NIS 2 Cybersicherheit: Deutsche Unternehmen müssen den Turbo einlegen

Anbieter zum Thema

Lufthansa Industry Solutions

G DATA CyberDefense AG

bb-net media GmbH

WatchGuard Technologies GmbH

Viele deutsche Unternehmen sind noch nicht auf NIS 2 vorbereitet. Die europäische Sicherheitsrichtlinie für Cybersecurity verlangt, dass sie sich als Teil internationaler Lieferketten bis Ende 2024 besser gegen IT-Angriffe schützen. Schon jetzt läuft ihnen die Zeit davon.

Kein Tag vergeht, an dem nicht über Cyberangriffe auf Unternehmen berichtet wird. Seit einigen Jahren steht insbesondere die Industrie durch die Digitalisierung der Fertigung und die Vernetzung der Produktionsprozesse im Fokus der Kriminellen. Die Angreifer versuchen, sich Zugang zu den Netzwerken zu verschaffen, um Daten zu stehlen oder den Betrieb zu stören. Mehr als jedes zweite Unternehmen war im vergangenen Jahr von digitaler Sabotage betroffen, so der Branchenverband Bitkom. Der Gesamtschaden belief sich auf 202 Milliarden Euro, davon kosteten allein Ausfall, Diebstahl oder Schädigung von Systemen und Abläufen 41,5 Milliarden Euro.

Deutlich mehr Unternehmen fallen unter NIS 2

Da Unternehmen als Teil von grenzübergreifenden Lieferketten agieren, ist längst klar, dass sich die Probleme nur auf internationaler Ebene lösen lassen. Wird zum Beispiel ein Zulieferer aus Rumänien in einer zeitkritischen Supply Chain angegriffen, kann das schnell zum Stillstand der Produktion in Deutschland führen. Die EU will deshalb das Cybersicherheitsniveau und die Zusammenarbeit auf Organisationsebene in Europa stärken. Ein wichtiger Baustein dafür ist die EU-Richtlinie NIS 2, die bis zum 17. Oktober 2024 in nationales Recht umgewandelt werden muss.

Für Unternehmen aus unterschiedlichen Branchen bedeutet das: Sie müssen mehr Sicherheitsmaßnahmen gegen IT-Angriffe implementieren und das Risikomanagement deutlich verbessern. Anders als bei der bislang geltenden Gesetzgebung zur kritischen Infrastruktur fallen unter die neue Richtlinie bereits Unternehmen mit 50 Mitarbeitenden und mehr als zehn Millionen Euro Umsatz in Deutschland, also auch der mittelständische Maschinenbauer, Logistikunternehmen, Anbieter digitaler Dienstleistungen, Firmen in der Abfallwirtschaft oder Paketdienste. Denn sie werden laut NIS2 ebenfalls als kritische Sektoren eingestuft. Vielen ist das bis heute nicht klar.

Unwissen kann Unternehmen teuer zu stehen kommen

Im Gegensatz zu Konzernen fehlen KMUs häufig Zeit und Personal, um mögliche Bedrohungen für ihr IT-System zu erkennen und verdächtigen Datenverkehr zu überwachen. So gibt es viele unauffällige Angriffsarten wie das Kapern von digitaler Infrastruktur, die ebenfalls einen erheblichen Schaden anrichten. Häufig vermuten Unternehmen zwar, dass sie von Cyberangriffen betroffen sind, aber sie wissen weder, wie sie die Sicherheit verbessern können, noch wie sie mit Sicherheitsvorfällen umgehen müssen. Dieses Unwissen kann sie künftig teuer zu stehen kommen, denn mit NIS 2 drohen Strafen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Die Geldbußen können existenzbedrohend sein, deshalb gilt es, rechtzeitig ein Risikomanagement für mehr Cybersicherheit zu etablieren.

Sicherheitskonzepte

Zero Trust Security: Blindes Vertrauen? Fehlanzeige!

Aufbau eines Risikomanagements braucht Zeit

Doch die Etablierung eines Risikomanagements kostet Zeit. Anders als beispielsweise bei der Einführung eines neuen Produkts erfordert die Einführung eines Managementsystems neue Strukturen im Unternehmen und es dauert ebenfalls, bis sie zur gelebten Praxis werden. Zahlreiche Maßnahmen müssen deshalb frühzeitig ergriffen werden, damit die Cybersicherheit im Unternehmen bis Ende 2024 so sichergestellt werden kann, wie NIS 2 es verlangt. Dazu zählt, Konzepte zur Risikoanalyse und Sicherheit der IT-Systeme sowie Notfallpläne zu entwickeln. Unternehmen müssen festlegen, wie das Krisenmanagement abläuft, um Sicherheitsvorfälle zu bewältigen und den Betrieb aufrecht zu erhalten. Zusätzlich sind Sicherheitsmaßnahmen für den Kauf, die Entwicklung und Wartung der IT-Systeme erforderlich. Es gilt, Konzepte für die Zugriffskontrolle und das Management von Anlagen zu entwickeln und Authentifizierungslösungen für Sprach-, Video- und Textkommunikation zu etablieren. Nicht zuletzt ist es notwendig, die Mitarbeitenden für alle Abläufe zu sensibilisieren und zu schulen. Kurz gesagt: Menschen, Technik und Prozesse müssen aufeinander abgestimmt werden, um den Schaden bei Cyberangriffen so gering wie möglich zu halten.

Sicherheit in der Lieferkette gewährleisten

Darüber hinaus sind Unternehmen künftig verpflichtet, Behörden bei erheblichen Sicherheitsvorfällen Bericht zu erstatten. Das ist laut Richtlinie dann der Fall, wenn die Cyberattacke schwerwiegende Beeinträchtigungen oder finanzielle Verluste im eigenen Unternehmen verursacht oder dazu führen kann. Aber auch, wenn anderen Unternehmen Schaden zugefügt wird oder es dazu kommen kann. Deshalb muss im Angriffsfall auch die Sicherheit in der Lieferkette gewährleistet sein. Das erfordert unter anderem die Abstimmung von übergreifenden Sicherheitsanforderungen zwischen den Supply-Chain-Partnern sowie die Absicherung technischer Schnittstellen.

Die Vielzahl der Aufgaben verdeutlicht, wie schwierig es ist, ein funktionierendes Management-System rechtzeitig zum Start von NIS 2 zu etablieren. Vielen Unternehmen könnte die Zeit weglaufen. Um noch rechtzeitig zum Start von NIS 2 fit zu sein, gilt es jetzt den Turbo einzulegen.

Neue Haftungsrisiken für die Geschäftsführung

Weil IT-Security und Compliance Chefsache sind

Mit der Denkweise von Hackern Schwachstellen aufdecken

Parallel zu den organisationalen Sicherheitsstrukturen sollten Unternehmen auch frühzeitig an die technische Ebene denken. Besteht bereits ein akutes Problem? Hier können sogenannte Penetrationstests für Klarheit sorgen. Das bedeutet nichts anderes, als Hacker zu beauftragen, in das eigene IT-System einzudringen. Natürlich handelt es sich hier nicht um Kriminelle, sondern um Sicherheitsexperten. IT-Beratungen wie Lufthansa Industry Solutions beschäftigen genau solche operativen Teams, die aus der Sicht von Hackern und mit deren Kreativität auf ein Unternehmen schauen. Die gewonnenen Ergebnisse helfen den Administratoren, schnell und gezielt notwendige Maßnahmen umzusetzen und senken damit aktiv die Eintrittswahrscheinlichkeit von Cyberrisiken.

Dieser Artikel erschien zuerst auf unserem Partnerportal MM MaschinenMarkt.

* Christian Garske ist Diplom-Wirtschaftsinformatiker und arbeitet seit 2008 bei Lufthansa Industry Solutions.

(ID:49663709)