NIS2-Richtlinie: 5 zentrale Erkenntnisse

Die NIS2-Richtlinie trat im Januar 2023 in Kraft, und die Mitgliedstaaten wurden beauftragt, NIS2 bis Oktober 2024 in nationales Recht umzusetzen. Obwohl es bei nationalen Gesetzen einige Verzögerungen gegeben hat, wird NIS2 nicht verschwinden. Geschätzte 160.000 Unternehmen zuzüglich ihrer Lieferkettenstruktur werden in der gesamten EU betroffen sein.

Als jemand, der tief in die NIS2-Richtlinie sowie allgemein in Datenschutz und Compliance involviert ist, habe ich aus erster Hand erlebt, wie die NIS2-Richtlinie das Potenzial hat, das Cyberresilienzmanagement in Europa und den Ländern, die unter ihre extraterritoriale Anwendung fallen, zu transformieren. Die Notwendigkeit einer verbesserten Governance und Rechenschaftspflicht, der Implementierung eines robusten Risikomanagements, von Cybersicherheitsmaßnahmen und einer verbesserten Lieferkettensicherheit war noch nie so deutlich.

In diesem Artikel möchte ich über die oberflächlichen NIS2-Diskussionen hinausgehen, die unsere Feeds füllen. Ich werde eine praxisnahe Perspektive darauf teilen, was die Richtlinie für EU-Organisationen und solche, die den europäischen Markt bedienen, bedeutet. Diese Richtlinie geht nicht nur darum, neue Anforderungen zu erfüllen. Sie erfordert eine strategische Bewertung, wie wir Cyberrisiken in den achtzehn anwendbaren hochkritischen und anderen kritischen Sektoren sowie ihren Lieferketten angehen, einschließlich derjenigen, die nicht in der EU ansässig sind.

Wir werden meine fünf zentralen Erkenntnisse zu NIS2 erkunden, ihre Bedeutung für Ihre Organisation und wie Sie die damit verbundenen Herausforderungen effektiv angehen können.

The Cyber Leadership Playbook

Align your CISO, GC, and board for smarter cyber risk management. Discover practical insights and strategies to bridge the gaps between security, legal, and board leadership.

Download here

1. Governance und Rechenschaftspflicht in der Cybersicherheit auf Führungsebene stärken

Die NIS2-Richtlinie legt klare Verantwortlichkeiten für das Senior Management fest, um die Compliance mit Cybersicherheitsmaßnahmen und der Berichterstattung zu gewährleisten:

Wesentliche Schritte

• Aktive Governance und Rechenschaftspflicht durch die Geschäftsführung: Leitungsorganen wird eine aktive Rolle zugewiesen. Sie tragen die Verantwortung, die Maßnahmen zum Management von Cybersicherheitsrisiken zu genehmigen und deren Umsetzung zu überwachen.
• Kontinuierliche Bewertung: Es besteht die Notwendigkeit einer kontinuierlichen Bewertung und Aktualisierung von Cybersicherheitsstrategien, um auf neue Bedrohungen zu reagieren.
• Schwerwiegende Sanktionenbei Nichteinhaltung: Die Nichteinhaltung dieser Richtlinie kann zu erheblichen Konsequenzen führen, darunter:
  • Geldbußen von bis zu 10 Mio. € oder maximal 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen.
  • Geldbußen von bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen.
  • Die Verpflichtung, Kunden oder Dienstleistungsempfänger über Art und Schwere des Risikos aufgrund von Compliance-Versäumnissen zu informieren.
  • Vorübergehendes Verbot für Schlüsselpersonen wie CEOs oder Rechtsvertreter, Managementfunktionen auszuführen.

Navigate NIS2 with confidence

Simplify NIS2 compliance and transform regulatory challenges into growth opportunities with our NIS2 IT Compliance Toolkit.

Book a demo

Über die finanziellen Sanktionen hinaus kann Nichteinhaltung zu einem Reputationsverlust für die Organisation führen, was zu einer geringeren Marktdurchdringung und negativer Medienaufmerksamkeit führt. Wenn Regulierungsbehörden Nichteinhaltung melden, kann die damit verbundene negative Medienberichterstattung den Ruf der Organisation weiter schädigen.

Nils Müller, Partner, Privacy, Cyber & Tech bei Eversheds Sutherland, betont die Auswirkungen der NIS2-Anforderungen.

Als Nebenprodukt davon gibt es eine echte Möglichkeit, Cybersicherheit in das Gefüge der Unternehmensabläufe einzuweben: Die Integration von Cybersicherheit auf Führungsebene wird dazu beitragen, die Funktion mit übergeordneten Geschäftszielen abzustimmen und eine Kultur des Sicherheitsbewusstseins zu fördern. Dies ist entscheidend, um sicherzustellen, dass Ihre Organisation Cybervorfälle effektiv reduziert und gleichzeitig die Geschäftskontinuität und Resilienz unterstützt.

2. Effektive, aktuelle und verhältnismäßige Cybersicherheitsmaßnahmen implementieren

Im Rahmen der NIS2-Richtlinie müssen Organisationen nun Mindest-Cybersicherheitsmaßnahmen implementieren und dabei den Stand der Technik berücksichtigen.

Wesentliche Schritte

• Cybersicherheitsmaßnahmen: Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit von Netz- und Informationssystemen unter Bezugnahme auf relevante europäische und internationale Standards zu managen.
• Kosteneffizienz undRisikoausrichtung: Sie müssen dies unter Bezugnahme auf relevante europäische und internationale Standards, die Implementierungskosten und das dem Risiko angemessene Sicherheitsniveau tun.
• Umfassende Anforderungen: Einrichtungen sind verpflichtet, 10 in Artikel 21 dargelegte Anforderungen zu berücksichtigen, darunter Risikoanalyse, Vorfallsreaktion, Geschäftskontinuität, Cybersicherheitsschulungen, Kryptographie und Multi-Faktor-Authentifizierung.

Nils empfiehlt, eine Kontrollbibliothek auf diese Maßnahmen abzubilden.

Schritte zur Compliance

1.Klassifizierungsbewertung: Organisationen müssen zunächst bestimmen, ob sie als wesentliche oder wichtige Einrichtungen qualifizieren, indem sie eine gründliche Bewertung durchführen. Dies beinhaltet die Analyse der Sektorzugehörigkeit, Mitarbeiterzahlen, Finanzschwellenwerte und Gruppenstrukturen.

2.Sektoreinbeziehung: Es ist entscheidend, den breiten Anwendungsbereich der unter NIS2 erfassten Sektoren zu verstehen. So können beispielsweise Einrichtungen im Sektor der digitalen Infrastruktur mit mehr als 50 Mitarbeitern als wichtige Einrichtungen eingestuft werden, unabhängig von finanziellen Kennzahlen. Als grobe Orientierung:

• WichtigeEinrichtungen: Hierbei handelt es sich um mittelgroße Unternehmen mit mindestens 50 Mitarbeitern und entweder einem Jahresumsatz von 10 Mio. EUR oder einer Bilanzsumme von 10 Mio. EUR. Sie sollten mit reaktiver Überwachung und regelmäßigen Audits rechnen.
• Wesentliche Einrichtungen: Hierbei handelt es sich um große Unternehmen mit mehr als 250 Mitarbeitern und entweder 50 Mio. EUR Jahresumsatz oder einer Bilanzsumme von 43 Mio. EUR. Die Regulierungsbehörden werden diese hochkritischen Sektoren proaktiv überwachen.

Unabhängig davon, ob Sie eine wesentliche oder wichtige Einrichtung sind, ist die Erfüllung der Anforderung nach kosteneffizienten, dem Stand der Technik entsprechenden Cybersicherheitsmaßnahmen ein komplexer, aber entscheidender Prozess. Über die Bewältigung und Prävention von Sicherheitsvorfällen hinaus wird die Einhaltung dieser Regulierung Ihrer Organisation helfen, innovative Sicherheitspraktiken im täglichen Betrieb anzuwenden. Dies wird sich direkt und positiv auf die langfristige Geschäftskontinuität und Resilienz auswirken.

Your step-by-step guide to NIS2

Download our NIS2 checklist for the actionable steps your organisation can take to comply and elevate your cyber security resilience.

Access the checklist

3. Lieferkettensicherheit stärken, indem sichergestellt wird, dass alle Partner hohe Cybersicherheitsstandards erfüllen

Lieferkettensicherheit ist eine enorme Herausforderung für das Ökosystem. Die Kluft zwischen cyberresilienten Organisationen und solchen, die es nicht sind, wird immer größer. Große, stark regulierte Organisationen haben Fortschritte bei der Cyberresilienz gezeigt, aber das gilt oft nicht für kleinere, weniger regulierte Organisationen. Das bedeutet, dass kleinere Organisationen zunehmend nicht in der Lage sind, kritische operative Unterbrechungen durch einen Cybervorfall zu verhindern, bei der Wiederherstellung oft größere finanzielle Verluste erleiden und die Einhaltung vertraglicher Verpflichtungen gegenüber Kunden sehr schwierig finden.

Die Folge sind gezielte Angriffe auf die Lieferkette. Angreifer nutzen gezielt Schwachstellen bei Lieferanten aus, deren Maßnahmen zum Management von Cyberrisiken und zur Reaktion auf Angriffe häufig weniger ausgereift sind. Schlechte Akteure nutzen diesen Zugang dann, um größere Einrichtungen anzugreifen, die auf diese Lieferanten für Produkte oder Dienstleistungen angewiesen sind.

Die Beseitigung von Cybersicherheitsschwachstellen in Lieferketten ist eine zentrale Anforderung der NIS2-Richtlinie. Diese Herausforderung im Lieferkettenmanagement wird weiter zunehmen, da große Unternehmen die Anforderungen der NIS2-Richtlinie vertraglich an ihre direkten Lieferanten weiterreichen.

Wie kann Ihre Organisation diese Herausforderung also proaktiv angehen?

Wesentliche Schritte

• Vertragliche Verpflichtungen: Direkte Lieferanten und Dienstleister sollten sich frühzeitig auf die neuen vertraglichen Anforderungen vorbereiten. Wesentliche und wichtige Einrichtungen sollten sicherstellen, dass ihre Verträge geeignete Regelungen enthalten, damit Lieferanten die Einhaltung der NIS2-Anforderungen unterstützen. Dazu gehören beispielsweise Verpflichtungen zur Meldung und Berichterstattung über Sicherheitsvorfälle.
• Umfassende Strategie: Wesentliche und wichtige Einrichtungen sollten ihre bestehenden Lieferkettenprogramme weiterentwickeln, um die Einhaltung der NIS2-Richtlinie sicherzustellen. Gleichzeitig sollten sie gewährleisten, dass auch ihre Lieferanten die Anforderungen erfüllen und dies bei Bedarf nachweisen können.

Nick Frost, Mitgründer und Chief Product Officer bei Cyber Risk Management Group, erinnert uns daran: „Die Absicherung der Lieferkette ist wahrscheinlich eine der größten Herausforderungen, mit denen Organisationen und Sicherheitsfunktionen konfrontiert sind.“ Wenn wir jedoch eine positive Seite der Auswirkungen von NIS2 finden wollen: Durch die Einbettung von Cybersicherheitsstandards in Lieferantenverträgen fördern Sie ein einheitliches Sicherheitsniveau, reduzieren Schwachstellen und minimieren die Auswirkungen von Cybervorfällen. Letztendlich wird ein proaktiver Ansatz gegenüber der NIS2-Richtlinie Ihren Ruf und das Kundenvertrauen stärken und Ihre Organisation als Vorreiter in der Cybersicherheits-Due-Diligence positionieren.

4. Zeitnahe und effektive Meldung signifikanter Cybersicherheitsvorfälle sicherstellen

Die Rolle Ihrer Organisation beim Umgang mit Cybersicherheitsvorfällen erhält durch die NIS2-Richtlinie eine neue Dringlichkeit und Bedeutung. Als wesentliche oder wichtige Einrichtung müssen Sie strenge Meldepflichten einhalten, sobald ein erheblicher Cybersicherheitsvorfall erkannt wird.

Wesentliche Schritte

• Sofortige Frühwarnung: Innerhalb von 24 Stunden nach der Erkennung eines signifikanten Cybersicherheitsvorfalls müssen Sie eine Frühwarnung an das zuständige Computer Security Incident Response Team (CSIRT) oder die zuständige Behörde übermitteln. Diese Erstmeldung ist entscheidend, da sie die Grundlage für eine koordinierte Reaktion bildet.
• Detaillierte Vorfallsnotifizierung: Auf die Frühwarnung muss innerhalb von 72 Stunden eine detaillierte Vorfallsmeldung folgen. Diese geht über die reine Erfüllung der Meldepflicht hinaus: Sie liefert den zuständigen Behörden einen klaren und umfassenden Überblick über den Vorfall, damit sie die Lage bewerten und angemessen reagieren können.
• Fortlaufende Kommunikation: Ihre Verantwortung endet nicht mit den ersten Meldungen. Stellen Sie dem CSIRT oder der zuständigen Behörde auf Anfrage weitere Informationen zur Verfügung und halten Sie sie über den weiteren Verlauf des Vorfalls auf dem Laufenden.
• Abschlussbericht: Innerhalb von 30 Tagen ist ein Abschlussbericht einzureichen. Dieser Bericht sollte nicht nur den Vorfall zusammenfassen, sondern auch Erkenntnisse und Empfehlungen, um vergleichbare Vorfälle künftig zu verhindern.

Langfristig bietet dies einen weiteren Vorteil: Ihre Organisation entwickelt ein robusteres Cybersicherheits-Framework. Indem Sie sich frühzeitig auf die Meldepflichten vorbereiten, erfüllen Sie nicht nur regulatorische Anforderungen. Sie schützen Ihre Organisation sowie Ihre Kunden und Partner aktiv und stärken Ihre Resilienz gegenüber Cyberbedrohungen.

5. Compliance für nicht in der EU ansässige Einrichtungen sicherstellen, die den EU-Markt bedienen

Die NIS2-Richtlinie gilt nicht nur für Unternehmen mit Sitz in der EU. Sie reicht über die Grenzen der EU hinaus und verpflichtet auch internationale Unternehmen, die auf dem EU-Markt tätig sind, zur Einhaltung ihrer Anforderungen. Dadurch wird sichergestellt, dass alle betroffenen Unternehmen – unabhängig von ihrem Standort – ein hohes Cybersicherheitsniveau gewährleisten, wenn sie in der EU tätig sind.

Gleichzeitig können sich Unternehmen in der EU ihren Verpflichtungen nicht entziehen, indem sie mit Lieferanten oder Dienstleistern außerhalb der EU zusammenarbeiten, die selbst nicht unmittelbar unter die NIS2-Richtlinie fallen.

Wesentliche Schritte

• Wer ist betroffen: NIS2 wirft ein extraterritorial weitreichendes Netz aus, ähnlich wie die DSGVO, und gilt für:
  • DNS-Dienstleister, TLD-Namensregister, Cloud-Computing-Dienstleister, Rechenzentrumsbetreiber, Anbieter von Content-Delivery-Netzwerken, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze und Suchmaschinen sowie Social-Networking-Plattformen.Wer Dienstleistungen auf dem EU-Markt anbietet, sollte die Anforderungen der NIS2-Richtlinie kennen – unabhängig vom Unternehmenssitz.
  • Wichtig ist, dass direkte Lieferanten, die nicht in der EU ansässig sind, wie zum Beispiel britische Unternehmen, die aber EU-wesentliche oder wichtige Einrichtungen beliefern, diesen Kunden auch nachweisen müssen, dass sie nach NIS2-Standards arbeiten.
• Anforderungen für Nicht-EU-Einrichtungen: Insbesondere für Einrichtungen wie die in Großbritannien (nach dem Brexit) kann es eine vertragliche Verpflichtung und ein Wettbewerbsvorteil sein, nachzuweisen, dass ihre Aktivitäten die NIS2-Anforderungen erfüllen. Es geht nicht nur um Compliance; es geht darum sicherzustellen, dass Ihre Dienstleistungen von Kunden und Partnern innerhalb des EU-Marktes als vertrauenswürdig angesehen werden.
• Benennung eines EU-Vertreters: Ähnlich wie bei der DSGVO ist die Benennung eines EU-Vertreters verpflichtend, wenn Ihr Unternehmen keine Niederlassung in der EU hat, aber Dienstleistungen auf dem EU-Markt anbietet. Der EU-Vertreter unterstützt Sie bei der Erfüllung Ihrer regulatorischen Pflichten und fungiert als Ansprechpartner für die zuständigen Behörden.

Ratschläge für Nicht-EU-Unternehmen

• Vertragliche Klarheit: Wenn Sie Lieferant oder Dienstleister einer wesentlichen oder wichtigen Einrichtung in der EU sind, sollten Ihre vertraglichen Verpflichtungen im Rahmen der NIS2-Richtlinie klar geregelt sein. Stellen Sie außerdem sicher, dass die erforderlichen Prozesse und Verantwortlichkeiten festgelegt sind, um diese Verpflichtungen zuverlässig erfüllen zu können.
• Strategischer Vorteil: Strategischer Vorteil: Die Einhaltung der NIS2-Richtlinie ist mehr als eine regulatorische Pflicht, sie kann ein echter Wettbewerbsvorteil sein. Unternehmen, die ihre NIS2-Compliance proaktiv nachweisen können, schaffen Vertrauen und verbessern ihre Chancen auf neue Geschäftsmöglichkeiten innerhalb der EU. Gleichzeitig erleichtern sie ihren Kunden die Einhaltung der Vorgaben der NIS2-Richtlinie.

NIS2: Mehr als regulatorische Anforderungen – ein Fundament für mehr Resilienz

Die NIS2-Richtlinie setzt neue Maßstäbe für die Cybersicherheit. Sie macht deutlich, dass Cybersicherheit weit mehr ist als die Erfüllung regulatorischer Vorgaben – sie wird zu einem zentralen Bestandteil einer resilienten Unternehmensstrategie.

Damit Führungskräfte und Board-Mitglieder ihre Verantwortung im Rahmen der NIS2-Richtlinie wirksam wahrnehmen können, benötigen sie das richtige Wissen und die passenden Werkzeuge.

Die über die Diligent One Platform verfügbaren NIS2-Schulungskurse vermitteln ein fundiertes Verständnis der Richtlinie, erläutern ihre wichtigsten Anforderungen und unterstützen Unternehmen mit praxisnahen Hilfsmitteln – darunter eine Checkliste zur Vorbereitung auf NIS2.

Wer heute in ein robustes Cybersicherheits-Framework investiert, schafft nicht nur die Grundlage für die Einhaltung der NIS2-Vorgaben. Gleichzeitig stärkt er die langfristige Resilienz seines Unternehmens und seiner Lieferkette.

Erfahren Sie, wie das Diligent NIS2 Toolkit Sie dabei unterstützt, die Anforderungen der NIS2-Richtlinie effizient umzusetzen, Ihre Compliance nachhaltig nachzuweisen und Ihr Unternehmen langfristig widerstandsfähiger aufzustellen. Vereinbaren Sie jetzt eine Demo.