In zehn Schritten zur NIS2-Konformität NIS2 – Anschnallpflicht für Unternehmen

Anbieter zum Thema

Heidelberg iT Management GmbH & Co. KG

cyberintelligence.institute GmbH

Die NIS2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschafts­raums stärken – ein dringend nötiges Vorhaben. Wichtige und sehr wichtige Unternehmen müssen künftig ein strengeres Security-Regiment nach­weisen, einschließlich ihrer Zulieferer. Dadurch betrifft die EU-Richt­linie auch Unternehmen jenseits der namentlich genannten Sektoren. Diese Artikelserie erläutert die zehn Schritte, um NIS2-Konformität zu erreichen.

Es ist eine der großen deutschen Erfolgsgeschichten: der Sicherheitsgurt. Seit 1974 ist er Pflichtbauteil in Neuwagen. Denn in Zeiten des Wirtschaftswunders und der Massenautomobilisierung hatte sich die Zahl der Verkehrstoten auf westdeutschen Straßen von 6.400 (1950) auf knapp 19.200 (1970) verdreifacht.

Doch das lebensrettende Accessoire stieß anfangs auf wenig Akzeptanz („Ich stütz’ mich einfach am Lenkrad ab!“). Deshalb folgte bald die Gurtpflicht (1976 in Westdeutschland, 1980 in der DDR), später kamen Airbags und viele weitere Maßnahmen. Heute liegt die Zahl der Verkehrstoten in Deutschland trotz erheblich dichteren Verkehrs seit Jahren unter der 3.000er-Marke, darunter dank Gurt & Co. letztes Jahr nur 1.183 Pkw-Insassen. Manchmal muss der Mensch offenbar zu seinem Glück gezwungen werden.

Cybersecurity: „angespannte bis kritische Lage“

Jetzt ist es mal wieder so weit. Nur geht es diesmal nicht um Verkehrs-, sondern um Cybersicherheit, den Raser und Drängler unter den Geschäftsrisiken. Der BSI-Lagebericht 2023 konstatiert „eine angespannte bis kritische Lage“: „Die Bedrohung im Cyberraum ist damit so hoch wie nie zuvor.“

Das BSI warnt vor dem „Ausbau cyberkrimineller Schattenwirtschaft“, DDoS-Hacktivismus und hochprofessionellen Angreiferorganisationen (Advanced Persistent Threats, APTs). Doch allzu oft zotteln Privatleute, Unternehmen und Behörden bei Schutz- und Abwehrmaßnahmen auf der rechten Fahrspur dahin. Zudem klaffen immer neue Sicherheitslücken, nicht zuletzt in Angeboten von IT-Giganten wie Microsoft. Das Ergebnis findet, etwa in Form erfolgreicher Ransomware-Angriffe, fast schon täglich den Weg in die Nachrichten.

EU zieht die Reißlinie

Anfang 2023 zog die EU die Reißleine und erweiterte mit der NIS2-Richtlinie (Network and Information Security Directive 2) den Einzugsbereich deutlich über deren Vorgänger NIS1 von 2016 hinaus: NIS1 zielt auf den Schutz kritischer Infrastruktur (KRITIS), NIS2 aber auf alle Unternehmen und Organisationen, die laut EU für den Wirtschaftsraum „wesentlich“ (im Amtsdeutsch: „sehr wichtig“) oder zumindest „wichtig“ sind, in 18 Branchen von Abfall bis Weltraum. Von ihnen fordert sie ein konsequentes Cyberrisikomanagement.

„Wer kein Risikomanagement hat, ist eh schon auf der Autobahn ohne Airbag unterwegs“, sagt Andreas Schneider, Field CISO EMEA bei Lacework. Ein Blick in zahllose Cybersecurity-Reports zeigt: Viele Unternehmen sind noch nicht einmal beim Drei-Punkt-Sicherheitsgurt angekommen.

Wichtig: „NIS2 rückt die Bewältigung von Risiken, die die Lieferkette von Einrichtungen und deren Beziehungen zu Lieferanten betreffen, ebenso in den Mittelpunkt wie die Cybersicherheit bei den betroffenen Einrichtungen selbst“, so Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Hochschule Bremen. Die Richtlinie mache zunächst keine weiteren Einschränkungen, welche Unternehmen in diese Lieferkette fallen. Manch ein Unternehmen rast also auf einen regulatorischen Abgrund zu.

NIS2 Deadline

Stichtag für die Umsetzung war eigentlich der 17.10.24. Bis dahin hätte der deutsche Gesetzgeber NIS2 in nationales Recht überführt haben müssen – das hat nicht geklappt. Tatsächlich wurde das NIS2-Umsetzungsgesetz im Juli 2024 im Bundeskabinett beschlossen. Bundestag und Bundesrat müssen aber noch zwischen Ende September 2024 und Februar 2025 in mehreren Lesungen/Durchgängen darüber entscheiden, so dass das Gesetz final im März 2025 in Kraft treten kann. Betroffene Organisationen sind also aller Voraussicht nach spätestens ab April 2025 verpflichtet, sich auf der NIS2-Spur zu bewegen.

„Wenn ein Unternehmen jetzt erst auf der sprichwörtlichen grünen Wiese anfängt, ist dieser Termin nicht zu halten“, sagt Tim Berghoff, Security Evangelist bei G Data. „Auch zwei Jahre wären dann schon eine extrem sportliche Ansage.“ Hier gilt also das altbewährte Motto: besser spät als nie! Unternehmen mit ISO-27001-Zertifizierung können hingegen laut dem Experten „ein bisschen aufatmen“: Viele NIS2-Vorgaben zur Technik finden sich schon in ISO 27001. Diese sollte man besser erfüllen, sonst drohen hohe Bußgelder und Geschäftsführerhaftung.

Ob ein Unternehmen jetzt erst bemerkt, dass es von NIS2 betroffen ist, oder ob es – „Da stütz’ ich mich einfach mit den Händen am Lenkrad ab!“ – bislang versäumt hat, sich mit dem Thema zu befassen: Der folgende Leitfaden zeigt die zehn wesentlichen Schritte zur NIS2-Konformität auf. Vieles davon ist übrigens auch elementar für Unternehmen, die NIS2 tatsächlich nicht betrifft. Schließlich rettet ein Sicherheitsgurt auch ohne Anschnallpflicht Leben – wenn man ihn denn angelegt hat.

1. Schritt: Betroffenheit klären

Zuallererst muss ein Unternehmen prüfen, ob es überhaupt von NIS betroffen ist. Diese Einstufung muss dann im Zweifelsfall vor Gericht Bestand haben. NIS2 nennt elf Branchen hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, verwaltete ITK-Dienste (B2B), öffentliche Verwaltung und Weltraum. Hinzu kommen nun sieben weitere kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemieindustrie und -handel, Lebensmittelindustrie und -handel, bestimmte Produktionsbetriebe (Medizinprodukte, EDV, elektrische Ausrüstung, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Medien) sowie Forschungseinrichtungen.

Als „wichtig“ gelten Organisationen mit mindestens 50 Beschäftigten oder mindestens 10 Mio. Euro Jahresumsatz oder Bilanzsumme. Für „wesentliche“ Organisationen gelten höhere Schwellenwerte und höhere Strafzahlungen bei Verstößen – die Basisanforderungen, um die es hier geht, sind aber gleich. Es gibt ein paar Ausnahmen von der Mindestgrenze: Für KRITIS-Betreiber gilt sie ebenso wenig wie für deren digitale Pendants, also Top-Level-Domain-Registrare, DNS-Provider und die Anbieter von Vertrauensdiensten.

Das reichlich sperrig benannte „NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG) soll dies in deutsches Recht überführen. Es liegt seit Juli als Gesetzentwurf der Bundesregierung vor. Laut diesem geht der Gesetzgeber davon aus, „dass in Deutschland künftig rund 8.250 Unternehmen als besonders wichtige und rund 21.600 Unternehmen als wichtige Einrichtungen zu klassifizieren sind“.

Es wird keine Behörde geben, die festlegt, für welche Betriebe NIS2 greift. „Die Unternehmen sind in der Pflicht, zu ermitteln und gegebenenfalls eine Expertise einzuholen, ob sie betroffen sind“, sagt Tim Berghoff. In manchen Fällen wird dies glasklar sein, in anderen aber fraglich. „Da führt also kein Weg am Justiziar oder an einem qualifizierten Anwalt vorbei,“ so Berghoff.

NIS2 fordert, wie eingangs erwähnt, von betroffenen Organisationen, ihre digitalen Lieferketten zu überprüfen. „NIS2 adressiert nach Art. 21 Cybersicherheits-Risikomanagement, d.h. die Lieferkette bezieht sich auf IT-Gefahren, die die Leistungserbringung gefährden könnten“, erläutert Prof. Kipker. „Wenn es hingegen jenseits der spezifischen IT-Gefahren durch Dienstleister allgemein um Ausfälle von Dienstleistern geht, spielt das KRITIS-Dachgesetz eine Rolle.“

Damit geht NIS2 auch Betriebe an, die nicht als „wichtig“ gelten, aber NIS2-Unternehmen mit IT, OT oder entsprechenden Services beliefern. „So fällt beispielsweise ein Unternehmen, das Kabelstrecken für einen Automobilkonzern herstellt, als Teil der Lieferkette mit unter NIS2“, sagt Marco Eggerling, CISO Global bei Check Point. Dann stellt sich also die Frage: NIS2-Konformität erlangen oder einen Kunden verlieren?

Pikanterweise macht das NIS2UmsuCG eine Ausnahme für die Verwaltung auf Landes- und Kommunalebene. Was der deutsche Gesetzgeber von rund 30.000 Unternehmen verlangt, scheint ihm beim Kehren vor der eigenen Tür dann doch zu aufwendig. „Das sich die Öffentliche Hand selbst ausnimmt, ist katastrophal und fatal“, urteilt Lacework-Fachmann Schneider. „Da wissen wir, wer das nächste Ziel sein wird.“

2. Schritt: Projektteam etablieren

NIS2-konform wird ein Unternehmen nicht so nebenbei. Es gilt also, ein Projekt aufzusetzen. Doch wie sollte das Projektteam aussehen? „Der Geschäftsführer oder CEO sollte der Sponsor der Arbeitsgruppe sein, weil er es ist, der von seiner Position entfernt werden kann“, so Schneider. Neben der Geschäftsleitung, dem IT-Leiter, dem IT-Sicherheits- und dem Datenschutzbeauftragten (ISB, DSB) sollten Unternehmen laut dem Experten immer den Rechtsbeistand hinzuziehen.

Auch Check-Point-Mann Eggerling rät, DSB und ISB ins Boot zu holen, da diese sich mit den juristischen Aspekten auskennen. Seine Begründung leuchtet ein: „Dies sind die zwei relevanten Personen, die die Geschäftsleitung angesichts der Managerhaftung, die in NIS2 vorgesehen ist, aus dem Gefängnis heraushalten.“

Laut Dr. Sebastian Schmerl, VP Security Services EMEA bei Arctic Wolf, gehören bei größeren Unternehmen die Hauptprozesseigner der betriebskritischen Prozesse mit ins Team. Er rät aber: „Machen Sie die Runde nicht zu groß!“

Andere Fachleute plädierten gegenüber Security-Insider hingegen für eine breiter gefächerte Projektgruppe: „Ich brauche in der Regel den IT-Leiter und den Facility-Manager, falls es ihn im Unternehmen gibt, zudem jemanden von der Personalabteilung, weil Personalsicherheit in NIS2 eine große Rolle spielt“, so Dirk Wocke, IT-Compliance-Manager bei Indevis. Auch brauche das Team aufgrund des geforderten Lieferantenmanagements jemanden aus der Einkaufsabteilung, zudem eventuell auch vom Marketing, um Kommunikation und Krisenkommunikation zu steuern. Wockes Tipp: „Vielleicht gibt es einen Qualitätsmanagement-Beauftragten, weil das Unternehmen ISO 9001 eingeführt hat.“ Dann sei dieser ein wichtiger Ansprechpartner. Denn ein QMB kennt sich mit Prozessen aus, und darum geht es letztlich bei der Erfüllung von NIS2.

„Ein Projekt hat per Definition einen Start und ein Ende, das ist bei Cybersicherheit nicht der Fall“, mahnt Robert Stricker, VP Security Consulting bei Materna. Ein Unternehmen könne durchaus für den initialen Push ein Projekt starten, müsse aber auch langfristig internes Personal zur Verfügung stellen, um das Thema nachhaltig voranzutreiben. Es gehe dabei nicht nur um finanzielle Ressourcen, sondern auch um den Rückhalt, den das Thema von der Geschäftsleitung erhält.

Schließlich sind Cyberrisiken wie überfüllte Straßen: Sind sie einmal da, gehen sie so schnell nicht wieder weg. Dann hilft nur: anschnallen und dauerhaft vorsichtig fahren.

---

Dieser Artikel ist Teil des Security-Insider eBook „In zehn Schritten zur NIS2-Konformität“. Das ganze eBook können Sie hier nach Registrierung kostenlos downloaden!

Aktuelles eBook

In zehn Schritten zur NIS2-Konformität

Die NIS2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Aber wie genau setzt man sie um? Dieses eBook erläutert die zehn Schritte auf dem Weg zur NIS2-Konformität.

Die Highlights im Überblick:

• NIS2: Anschnallpflicht für Unternehmen
• Zehn wesentliche Schritte zur NIS2-Konformität
• Nicht über Regulierung schimpfen, sondern handeln!

eBook „In zehn Schritten zur NIS2-Konformität“ kostenlos downloaden

(ID:50192924)