt NIS2 mehr Sektoren und Unternehmen ein und definiert strengere Sicherheits- und Meldepflichten.
Dieses Update ist notwendig, da sich die Bedrohungslandschaft seit der Einführung der ersten NIS-Richtlinie erheblich verändert hat: Cyberangriffe werden nicht nur häufiger, sondern auch komplexer. Gleichzeitig erfordert die digitale Transformation vieler Wirtschaftsbereiche eine robustere und umfassendere Regelung. Nur so lassen sich die Sicherheit und Resilienz der Kritischen Infrastrukturen in der EU gewährleisten.
Grundsätzlich ist NIS2 bereits am 16. Januar 2023 in Kraft getreten. Die Mitgliedstaaten der EU haben jedoch bis zum 18. Oktober 2024 Zeit, die Richtlinie in nationales Recht umzusetzen. Deutschland befindet sich hier noch in der Entwurfsphase, die Umsetzung von NIS2 liegt bisher nur als Referentenentwurf vor. Damit Sie wissen, wann die NIS2-Richtlinie hierzulande vollumfänglich gültig ist, sollten Sie die endgültige Verabschiedung des entsprechenden nationalen Gesetzes im Auge behalten.
Das ist auch deshalb wichtig, weil NIS2 signifikant über das 2021 in Deutschland verabschiedete IT-Sicherheitsgesetz 2.0 hinausgeht: Die sogenannte Size-Cap-Regel besagt, dass alle mittleren und großen Unternehmen in den von NIS2 betroffenen Sektoren bestimmten Cybersicherheitsvorgaben nachkommen müssen. Während die ursprüngliche NIS-Richtlinie hauptsächlich auf Betreiber wesentlicher Dienste und digitale Diensteanbieter abzielte, nimmt NIS2 eine breitere Palette von Unternehmen in die Pflicht.
NIS2 bezieht sich auf Unternehmen, die für die europäische Gesellschaft und Wirtschaft kritisch sind. Sie sollen angemessene Cybersicherheitsmaßnahmen ergreifen und so der immer komplexeren Bedrohungslage entgegenwirken.
Da immer mehr infrastrukturell bedeutsame Unternehmen zunehmend digitaler und vernetzter werden, ist eine Erweiterung der relevanten Sektoren durch NIS2 nur konsequent – auch wenn das natürlich die damit einhergehenden Verpflichtungen nicht weniger zur Herausforderung macht.
So umfasst die aktualisierte Richtlinie nun eine Bandbreite an Sektoren. Neu sind dabei unter anderem die Branchen öffentliche Verwaltung, Abwasser- und Abfallwirtschaft, Hersteller kritischer Produkte und von Lebensmitteln, Post- und Kurierdienste, Raumfahrt und die digitale Infrastruktur.
Wie bereits erwähnt, ist vor allem die Unternehmensgröße entscheidend: NIS2 betrifft in den relevanten Sektoren – eine vollständige Liste finden Sie weiter unten – all jene Unternehmen, die mehr als 50 Mitarbeitende beschäftigen oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielen. Unternehmen dieser Dimension gelten als „wichtige Einrichtungen“ (betroffen sind hier unabhängig von Größe und Umsatz auch Vertrauensdienste beziehungsweise Trust Service Provider).
Daneben definiert NIS2 „besonders wichtige Einrichtungen“: Damit sind Unternehmen gemeint, die mindestens 250 Mitarbeitende beschäftigen oder einen Jahresumsatz von 50 Millionen Euro sowie eine Bilanzsumme von über 43 Millionen Euro vorweisen können. Mittlere Unternehmen, die Telekommunikationsnetze und -dienste anbieten, fallen ebenfalls unter „besonders wichtige Einrichtungen”. Betreiber kritischer Anlagen, qualifizierte Vertrauensdienste, DNS-Dienste und TLD-Registries gelten unabhängig von Beschäftigtenzahl und Wirtschaftsleistung als besonders wichtig.
Darüber hinaus unterscheidet die NIS2-Richtlinie selbst zwischen sogenannten „Essential Entities“ (besonders wichtigen Einrichtungen) und „Important Entities“ (wichtige Einrichtungen). Gemäß dem aktuellen Referentenentwurf wird die deutsche Umsetzung diese Kategorisierung allerdings nicht genau übernehmen. Stattdessen soll eine Einteilung in „Sektoren und Teilsektoren mit hoher Kritikalität” und „Sonstige kritische Sektoren und Teilsektoren” stattfinden – basierend vor allem auf der Bedeutung der Unternehmen und dem damit einhergehenden Risiko.
Sprich: Je dramatischer sich eine Beeinträchtigung der jeweiligen Unternehmensleistungen auf die Allgemeinheit auswirkt, desto höher die Kritikalität und entsprechende Einstufung des Unternehmens beziehungsweise des Sektors.
NIS2 und KRITISDiese Einteilung weist eine Gemeinsamkeit zur KRITIS-Einstufung (KRITIS: Kritische Infrastrukturen) auf, die in vielen Ländern bereits existiert: Sie identifiziert ebenfalls Unternehmen, deren Funktionieren für die Gesellschaft von entscheidender Bedeutung ist. Die NIS2-Richtlinie erweitert diesen Ansatz auf EU-Ebene und sorgt für eine harmonisierte Herangehensweise zum Schutz Kritischer Infrastrukturen vor Cyberbedrohungen. |
Wie vielfältig Kritische Infrastrukturen sind, verrät ein Blick auf die Liste der von NIS2 betroffenen Sektoren. Diese umfasst die folgenden Branchen, Industrien und Wirtschaftszweige:
|
Die Einrichtungen der Bundesverwaltung fallen im Referentenentwurf unter eine separate Regulierung. Zu diesem Sektor gehören:
|
Doch welche konkreten Verpflichtungen kommen mit NIS2 auf die verschiedenen Sektoren zu? Betroffene Unternehmen müssen folgende Maßnahmen umsetzen.
Mithilfe regelmäßiger Auswertungen und Überprüfungen sollen Unternehmen potenzielle Cybersicherheitsbedrohungen und Schwachstellen in ihren Systemen und Prozessen identifizieren. Außerdem bilden diese Analysen die Grundlage für alle weiteren Sicherheitsmaßnahmen.
Unternehmen sind dazu angehalten, auf Basis der Risikoanalyse Präventionspläne zu erstellen. Diese sollten unter anderem Maßnahmen enthalten, um identifizierte Risiken zu mindern. Die Unternehmen müssen die Pläne regelmäßig überprüfen und aktualisieren, um auf neue Bedrohungen vorbereitet zu sein.
Eine kontinuierliche Schulung der Mitarbeitenden ist entscheidend, um das Bewusstsein für Cybersicherheitsrisiken zu schärfen. So stellen Unternehmen sicher, dass alle Beteiligten wissen, wie sie im Falle eines Sicherheitsvorfalls reagieren sollen.
Unternehmen müssen Verfahren und Tools implementieren, die es ermöglichen, Cyberangriffe und -bedrohungen effektiv zu erkennen, zu messen und zu analysieren. Das beinhaltet auch die Einrichtung von Frühwarnsystemen.
Es ist essenziell, den Zugang zu kritischen Systemen und Daten streng zu kontrollieren, zu überwachen und zu protokollieren. Dazu gehören die Überprüfung und unter Umständen auch das Update aktueller Türtechnik, Schließsysteme und Sicherheitskonzepte, um unbefugten Zugriff zu verhindern.
Für digitale und physische Sicherheit sorgenEine Möglichkeit, um Ihre Zugänge sicherer zu machen, ist die Implementierung digitaler Zutrittskontrollsysteme. Moderne Lösungen wie CLIQ und SCALA von ASSA ABLOY bieten eine effiziente Möglichkeit, den Zugang zu sensiblen Bereichen zu steuern und zu überwachen. Gleichzeitig können Sie Zutrittsberechtigungen flexibel verwalten, Ihre Zugänge effektiv schützen und die Gesamtsicherheit maßgeblich erhöhen. |
Zusätzlich zu diesen spezifischen Maßnahmen sollten Unternehmen auch Notfall- und Wiederherstellungspläne entwickeln, um im Falle eines Cyberangriffs schnell die richtigen Maßnahmen einleiten zu können. Richten Sie zum Beispiel ein Incident-Response-Team ein, das für die Koordination und Bewältigung von Sicherheitsvorfällen verantwortlich ist.
Bei der NIS2-Richtlinie handelt es sich um einen wesentlichen Schritt der Europäischen Union, um die Cybersicherheit und den Schutz Kritischer Infrastrukturen zu stärken. Sie erweitert den Anwendungsbereich der vorherigen NIS-Richtlinie, indem sie mehr Sektoren und Unternehmen einschließt sowie strengere Sicherheits- und Meldepflichten festlegt.
Notwendig ist diese Aktualisierung wegen der zunehmenden Komplexität und Häufigkeit von Cyberangriffen sowie der entscheidenden Rolle digitaler und vernetzter Infrastrukturen in der modernen Gesellschaft.
NIS2 betrifft eine breite Palette von Sektoren, die essenziell bis wichtig für das tägliche Leben und die Stabilität Europas sind. Auch wenn es nicht am Verständnis für die Auflagen mangelt, so stellen sie dennoch eine Herausforderung dar: Betroffene Unternehmen müssen umfangreiche Maßnahmen für Risikomanagement implementieren und sich durch einen entsprechenden Schutz für eine Bedrohungslage wappnen, die in ständiger Bewegung ist.
|
Eine wichtige Rolle für die Sicherheit spielt auch die Überwachung physischer Zugänge. In unserem kostenlosen Whitepaper erfahren Sie mehr über die einzelnen NIS2-Anforderungen für Unternehmen und wie Sie mit digitaler Zutrittskontrolle die cyberphysische Resilienz erhöhen können. |