Mobile-Menu

IT-Security 2024 und die Gesetzgebung Auf NIS2-Mission

Von Barbara Gribl und Ira Zahorsky 8 min Lesedauer

Anbieter zum Thema

G DATA CyberDefense AG
kiwiko eG
adesso SE
DATAGROUP SE
Westcon Group Germany GmbH
mehr weniger
Company-Flyout
Securepoint GmbH
WatchGuard Technologies GmbH
weniger

Bei der NIS2-­Vorbereitung stehen deutsche Unternehmen erst einmal vor einem schwarzen Loch. Der Channel kann helfen, Unklarheiten zu beseitigen und die Kunden NIS2-konform zu machen.

Großangelegte Cyberangriffe auf kritische Infrastrukturen können Staat und Gesellschaft in ein Chaos stürzen.(Bild: KI-generiert / Midjourney)
Großangelegte Cyberangriffe auf kritische Infrastrukturen können Staat und Gesellschaft in ein Chaos stürzen.
(Bild: KI-generiert / Midjourney)

Sei deinen Freunden nah, doch deinen Feinden näher – so ein berühmtes Zitat aus dem Film „Der Pate“. Angesichts der ernsten Cyberbedrohungslage gilt es auch für deutsche Unternehmen, potenzielle Cyberangreifer und -bedrohungen im eigenen IT-System genau auf dem Schirm zu haben – und im Notfall gekonnt reagieren zu können. Ein robustes Risiko- und Notfallmanagement liegt auch der Richtlinie NIS2 zugrunde. Dieses ist eine der Kernkriterien, um die Anforderungen des NIS2-Katalogs zu erfüllen. Ab 18. Oktober 2024 soll die NIS2-Richtlinie in nationales Recht umgesetzt werden. Die Uhr tickt. Wer meint, entsprechende Umsetzungen vernachlässigen zu können, soll mit knackigen Bußgeldern oder einer persönlichen Haftung (als Geschäftsführung) eines Besseren belehrt werden.

Was ist die NIS2-Richtlinie?

Die NIS-Richtlinie gibt es bereits seit 2016. Ihr Ziel: die Gewährleistung eines hohen Sicherheitsniveaus für Netzwerke und Informationssysteme kritischer und sensibler Infrastrukturen in den EU-Mitgliedsländern. 2021 wurde damit begonnen, die NIS-Richtlinie zu überarbeiten. NIS2 trat am 16. Januar 2023 in Kraft und muss bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden.

Doch wie gut ist Deutschland auf NIS2 vorbereitet? Wie weit sind Unternehmen in der Umsetzung, wo gibt es Stolpersteine? Welche Eckdaten sollten Geschäftsführer und Unternehmer dringend kennen?

NIS2 – Ich?

„Generell lässt sich feststellen, dass bei unseren Kunden ein großer Informationsbedarf besteht, wie die hohe Teilnehmerzahl an unseren Webinaren zu NIS2 zeigt“, so Dirk Frießnegg, Solution Sales IT Security bei SoftwareOne. „Die Rückmeldungen zeigen, dass die Notwendigkeit eines hohen Schutzniveaus gegenüber Cyberbedrohungen allgemein anerkannt wird. Allerdings erleben viele Kunden Schwierigkeiten bei der Deutung der vorgeschriebenen Maßnahmen und deren praktischer Umsetzung“, ergänzt Jan Bindig, Vorstand von Kiwiko. Folglich ist hier spezialisierte Unterstützung und fachkundige Aufklärung gefragt, um die Anforderungen für NIS2 richtig zu interpretieren und umzusetzen. „Die Pain Points der Kunden sind dabei sehr unterschiedlicher Natur“, bestätigt Madru Kortz, Senior Consultant Information Security bei Adesso.

Erste Hürden gibt es schon bei der ­Betroffenheits-Analyse: „Zunächst muss festgestellt werden, ob das eigene Unternehmen die entsprechenden ­Anforderungen auch wirklich umsetzen muss. Die Herausforderungen entstehen dabei mitunter durch nicht immer eindeutige Begriffsbestimmungen und durch das noch nicht in finaler Fassung vorliegende deutsche Gesetz, an dem weitere Konkretisierungen zu erwarten sind“, sagt Kortz. Daneben werden „viele IT-Dienstleister selbst von NIS2 betroffen sein – darunter viele unserer Kunden“, werfen Robert Jung, Managing Director DACH und EE, und Jörn Kraus, Manager Presales, beide bei Westcon-Comstor, ein.

Wer ist betroffen?

OpenKRITIS zufolge wird die NIS2-Umsetzung mindestens 30.000 deutsche Unternehmen betreffen. Diese Unternehmen unterliegen einer Meldepflicht. Die Betroffenheit muss selbst ermittelt werden. Dazu finden sich als Hilfestellung sogenannten NIS2-Checker im Internet. Deutsche Unternehmen müssen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) die Unternehmensbezeichnung, Anschrift, Kontaktdaten sowie einer Liste aller EU-Mitgliedsstaaten, in denen eine Tätigkeit erfolgt, einreichen.
Weiterhin muss Cybersecurity künftig auch über Unternehmensgrenzen hinaus in der gesamten Lieferkette berücksichtigt werden.

Unternehmensgröße
„Mittlere Unternehmen“: 50 bis 250 Mitarbeiter, 10 bis 50 Mio. Euro Umsatz, Bilanzsumme kleiner als 43 Mio. Euro
„Große Unternehmen“: mehr als 250 Mitarbeiter, mehr als 50 Mio. Euro Umsatz, Bilanzsumme größer als 43 Mio. Euro

Sektorzugehörigkeit
Alle Unternehmen, die einer von 18 kritischen Branchen angehören: Energie, Transport, Bankenwesen, Finanzmärkte, Gesundheit, Trinkwasser, Abwasserwirtschaft, digitale Infrastrukturen, ICT Service Management, öffentliche Verwaltung und Weltraum sowie Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, Herstellung bestimmter industrieller Produkte, digitale Dienste und Forschung

Wesentliche oder wichtige Einrichtung
Wird das Unternehmen als wesentliche Einrichtung (Essential Entity) oder als wichtige Einrichtung (Important Entity) eingestuft?

Bevor es also an die konkrete, praktische Umsetzung der NIS2-Anforderungen geht, ist eine vollständige Sicht auf den aktuellen Stand der Informationssicherheit im Unternehmen relevant. Hinzu kommt, „dass die Unternehmen enorm unter Zeitdruck stehen“, ergänzt Andreas Baresel, Vorstandsvorsitzender der Datagroup.

Insbesondere die Umsetzung organisatorischer Maßnahmen stelle so manches Unternehmen vor Herausforderungen, „weil die nötigen Prozesse und Strukturen erst geschaffen werden müssen. Vielfach ist auch überhaupt nicht klar, welche Prozesse noch fehlen und ob sich ­Vorhandenes weiterverwenden lässt“, führt Dirk Zurawski, Prokurist vom Systemhaus Oberberg-Online Informationssysteme und G-Data-Partner, aus. Er ergänzt: „Eine weitere Herausforderung ist, dass unternehmensintern die richtigen Parteien noch nicht ausreichend miteinander vernetzt sind.“ Vernetzung lautet das richtige Stichwort, da auch die Bündelung von Lösungen und Kompetenzen essenziell ist.

Zusammenarbeit verschiedener Hersteller ist gefragt

SoftwareOne macht dies vor, indem es „zusätzlich zu regelmäßig stattfindenden Webinaren in Zusammenarbeit mit verschiedenen Security-Herstellern derzeit weitere spezifische Angebote für die Kunden“ entwickelt – so Frießnegg. Häufig treffen die Partner nämlich auf „ein gewisses Silo-Denken, welches wir aufzubrechen versuchen“ (Kortz), um einen ganzheitlichen Ansatz zu verfolgen.

Ein weiteres Beispiel einer Kompetenz- und Herstellerbündelung ist G Data. Das Bochumer Unternehmen bietet, um dem Stand der Technik und einem starken Notfallmanagement gerecht zu werden, Managed Endpoint Detection and Response (Managed EDR), Security Awareness Trainings und Incident Response (IR) im Portfolio an. Die Lösungen werden um die Einbruchserkennung von Cybersense oder durch Hard- und Softwarelösungen von Fortinet und Cisco ergänzt. „Es ist beim Umsetzen der geforderten Maßnahmen extrem wichtig, dass am Ende eine Auswahl von Komponenten steht, die gut miteinander harmoniert und sich ergänzen, statt eine Ansammlung von Insellösungen“, begründet dies Zurawski. Jung und Kraus des Distributors Westcon-Comstor bekräftigen, dass „der Gesetzgeber unter anderem mehr Sorgfalt bei der IR fordern wird, was ohne Investitionen in XDR kaum möglich sein wird“.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Um dem ganzheitlichen Ansatz des Weiteren gerecht zu werden, wird „alles, was wir nicht mit eigenem Personal abbilden können, mit zertifizierten Partnern wie der G Data Advanced Analytics ergänzt. Dieser Aspekt ist uns besonders wichtig, denn die Expertise, die hier vonnöten ist, ist unschätzbar wertvoll. Sich diese Fachkräfte selbst ‚einzukaufen‘, wäre erst recht für unsere Kunden wirtschaftlicher Irrsinn“, so Zurwaski weiter.

NIS2-fit: Webinare, Konzepte, Ansätze

Zunächst einmal geht es also für die IT-Dienstleister mit NIS2-Spezialisierung im Portfolio darum, die Endkunden zu beraten und eine Bestandsanalyse oder – wie es der unabhängige IT-Berater Adesso benennt – einen „Readiness Check“ zu machen.

Mit dem Readiness Check will Adesso einen 360-Grad-Ansatz zur Verfügung stellen. Nachdem der Kunde auf technische und organisatorische Anforderungen geprüft wurde und Verbesserungsbedarfe geklärt sind, werden entsprechende Maßnahmen definiert. Ziel ist es, ­identifizierte Abweichungen zu beheben und eine Konformität im IT-System herzustellen. Auch Datagroup bietet einen strukturierten Ansatz. Die Dienstleistungen sind modular aufgebaut, sodass sie flexibel an die individuellen Reifegrade und Bedürfnisse der Kunden angepasst werden können. Die NIS2-Services werden in vier zentralen Bereichen angeboten: Security Operation Center (SOC) zur Überwachung und Reaktion auf Sicherheitsvorfälle, Penetrationstests zur Identifizierung von Schwachstellen, Incident Response (IR) für schnelle Reaktionen auf Sicherheitsvorfälle und Consulting zur strategischen Beratung.

Ein weiterer Punkt auf der NIS2-Agenda, der von einem Großteil der Unternehmen noch angegangen werden muss, ist die Vorfallmeldung. Die Richtlinie verschärft die einzuhaltenden Meldezeiten noch einmal deutlich. Früh mit Umsetzungen zu beginnen, lohnt sich. Kortz begründet dies wie folgt: „­Unternehmen, die sich mit dem Thema Informationssicherheit und dem Aufbau eines Informationssicherheitsmanagementsystems (ISMS) nur gering auseinandergesetzt haben, werden am Ende den höchsten Umsetzungsaufwand haben.Wir sehen allerdings, dass viele Unternehmen die NIS2-Richtlinie auf der Agenda haben und versuchen, die nötigen Mittel ­bereitzustellen. Dies ist aus unserer Sicht genau der richtige Weg, da eine frühzeitige Berücksichtigung der Anforderungen die Schlüsselfaktoren für eine erfolgreiche Umsetzung sind.“

Was tun bei einem Vorfall?

Innerhalb von 24 Stunden muss ein Unternehmen einen potenziellen Sicherheitsvorfall gemeldet haben – auch an Feiertagen und Wochenenden. Regelmäßige Updates zu der Benachrichtigung nach 72 Stunden und nach 30 Tagen sowie ein Abschlussbericht innerhalb eines Monats gehören nun ebenfalls zum Pflichtprogramm.

Ein 360-Grad-Blick auf die eigene IT-Sicherheit ist nicht nur mit näher rückender NIS2 elementar, sondern sollte grundsätzlich im Alltag integriert sein. SoftwareOne bietet eine herstellerunabhängige IT-Sicherheitsberatung namens „360° IT Security Workshop“. „Dieser berücksichtigt auch Sicherheitsaspekte, die für nicht von NIS2 betroffene Unternehmen relevant sind. Der Workshop ist im Allgemeinen eine gute Orientierungshilfe, insbesondere zu Beginn der Sicherheitsstrategie“, verrät Frießnegg. Eine langfristig stabile IT-­Sicherheit bedeutet aber eben auch, in den Geldbeutel zu greifen.

Konzepte, um deutschen Unternehmen jeglicher Branche und Größe bei der Umsetzung von NIS2 unter die Arme zu greifen, gibt es im Channel. Spannend bleibt allerdings, was sie bei den scheinbar notwendigen Investitionen zum Zögern bringt.

Wie aufgeschlossen sind die Kunden gegenüber NIS2, wenn es ums Budget geht? Nach Einschätzung von Frießnegg gehen sie derzeit gelassen an das Thema heran: „Sie sind aufgeschlossen und neugierig, ohne sich zu überstürzten Investitionen hinreißen zu lassen.“

Was steckt hinter der Zahlungsunsicherheit?

Die verhaltene Zahlungsmotivation würde allerdings auch solange präsent sein, „bis die Richtlinien noch nicht genau definiert sind“, sagt er. Immer noch gäbe es Unternehmen, die nach wie vor nicht wüssten, ob sie von NIS2 betroffen sind. „Ein anschauliches Beispiel hierfür sind Mitarbeiterschulungen: Soll ich in ein Schulungs-Tool investieren oder ist es sinnvoller, eigene Informationsmaterialien zu erstellen? Gleiches gilt für die Bereiche ISMS und BCM (Business Continuity Management): Tool oder Zettelwirtschaft?“, so Frießnegg.

Zurawski bestätigt: „Einige Kunden nehmen Vorschläge gut an, andere sind verhalten. Da sich die Direktive noch in der Umsetzung befindet, sind einige ­verunsichert und schieben nötige ­Investitionen auf. Von diesem Vorgehen können wir jedoch nur dringend abraten, da viele der NIS2-Maßnahmen, Zeit brauchen.

Droht Verschiebung der Frist?

Wer erst auf die finale Fassung des NIS2UmsuCG wartet, riskiert empfindliche Strafen.“ Deutschland hat zunächst das „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG) im April 2023 im ersten Anlauf auf den Weg gebracht. Trotz eines Referentenentwurfs des Bundesinnenministeriums hat diese Umsetzung bislang noch nicht stattgefunden. Es gibt Hinweise darauf, dass sich das Gesetzgebungsverfahren verzögern könnte. Das zögerliche Investitionsverhalten in NIS2 hat also vermutlich genau diesen Grund. Welche Folgen hat dies nun für die IT-­Sicherheit?

„Der Zeitpunkt der Streitigkeiten in der Bundesregierung über die NIS2-Umsetzung ist denkbar ungünstig“, meint René Hofmann, Geschäftsführer von Securepoint. Die Einführung der Richtlinie vor 14 Monaten ist für Hofmann „in der schnelllebigen ITK-Branche eine Ewigkeit“ her. Stattdessen sollte der deutsche Gesetzgeber für Klarheit sorgen.

„Resilienz ist das Gebot der Stunde für alle. IT-Sicherheit muss als das verstanden werden, was sie ist: eine nachhaltige Investition in die Zukunft. Daraus entsteht Schutz für die Wirtschaft sowie die Gesellschaft und es können höhere Schäden durch Cyberangriffe verhindert werden. Was für Unternehmen gilt, gilt auch für Politik und Verwaltung.“

(ID:49972181)

Weiterführende Inhalte

Jobs