Unternehmen werden in Kürze zu strengeren Maßnahmen in der Cybersicherheit verpflichtet. Außerdem werden die Befugnisse und Aufsichtsmaßnahmen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erweitert.
Im Dezember 2022 wurde die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie) veröffentlicht. Die EU-Mitgliedstaaten müssen diese Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Der Regierungsentwurf des Bundesministeriums des Innern und für Heimat (BMI) zur Umsetzung in Deutschland durch das NIS-2-Umsetzungs- und Cyber-Sicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 24. Juli 2024 verabschiedet.
Eckdaten der NIS-2-Richtlinie und des Umsetzungsgesetzes in Deutschland
Mit der NIS-2 sollen vor allem die Cyber- und Informationssicherheit zwischen den EU-Staaten gestärkt sowie der Austausch der Cyber-Sicherheitsinformationen verbessert werden.
In Deutschland fallen ca. 30.000 Unternehmen unter die NIS-2! Betroffene Branchen sind Dienstleister der kritischen Infrastruktur (z.B. Energieversorger, Verkehrsunternehmen, Finanzdienstleister, Gesundheitswesen, Digitale Infrastruktur, Bundesverwaltungseinrichtungen etc.).
Den betroffenen Unternehmen und Einrichtungen werden umfangreiche Meldepflichten für Sicherheitsvorfälle auferlegt. Außerdem müssen sie Notfall-Teams (CSIRT – Computer Security Incident Response Team) aufbauen.
Mit der Richtlinie werden höhere Strafen für Verstöße eingeführt – das geht bis zu 10 Mio. Euro oder 2% des Jahresumsatzes – je nach Eingruppierung. Zudem ist beispielsweise eine private Haftung von Leitungsorganen und das Aussetzen von Zertifizierungen und Untersagen von Leitungsaufgaben vorgesehen. Weitere Details lesen Sie hier.
Umsetzung der Anforderungen an die Sicherheit – ein Vorgehen
Nun stellt sich die Frage, wie Sie den Anforderungen gerecht werden können. Wir geben Ihnen ein beispielhaftes Vorgehen an die Hand und unterstützen Sie dabei, den Anforderungen gerecht zu werden!
- Prüfung der Betroffenheit: Ist Ihr Unternehmen/Ihre Einrichtung im definierten Sektor tätig? Wenn ja, welche Schwellenwertregel findet Anwendung? à Mit einem NIS-2-Pre-Check bzw. einem NIS-2-Assessment können Sie sich einen tiefgründigen und auf Ihr Unternehmen bezogenen Überblick über die Anforderungen verschaffen. Das BSI stellt einen groben Vorab-Check zur Verfügung.
- Überblick über die Anforderungen: In diesem Schritt geht es darum, geeignete Handlungsoptionen zu priorisieren. Dies kann auf Grundlage einer Abschätzung der Sanktionsmaßnahmen bei Nichteinhaltung der Anforderungen vorgenommen werden. Hierbei sollten die Höhe der Bußgelder und die Haftung bewertet werden.
- Unternehmensweite Schulung zur Cybersicherheit:Das Bewusstsein für Risiken aus Cyber-Sicherheitsvorfällen muss geschärft werden. Egal ob Top-Management oder Mitarbeitende – Awareness ist das Ziel. Zur Sensibilisierung eignen sich regelmäßige Schulungen und Übungen. (Wie das aussehen kann, lesen Sie hier.) Damit wird auch eine Überwachung der ordnungsgemäßen Umsetzung aufrechterhalten. Festgelegte Regeln und Maßnahmen können so eingehalten und konsequent durchgeführt werden.
- Planung der Aufwendungen: Die erforderlichen finanziellen und personellen Aufwendungen müssen ermittelt werden. Anschließend gilt es, die benötigten Budgets und personellen Ressourcen bereitzustellen, um in die Umsetzung starten zu können.
- Risikomanagementprozess: Sowohl für interne als auch externe Risiken sollte ein Risikomanagementprozess implementiert werden. Für die Ermittlung und Definition der Kritikalität wichtiger Geschäftsprozesse kann eine Business Impact Analyse helfen.
- Betrieb des Risikomanagements: Das Risikomanagement und die entsprechende Berichterstattung sind Steuerungselement der Geschäftsführung. Darüber hinaus sollten anlassbezogene Risikoanalysen zur Einschätzung beginnender Trends durchgeführt werden. So können auf Grundlage der aktuellen Gefährdungslage proaktiv Maßnahmen eingeleitet werden.
- Einbindung der Lieferketten: In diesem Schritt sollten die Lieferketten analysiert und in Bezug auf Cyber-Sicherheitsrisiken sowie Risikomanagement bewertet werden. Denn es gilt sicherzustellen, dass relevante Lieferanten die Vorgaben der NIS-2-Richtlinie erfüllen, auch wenn sie selbst nicht von dieser betroffen sind.
- Bewertung des Reifegrads der Sicherheitskonzepte: Die erforderlichen Sicherheitskonzepte für IT- bzw. OT-Infrastrukturen sind auf ihren Reifegrad zu analysieren und zu bewerten. Ein Mapping anerkannter Frameworks wie der ISO27001-Norm kann hier zu Rate gezogen.
- Implementierung eines Meldeprozesses: Für die geforderte Meldepflicht an die Behörden (BSI, BNetzA etc.) bei Sicherheitsvorfällen muss ein entsprechender Prozess geplant und eingerichtet werden. Dies beinhaltet u.a. die frühzeitige Warnung, die Störfallmeldung und einen Zwischen- sowie Schlussbericht.
- Notfall- und Krisenmanagement, Geschäftskontinuität: Für eintretende Notfälle müssen konkrete Pläne erstellt werden, um den Geschäftsbetrieb aufrechterhalten und wiederaufnehmen zu können – hier empfiehlt sich ein Business Continuity-Plan. Zudem muss das Krisenmanagement geplant und für die Zukunft sichergestellt werden.
Mit diesem Vorgehen kommen Sie dem Ziel näher, die Anforderungen der NIS-2 zu erfüllen.
Mit unseren IT-Security Services begleiten wir Sie ganzheitlich! Egal ob es um Ihren individuellen NIS-2-Pre-Check, die Einführung eines ISMS oder Security Awareness Trainings geht – die Security-Expertinnen und Experten der GISA unterstützen Sie gern dabei. Auch für den sicheren und zuverlässigen Betrieb Ihrer IT-Infrastruktur sind wir Ihr Partner. Wir freuen uns über Ihre Kontaktaufnahme.
Zusammenspiel von ISMS und NIS-2
Unsere Empfehlung: Mit einem gut strukturierten Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 sind Sie für die Anforderungen der NIS-2 gut aufgestellt. Dieser strukturierte Ansatz hilft Ihnen bei der Umsetzung der Anforderungen und somit bei der Verbesserung Ihrer Informationssicherheit. So können beispielsweise Konzepte für die Risikoanalyse und die Bewältigung von Sicherheitsvorfällen erfüllt werden. Außerdem finden Verfahren für die Cyber-Hygiene und Trainings darin ihren Platz.
Handlungsbedarf besteht spätestens jetzt! Der Gesetzesentwurf wird zeitnah als geltendes Recht in Deutschland verkündet werden. Unabhängig von der aktuellen Schwellenwertregel ist zudem eine zukünftige Ausweitung der Richtlinie auf andere Branchen absehbar. Es lohnt sich also in vielerlei Hinsicht, dieses wichtige Thema anzugehen!
