Informationssicherheitsrisiken werden im Zuge der Digitalisierung immer mehr zu operationellen Risiken. Nur wer technologisch mithalten kann wird sich auf Dauer am Markt behaupten können. Die Wichtigkeit der Informationssicherheit hat der Gesetzgeber ebenfalls erkannt und mit der NIS2 Richtlinie darauf reagiert. Am 02.10.2024 hat die Bundesregierung die Beschlussfassung des letzten Gesetzesentwurf für das NIS2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) an den Bundestag zu Abstimmung übergeben und ist damit auf dem Weg zur Verabschiedung ein gutes Stück vorangekommen. Der aktuelle Gesetzesentwurf zielt unverändert darauf ab, die Cybersicherheitsanforderungen in Deutschland zu verstärken und die EU-Richtlinie 2022/2555 in nationales Recht umzusetzen. Der Entwurf umfasst umfassende Maßnahmen zur Verbesserung der Cybersicherheit für kritische Infrastrukturen und wichtige Unternehmen in verschiedenen Sektoren wie Energie, Verkehr, Gesundheit, produzierendes Gewerbe, Ernährung, Chemie und digitale Infrastruktur. Unternehmen in betroffenen Sektoren mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz bzw. einer Jahresbilanzsumme von jeweils über 10 Millionen Euro werden betroffen sein.
Mit der Eingabe des Gesetzesentwurfs zur Abstimmung im Bundestag ist der Gesetzgeber ein gutes Stück vorangekommen.
Das Gesetzgebungsverfahren geht nun voran, mit der 3. Lesung im Bundestag am 19. Dezember 2024, dem 2. Durchgang im Bundesrat im Februar 2025 und einem geplanten Inkrafttreten im März 2025.
Die Cybersecurity- und Compliance-Experten der AWADO sind sich einig, dass Betroffene nicht abwarten sollten. Auch losgelöst von der neuen Gesetzgebung, ist Cybersicherheit lange schon nichtmehr nur ein unliebsamer Kostenblock, sondern ein realer Wettbewerbsvorteil. Aktuelle Trendthemen wie Digitalisierung und der Einsatz neuer Technologien, wie bspw. der Einsatz von KI, bedingen eine gründliche Vorbereitung von Unternehmen, um neuen Marktanforderungen adäquat begegnen zu können.
Betroffenheitsanalyse und Maßnahmen
Für viele Unternehmen beginnt die Unsicherheit bei der Frage der Betroffenheit. Die relevanten Sektoren finden sich in Anlage 1 und 2 des Gesetzesentwurfs und sind seit dem letzten Referentenentwurf weitestgehend unverändert. Wer sich bei der Einschätzung der eigenen Betroffenheit auf den Rat von Experten verlassen möchte, kann auf die Unterstützung durch unsere Experten von AWADO zurückgreifen.
Wir haben bereits mehrere Betroffenheitsanalysen durchgeführt und dabei teilweise erstaunliche Erkenntnisse gewonnen. (keine Rechtsberatung)
Die Betroffenheitsanalyse lässt sich einfach über diesen Link beauftragen - oder Sie wenden sich direkt an uns.
Anforderungen nach NIS2
Der aktuelle Gesetzesentwurf zu NIS2 beinhaltet Anforderungen an das Risikomanagement sowie Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten.
Zum Risikomanagement sind nach dem Gesetzesentwurf mindestens die folgenden Maßnahmen umzusetzen:
1. Konzepte zur Risikoanalyse und IT-Sicherheit
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, einschließlich Backup-Management und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen
6. Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
7. Cyberhygiene und IT-Sicherheitsschulungen
8. Einsatz von Kryptografie und Verschlüsselung
9. Sicherheit des Personals und Zugangskontrolle
10. Verwendung von Multi-Faktor-Authentifizierung und gesicherter Kommunikation
Der Umfang der Maßnahmen ist nicht pauschal festgelegt. Die Ausgestaltung ist unter Verhältnismäßigkeitsgesichtspunkten vorzunehmen. Dieses Vorgehen ist nicht neu. Es entspricht gängigen Standards, wie dem BSI-Grundschutz oder aber DIN ISO 27001. Dreh und Angelpunkt ist ein auf die Größe und Bedrohungslage des betroffenen Unternehmens ausgerichtetes IT-Risikomanagement. Ein solches Risikomanagement bietet die Möglichkeit die Maßnahmen bedarfsgerecht und damit auch kosteneffizient auszugestalten.
Um einen Überblick des aktuellen Zustands der IT-Umgebung und des Risikomanagements zu erhalten und damit auch mögliche Lücken zur Gesetzesanforderung aufzudecken, können Unternehmen ebenfalls auf die Expertise von AWADO-Experten zurückgreifen.
Wir haben einen effizienten Online-Fragebogen entwickelt, der die Mindestanforderungen abfragt; die Ergebnisse werden von uns ausgewertet und verständlich erläutert.
Im Anschluss erarbeiten wir mit Ihnen gemeinsam effizient einen Fahrplan zur Schließung bestehender Verfahrenslücken.
Bei Bedarf begleiten wir Sie auch weiter auf dem Weg zur NIS-Compliance.
Die NIS2-Gapanalyse lässt sich einfach über diesen Link beauftragen - oder Sie wenden sich direkt an uns.
Schulungen und Umsetzungspflicht für Geschäftsleitungen
Neue Technologien und digitale Prozesse fordern Entscheidungsträger besonders heraus. Die IT und vor allem die IT-Sicherheit wird immer mehr zur Chefsache, um Chancen und Risiken für das Unternehmen im richtigen Maßstab bewerten zu können ist entsprechende Weiterbildung unabdingbar. Auch nach NIS2 werden Geschäftsleitungen betroffener Unternehmen künftig dazu verpflichtet nachweislich an Schulungen teilnehmen. Die Geschäftsleitung wird hier aktiv in die Pflicht genommen Risikomanagementmaßnahmen umzusetzen und deren Wirksamkeit zu überwachen.
Unsere Experten bieten individuelle Schulungstermine über die Plattform Experdoo sowie Sammeltermine in Kooperation mit der GenoAkademie an.
Die individuellen NIS2-Schulungen lässt sich einfach über diesen Link beauftragen - oder Sie wenden sich direkt an uns.
Fazit
Unabhängig von jeder Betroffenheit nach NIS2 ist der Schritt zu mehr Informationssicherheit allein unter unternehmerischen Aspekten ratsam, um entspannt in die digitale Zukunft blicken zu können. Mit dem geplanten Inkrafttreten im März 2025 haben Unternehmen Zeit zur Umsetzung gewonnen. Unternehmen, die bereits in ein funktionierendes ISMS investiert haben, können dieses Wettbewerbsvorteil nun geltend machen und den Neuerungen relativ entspannt entgegenblicken. Für alle anderen wird es jetzt eng. Wir stehen Ihnen gerne zur Seite, um etwaige Compliance-Lücken zu schließen.