Zertifizierung rechtzeitig anstoßen Herausforderung NIS2: Schlimmer als die DSGVO?

Anbieter zum Thema

mindsquare GmbH

NTT Security (Germany) GmbH

bb-net media GmbH

JACOB Elektronik GmbH

Impossible Cloud GmbH

Im Januar 2023 wurde die NIS2-Direktive verabschiedet, bis zum Oktober 2024 muss sie in den EU-Mitgliedsländern umgesetzt werden. Experten warnen betroffene Unternehmen davor, dabei zu viel Zeit zu verlieren.

Mit Schaudern erinnern sich IT-Fachanwälte an die Zeit vor fünf Jahren. Am 26. Mai 2018 trat EU-weit die Datenschutz-Grundverordnung (DSGVO) in Kraft. Genauer: Eine 24-monatige Übergangsfrist endete. Alle betroffenen Unternehmen hatten zwei Jahre Zeit, ihre Prozesse an den neuen Datenschutzrahmen anzupassen. Dennoch bekamen viele Juristen Anrufe ihrer Mandantschaft mit der Bitte, sie DSGVO-ready zu machen – zwei Wochen vor dem magischen Datum. Ähnliche Manöver des letzten Augenblicks drohen bei der NIS2-Richtlinie, die im November von der EU beschlossen wurde. Die zweite Auflage der Network and Information Security Directive trat am 16. Januar 2023 in Kraft. Ab diesem Stichtag haben die EU-Mitgliedsstaaten 21 Monate Zeit, die Regeln von NIS2 in nationale Gesetze zu überführen.

Unternehmen sind sich der Konsequenzen nicht bewusst

Luca Cremer schwant schon jetzt nichts Gutes. Spricht man ihn auf das Debakel der DSGVO-Einführung vor fünf Jahren an, antwortet der Secu­rity Consultant bei der IT-Beratung Mindsquare knapp: „Ich denke, das wird bei NIS2 genauso passieren.“ Auch Bernhard Kretschmer gemahnt zur Eile: „Mit NIS2 steht eine Richtlinie vor der Tür, die für etliche Unternehmen Konsequenzen haben wird, derer sie sich vermutlich nicht einmal annähernd bewusst sind.“ Angesichts von Lieferzeiten für Hardware, die zum Teil bei mehr als ­einem Jahr liegen, hält der Vice President Services und Cybersecurity beim IT-Systemhaus NTT die noch verbleibende Zeit bis zum Oktober 2024 für äußerst knapp bemessen, um ein ernsthaftes ­Cybersecurity-Konzept einzuführen, wenn man bislang noch keins hatte.

Erweiterung der KRITIS-Sektoren

Die DSGVO ist eine Verordnung, die bei Inkrafttreten unmittelbar geltendes Recht wurde. NIS2 ist eine Richtlinie, die erst noch von den EU-Staaten in Gesetze umgesetzt werden muss. Dieser Prozess ist noch nicht abgeschlossen, deshalb konnten sich Unternehmen, Berater und Systemhäuser auch noch nicht mit allen Formulierungen im Gesetzbuch auseinandersetzen – weil es sie zum Teil noch nicht gibt. Vieles, was NIS2 umfasst, wird bereits mit dem IT-Sicherheitsgesetz (IT-SiG) 2.0 geregelt, aber längst nicht alles. Experten erwarten deshalb bis 2024 ein IT-Sicherheitsgesetz 3.0.

Die wichtigste Änderung ist eine deutliche Erweiterung der Sektoren. NIS2 fügt den bisher bereit festgelegten elf Bereichen der kritischen Infrastruktur (Kritical Essential Entities) sieben weitere wichtige Bereiche (Important Entities) hinzu. Dazu gehören Post- und Kurierdienste, die Abfallwirtschaft, Chemie, Lebensmittel und wichtige Warenproduzenten sowie Online-Marktplätze, Social-Media-Plattformen und Suchmaschinen; sie müssen Maßnahmen zum Schutz ihrer IT-Infrastruktur ergreifen. NTT-Manager Kretschmer vermisst dabei das Problembewusstsein in der Industrie: „Viele Unternehmen, allen voran Betreiber kritischer Infrastrukturen, nehmen den Schutz ihrer IT-Infrastruktur trotz zunehmender Gefahren aus dem Cyberraum und anhaltender Krisen mit Auswirkungen auf die Lieferketten nicht ernst.“

Versäumnisse werden teuer

Eine Laissez-Faire-Haltung kann aber richtig teuer werden. Denn nicht nur der Kreis der erfassten Unternehmen wird größer, auch die Kontrollen und Sanktionen für den Fall eines Verstoßes gegen die Cybersecurity-Auflagen werden schärfer. Sah die erste Version der NIS-Richtlinie noch ein maximales Bußgeld von 150.000 Euro vor, können ab 2024 bis zu sieben Millionen Euro fällig werden. „Betreiber entscheidender Dienste müssen sogar mit Geldbußen in Höhe von 2 Prozent des Jahresumsatzes oder zehn Millionen Euro rechnen“, erklärt Kretschmer und fügt hinzu: „Die Unternehmensführung wird für etwaige Verstöße in Verantwortung genommen und ist damit haftbar.“ Dabei fallen nach NIS2 viele bisherige Schwellwerte weg, als „Medium Entity“ zählen Unternehmen mit 50 bis 250 Beschäftigten, 10 bis 50 Millionen Euro Umsatz oder einer Bilanzsumme von mehr als 43 Millionen Euro. Liegt der Umsatz über 50 Millionen oder die Zahl der Mitarbeiter über 250, zählt das Unternehmen als „Large Entity“. Cremer macht darauf aufmerksam, dass nicht immer auf den ersten Blick klar ist, ob ein Unternehmen nach NIS2-Kriterien zur kritischen Infrastruktur zählt oder nicht, er empfiehlt: „Fragen Sie im Zweifel beim BSI nach.“

Doch so weit sind viele Unternehmen noch nicht. „Viele Kunden sind im Moment in einer Halteposition,“ weiß Cremer aus der Praxis. „Sie wissen noch nicht, was zu tun ist.“ Das wird auch an banalen Dingen deutlich: Oft fehlt es schlicht an einem Budget für Maßnahmen zum Schutz vor Cyber­attacken. Wie viel dafür zu veranschlagen ist, hängt von den individuellen Rahmenbedingungen ab, doch eine Hausnummer sagt: 10 bis 15 Prozent des IT-Budgets.

IT-Sicherheitskonzept für NIS2-Anforderungen

Für ein IT-Sicherheitskonzept, das den Anforderungen von NIS2 genügt, schlägt Cremer ein Vorgehen in fünf Schritten vor:

• 1. 1. Relevanz prüfen

• 2. 2. Regeln und Verfahren dokumentieren

• 3. 3. Maßnahmen durchführen

• 4. 4. Kontrolle der Maßnahmen

• 5. 5. Regelmäßige Verbesserungen

Vor allem Punkt 2 kommt aus Sicht des Beraters eine große Bedeutung zu. Doch „viele Kunden haben Angst, das ganze Unternehmen auf links stellen zu müssen“. Dabei sei dies häufig unbegründet, denn vieles, was der Gesetzgeber fordert, sei bereits vorhanden, nur noch nicht dokumentiert. Ein Beispiel: In einem IT-Unternehmen hatte sich das Prinzip etabliert, dass die Bildschirme an den Arbeitsplätzen gesperrt werden, sobald die Mitarbeiter sich vom Schreibtisch entfernen. Eine gute Maßnahme, doch sie war nirgends dokumentiert. Das lässt sich leicht nachholen.

Cremer empfiehlt betroffenen Unternehmen die Einführung eines Information ­Security Management Systems (ISMS) mit einer Zertifizierung nach ISO 27001. Zwar sei ein Sicherheits-Audit mit dieser Zertifizierung nicht für jedes Unternehmen erforderlich. Sobald es aber als Zulieferer für ein KRITIS-Unternehmen agieren will, sehe das anders aus. Mindsquare empfiehlt seinen Kunden einen Fünfstufen-Plan: Ist-Analyse, Risikomanagement, Aufbau des ISMS, Planung der Maßnahmen und das Audit. Für einen reibungslosen Ablauf rät Cremer, frühzeitig den Kontakt zur Zertifizierungsstelle zu suchen, die das Audit durchführen soll. Vor Manövern des letzten Augenblicks schützt eine realistische Timeline: Für einen kompletten Zertifizierungsprozess sollte man ein Jahr einplanen.

DSGVO, NIS2, CRA

Cybersecurity-Gesetze: Missachtung wird teuer

(ID:49468091)