Die EU hat die NIS-2-Richtlinie - auch bekannt als die Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der EU - ins Leben gerufen, um die Cybersicherheit innerhalb des Binnenmarktes zu stärken. Betroffen sind die Sektoren Energie, Transport, Bankwesen, Finanzmärkte, Gesundheit, Wasserversorgung, Digitale Infrastruktur, IT-Services, öffentliche Verwaltung, Weltraum, Post und Kurierdienste, Abfall, Chemikalien, Lebensmittel, Herstellendes Gewerbe in bestimmten Brachen, Digitale Dienste sowie Forschung.
Erzielen Unternehmen in einem dieser Sektoren mehr als 10 Millionen Euro Umsatz im Jahr oder beschäftigen darin mehr als 50 Mitarbeitende, kommen ab dem 17. Oktober 2024 umfangreiche Pflichten im Bereich der Informationssicherheit auf sie zu. Diese Pflichten können unter anderem auch Unternehmen betreffen, die ein wesentlicher Bestandteil der Lieferkette von betroffenen Unternehmen sind.
Doch was bedeutet das konkret für Geschäftsführer und Unternehmen? Hier ein kurzer Überblick:
Pflichten der Geschäftsführer:
Mit der NIS-2-Richtlinie sind Geschäftsführer verpflichtet, angemessene und wirksame Sicherheitsmaßnahmen zu ergreifen, um ihre Netz- und Informationssysteme zu schützen. Dazu gehört auch die Verpflichtung, sich selbst im Bereich Informationssicherheits- und Risikomanagement sowie Cybersicherheit zu schulen.
Risikomanagementmaßnahmen:
Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorischen Maßnahmen zur Sicherung der IT-Systeme zu treffen. Kern dieser Maßnahmen ist ein ganzheitliches Risikomanagement, woraus sich Geeignetheit, Verhältnismäßigkeit und der Umfang der Maßnahmen ableiten lassen muss. Die Maßnahmen müssen u.a. mindestens ein Incident-Management, ein Notfall- und Krisenmanagement, Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich Cybersicherheit, Konzepte und Verfahren für den Einsatz von Kryptografie sowie für die Zugriffskontrolle und das Asset Management enthalten. Zusammengefasst kann bei den Maßnahmen von einem umfänglichen Informationssicherheitsmanagement (ISMS) gesprochen werden.
Sanktionen und Bußgelder:
Die NIS-2-Richtlinie legt einen klaren Rahmen für Sanktionen und Bußgelder fest, sollte ein Unternehmen die erforderlichen Sicherheitsmaßnahmen nicht implementieren oder Vorfälle nicht melden. Die Bußgelder können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist. Diese potenziell hohen Strafen unterstreichen, dass die NIS-2-Richtlinie weit entfernt von einem bloßen "Papiertiger" ist.
Nachweispflichten:
Unternehmen sind nicht nur dazu verpflichtet, Sicherheitsmaßnahmen zu ergreifen und Vorfälle zu melden, sondern müssen auch in der Lage sein, dies nachzuweisen. Dies bedeutet, dass Unternehmen Dokumentationen und Nachweise vorlegen müssen, die zeigen, dass sie den Anforderungen der NIS-2-Richtlinie entsprechen. Dies kann Audits, Berichte und andere Nachweise umfassen, die bei Überprüfungen durch die zuständigen Behörden vorgelegt werden können. Auch im Rahmen der regelmäßigen Jahresabschlussprüfung werden die Anforderungen nach NIS-2 als Prüfungsgrundlage angelegt werden.
Was tun?
Aktuell befindet sich die deutsche Gesetzesumsetzung noch in der Umsetzungsphase. Vor dem Hintergrund der umfänglichen Maßnahmen ist jedoch eine frühzeitige Reaktion auf die bereits bekannten Anforderungen ratsam. Im ersten Schritt ist die eigene Betroffenheit zu untersuchen. Eine erste Indikation können Online-Betroffenheitsanalysen geben (https://awado.de/leistungen/unternehmensberatung/nis-2-richtlinie-network-and-information-security-richtlinie).
Ist es nach der Selbsteinschätzung wahrscheinlich, dass die Anforderung nach NIS-2 anzuwenden sind, sollte eine Erhebung des Zustands der Informationssicherheitsmaßnahmen innerhalb des Unternehmens durchgeführt werden. Diese sogenannte GAP-Analyse liefert eine verlässliche Größenordnung des Umsetzungsaufwands und bietet die Grundlage für eine strukturierte und effiziente Erfüllung der Anforderungen.
Zusammenfassend lässt sich sagen, dass die NIS-2-Richtlinie eine ernstzunehmende Initiative ist, die darauf abzielt, die Cybersicherheit in der EU zu stärken. Geschäftsführer müssen sicherstellen, dass ihre Unternehmen die erforderlichen Maßnahmen ergreifen, um den Anforderungen gerecht zu werden. Die potenziellen Sanktionen und Bußgelder dienen als starker Anreiz, diese Verpflichtungen ernst zu nehmen und die Sicherheit der Netz- und Informationssysteme zu gewährleisten.
Die AWADO bietet in diesem Zusammenhang ein breites Unterstützungsangebot von Workshops zur Betroffenheitsanalyse, über GAP-Analysen, maßgeschneiderten Geschäftsführungsschulungen bis hin zur Implementierungsbegleitung eines Informationssicherheitsmanagements an.
Einige unserer Leistungen können Sie auch direkt über unseren Partner experdoo buchen:
NIS2-Richtlinie: Ein Leitfaden für Mittelstand und Genossenschaften | experdoo
Unter diesem Link finden Sie auch noch mal eine Zusammenfassung unserer Handlungsempfehlungen.
Besuchen Sie gerne auch unser kostenloses Webinar zum aktuellen Umsetzungsstand am 23. Mai 2023, um sich tiefergehend zum Thema zu informieren (https://awado.de/default-f5a451120a3695a40db8345a9ce25ff1/23052024-webinar-nis-2-aktueller-umsetzungsstand).