Die NIS2-Richtlinie: Sind Sie bereit, die Messlatte für Cyberresilienz höher zu legen?

Cybersicherheit muss eine Gemeinschaftsaufgabe sein, um raffinierten Cyberangriffen wirksam begegnen zu können. Moderne Technologienetzwerke sind hochgradig vernetzt: Ein Angriff in einem Bereich kann sich schnell und mit erheblichen Folgen auf andere Bereiche auswirken — ob in einem anderen Unternehmen, einer anderen Branche oder sogar einem anderen Land. Die Dringlichkeit, eine gemeinsame Strategie zu entwickeln, ist umso größer, wenn die Netzwerke, auf die Länder für die Erbringung kritischer Infrastrukturleistungen angewiesen sind, von staatlichen Akteuren angegriffen werden, die Disruption anstreben. Zu diesen essenziellen Diensten gehören Gesundheit, Finanzen, Wasserversorgung, Verkehr und sogar staatliche Einrichtungen selbst.

Diese Dringlichkeit wurde durch eine jüngste Ankündigung der US-Regierung schärfer beleuchtet: Die chinesische Hackergruppe Volt Typhoon war seit fünf Jahren in die IT-Umgebungen amerikanischer Transport- und Wasserversorgungssysteme eingedrungen. Die Erklärung, mitunterzeichnet von nationalen Cybersicherheitsbehörden in Großbritannien, Kanada, Australien und Neuseeland, betonte das Risiko störender Angriffe, die von kompromittierten Netzwerken aus gestartet werden. Der Schutz vor derart weitreichenden und folgenreichen Angriffen ist nur dann erfolgreich, wenn alle Teile des Netzwerks abgedeckt sind — und das erfordert einen kooperativen Ansatz.

The Cyber Leadership Playbook

Align your CISO, GC, and board for smarter cyber risk management. Discover practical insights and strategies to bridge the gaps between security, legal, and board leadership.

Download here

In Großbritannien gab die Law Society kürzlich Orientierung für Anwaltskanzleien heraus, nachdem ein Anbieter von IT-Managed-Services für die Rechts- und Beratungsbranche einen Cyberangriff erlitten hatte, der angeblich bis zu 80 Kanzleien betraf — viele von ihnen konnten vorrübergehend nicht mehr auf ihre Aktendaten zugreifen.

Vorfälle wie dieser liefern die Begründung für die NIS2-Richtlinie der EU, die bis Oktober 2024 in nationales Recht jedes EU-Mitgliedstaats umgesetzt werden soll. NIS2 gibt eine Liste von Sicherheitsrisikomanagementmaßnahmen vor, die wesentliche und wichtige Einrichtungen umsetzen müssen, um Netz- und Informationssysteme zu schützen. Ziel ist ein höheres gemeinsames Cybersicherheitsniveau in der gesamten EU. Die Richtlinie soll die kollektive Widerstandsfähigkeit stärken, die Fähigkeit von Organisationen verbessern, Cybersicherheitsvorfälle zu bewältigen und sich schneller davon zu erholen, und Cybersicherheitsstandards in Schlüsselindustrien und deren Lieferketten anheben. Durch verbindliche Mindestanforderungen soll die Wahrscheinlichkeit verringert werden, dass Cyberangriffe Bürgerinnen und Bürger, Gesellschaften und Volkswirtschaften beeinträchtigen — und die Wirkung der Angriffe, die dennoch stattfinden, minimiert werden.

NIS2 ist — wie der Name andeutet — nicht der erste Versuch, Cybersicherheitsstandards gemeinsam zu verbessern. Diese Version behebt Schwächen der früheren Richtlinie, erweitert den Kreis der erfassten Organisationen und Sektoren, stärkt die Harmonisierung und internationale Zusammenarbeit und macht präzisere Vorgaben zu Fristen und Inhalten bei der Vorfallsmeldung.

NIS2 wird die Governance-, Risiko- und Compliance-Praxis wesentlicher und wichtiger Einrichtungen in 18 Sektoren verändern, aufgeteilt in hochkritische und andere kritische Sektoren. Beispiele: Energie, Verkehr, Gesundheit, Trinkwasser und Abfallentsorgung, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Post- und Kurierdienste, Lebensmittelproduktion und -verarbeitung sowie digitale Anbieter.

Darüber hinaus gilt NIS2 in vier weiteren zentralen Bereichen:

• Governance undRechenschaftspflicht aufhöchster Führungsebene: Leitungsorgane erhalten eine aktive Rolle und tragen die Verantwortung, die Cybersicherheitsrisikomanagementmaßnahmen ihrer Organisationen zu genehmigen und deren Umsetzung zu überwachen. Wer die Einhaltung nicht sicherstellt, kann persönlich für Pflichtverletzungen haftbar gemacht werden. Als Sanktion ist unter anderem ein vorübergehendes Verbot vorgesehen, Managementfunktionen auf CEO- oder Rechtsvertreter-Ebene auszuüben.
• Lieferkettensicherheit: Die Richtlinie verpflichtet Organisationen, Cybersicherheitsschwächen in ihrer Lieferkette zu beheben. Sicherheitsbezogene Anforderungen zwischen Organisationen und ihren direkten Lieferanten oder Dienstleistern werden vertraglich verankert — mit einer Top-down-Wirkung, die ein gesamtes Lieferantenökosystem rund um die geschätzt 160.000 direkt betroffenen Einrichtungen erfasst. Direkte Lieferanten und Dienstleister sollten sich frühzeitig auf diese vertraglichen Anforderungen vorbereiten.
• Grenzüberschreitende Anwendung: Für bestimmte Einrichtungen, die nicht in der EU ansässig sind, aber Dienstleistungen innerhalb der EU anbieten, gilt NIS2 ebenfalls. Betroffen sind unter anderem DNS-Dienstleister, TLD-Namensregister, Cloud-Computing-Anbieter, Rechenzentrumsbetreiber, Anbieter von Content-Delivery-Netzwerken, Managed Service Provider, Managed Security Service Provider sowie Betreiber von Online-Marktplätzen, Suchmaschinen und Social-Networking-Plattformen. Darüber hinaus müssen direkte Lieferanten außerhalb der EU — etwa britische Unternehmen — ihren europäischen Kunden nachweisen, dass sie nach NIS2-Standards arbeiten.
• Meldepflichten bei erheblichen Cybersicherheitsvorfällen: Wesentliche und wichtige Einrichtungen müssen das zuständige Computer Security Incident Response Team (CSIRT) oder die zuständige Behörde innerhalb von 24 Stunden mit einer Frühwarnung informieren, innerhalb von 72 Stunden eine Vorfallsmeldung vorlegen, laufend über den Verlauf berichten und innerhalb von 30 Tagen nach der Vorfallsmeldung einen Abschlussbericht einreichen.

Welche Sanktionen drohen bei Verstößen gegen NIS2?

Organisationen, die NIS2 nicht einhalten, müssen mit einem breiten Spektrum an Sanktionen rechnen:

• Geldbußen von bis zu 10 Mio. € oder maximal 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen sowie bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen.
• Verantwortliche Personen (etwa CEOs oder Rechtsvertreter) wesentlicher Einrichtungen können vorübergehend von der Ausübung ihrer Führungsfunktionen in der betreffenden Einrichtung ausgeschlossen werden, sofern diese nicht compliant ist.
• Verantwortliche Personen in wesentlichen oder wichtigen Einrichtungen können persönlich für die Nichterfüllung ihrer Pflichten zur Sicherstellung der NIS2-Compliance haftbar gemacht werden.
• Betroffene Einrichtungen können öffentlich benannt oder mit verbindlichen Anweisungen zur Behebung von Verstößen belegt werden.
• Sie können verpflichtet werden, Kunden oder Dienstleistungsempfänger über Art und Schwere des Risikos infolge von Compliance-Versäumnissen zu informieren.

Die Messlatte für Cyberresilienz höher legen

Die Einhaltung der NIS2-Richtlinie erfordert, dass Organisationen jederzeit eine klare Sicht auf ihre Cybersicherheitsleistung haben — mit wirksamen Kontrollen und einem kontinuierlichen Monitoring, das den Leitungsorganen die nötige Sicherheit gibt.

Aus Governance-Perspektive setzt die Richtlinie auch voraus, dass Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen eine NIS2-Schulung absolvieren, damit sie Cybersicherheitsrisiken erkennen und priorisieren können und in der Lage sind, ihre Risikomanagementpflichten wirksam wahrzunehmen.

Über die eigene Organisation hinaus ist ein erweitertes Drittparteirisikomanagement unabdingbar. Es muss gewährleisten, dass Cybersicherheitsrisiken bei Schlüsselunternehmen in der Lieferkette identifiziert und gesteuert werden und dass die Lieferkette angemessene technische, operative und organisatorische Maßnahmen zur Absicherung ihrer Netz- und Informationssysteme implementiert hat.

Möchten Sie mehr über NIS2 und die Compliance-Anforderungen erfahren? Laden Sie unser White Paper und die NIS2-Checkliste noch heute herunter — für fundierte Einblicke und Expertenwissen.

Wie kann Diligent helfen?

Die vielfältigen Anforderungen der NIS2-Richtlinie zu erfüllen, erfordert einen einheitlichen Ansatz für Governance, Risiko und Compliance. Organisationen brauchen Transparenz über alle Bereiche des Cybersicherheits- und Drittparteirisikos, um den Leitungsorganen die erforderliche Sicherheit zu bieten.

Die Diligent One Platform kann diese Sicherheit liefern. Diligent bietet integrierte Lösungen für interne Kontrollen, Enterprise- und Drittparteirisikomanagement sowie Compliance — und unterstützt Risikopraktiker und Leitungsorgane mit einer einzigen Quelle der Wahrheit. Diese Daten sind entscheidend für fundierte Entscheidungen, vorausschauende Planung und schnelles Handeln bei erheblichen Cybersicherheitsvorfällen.

Darüber hinaus haben wir ein NIS2 Compliance Toolkit entwickelt, das Ihre IT-Compliance auf ein neues Niveau hebt und gleichzeitig Zeit und Ressourcen schont. Es hilft Ihnen, eine Marke aufzubauen und zu pflegen, der Ihre Kunden vertrauen — durch den Nachweis einer fundierten und konsequenten NIS2-Compliance.

Unser NIS2 Compliance Toolkit bildet die von NIS2 für wesentliche und wichtige Einrichtungen sowie deren Lieferketten vorgeschriebenen Cybersicherheitsrisikomanagementmaßnahmen und -pflichten auf ein Set von Cybersicherheitskontrollen ab, das auf internationalen Standards und bewährten Verfahren basiert.

Sprechen Sie jetzt mit einem Experten und erfahren Sie, wie Sie Ihre NIS2-Compliance mit Diligent stärken können.