NIS2-Richtlinie: Das ändert sich für Unternehmen

Die NIS-Richtlinie war ein Meilenstein für die EU in Bezug auf Cybersicherheit. Mit der NIS2-Richtlinie, die im Januar 2023 in Kraft trat, müssen Unternehmen in 18 Sektoren die darin festgelegten Mindeststandards umzusetzten.Die NIS-2-Richtlinie sollte ursprünglich bis zum 17. Oktober 2024 von den EU-Mitgliedstaaten in nationales Recht umgesetzt werden. Deutschland wird diese Frist jedoch verpassen. Aktuell wird mit einem Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes (NIS2UmsuCG) im März 2025 gerechnet. In diesem Blogbeitrag erfahren Sie, wie die NIS-2-Richtlinie die Cybersicherheitslandschaft für Unternehmen verändert. Von den betroffenen Sektoren bis zu den Maßnahmen, die ergriffen werden müssen – wir erklären es Ihnen.

NIS2-Richtlinie: EU-Vorschriften für Netz- und Informationssicherheit

Die NIS2-Richtlinie ist eine aktualisierte und erweiterte Version der bestehenden EU-Richtlinie für Cybersicherheit, die erstmals im Jahr 2016 eingeführt wurde. Sie ergänzt die ursprüngliche NIS-Richtlinie, um den sich verändernden Bedrohungen und Anforderungen im Cyberspace besser gerecht zu werden. NIS-Richtlinie steht übrigens für „Network and Information Security“-Richtlinie. Ein zentrales Ziel der NIS2-Richtlinie besteht darin, Mindeststandards festzulegen, um eine einheitliche und effektive Sicherheitsstruktur für Netz- und Informationssysteme in der gesamten Europäischen Union zu erreichen.

Die NIS2-Richtlinie stellt damit einen wichtigen Schritt zur Stärkung der Resilienz gegenüber Cyberbedrohungen dar, indem sie Unternehmen dazu verpflichtet, proaktiv Sicherheitsmaßnahmen zu ergreifen und Vorfälle transparent zu melden. Durch die Harmonisierung der Sicherheitsstandards auf EU-Ebene zielt die Richtlinie darauf ab, die Zusammenarbeit zwischen den Mitgliedstaaten zu fördern und eine gemeinsame Front gegen Cyberangriffe zu bilden.

Bis wann muss die NIS2-Richtlinie umgesetzt werden?

Alle 27 Mitgliedsstaaten der Europäischen Union sind verpflichtet, die NIS2-Richtlinie in nationales Recht umzusetzten und damit entsprechend nationale Gesetze und Vorschriften zu erlassen. Die NIS-2-Richtlinie sollte ursprünglich bis zum 17. Oktober 2024 von den EU-Mitgliedstaaten in nationales Recht umgesetzt werden. Deutschland wird diese Frist jedoch verpassen. Aktuell wird mit einem Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes (NIS2UmsuCG) im März 2025 gerechnet.Darüber hinaus sind viele Unternehmen und Organisationen innerhalb der EU dazu verpflichtet, die Anforderungen der NIS2-Richtlinie zu erfüllen und ihre Netz- und Informationssysteme entsprechend zu sichern.

Die NIS2-Richtlinie legt dabei nicht nur Mindeststandards für die Sicherheit von Netz- und Informationssystemen fest, sondern enthält auch Bestimmungen zur Meldepflicht von Sicherheitsvorfällen sowie zur Zusammenarbeit und Koordination zwischen den Mitgliedsstaaten bei der Bewältigung von Cyberbedrohungen. Details dazu erfahren Sie weiter unten im Beitrag.

Welche Unternehmen sind betroffen?

Für Unternehmen in bestimmten Sektoren und Größenklassen werden durch die NIS2-Richtlinie neue Verpflichtungen und Anforderungen gelten. Besonders betroffen sind Unternehmen in kritischen Sektoren wie Energie, Verkehr, Finanzwesen, Gesundheitswesen und digitale Infrastruktur. Aber auch öffentliche Verwaltungen und Forschungseinrichtungen müssen die Richtlinie einhalten. All diese Sektoren spielen eine entscheidende Rolle im täglichen Funktionieren unserer Gesellschaft und sind daher potenziell anfällig für Cyberangriffe, die erhebliche Auswirkungen haben könnten.

Sektoren mit hoher Kritikalität

Zu Unternehmen mit hoher Kritikalität gehören:

• Energie: Unternehmen, die in Bereichen wie Elektrizität, Fernwärme, Öl, Gas und Wasserstoff aktiv sind, müssen die Bestimmungen der NIS-2-Richtlinie umsetzen.
• Verkehr: Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr sind ebenfalls von hoher Bedeutung und müssen entsprechende Sicherheitsvorkehrungen gemäß der Richtlinie treffen.
• Bank- und Finanzwesen: Da das Finanzsystem eine zentrale Rolle in der Wirtschaft spielt und viele sensible Daten verarbeitet, sind Unternehmen in diesem Sektor ebenfalls betroffen.
• Gesundheitswesen: Die Sicherheit von Informationssystemen im Gesundheitswesen ist entscheidend für den Schutz von Patientendaten und den reibungslosen Ablauf medizinischer Prozesse.
• Digitale Infrastruktur: Unternehmen, die digitale Dienstleistungen anbieten oder wichtige digitale Infrastruktur bereitstellen, müssen entsprechende Sicherheitsmaßnahmen implementieren.

Unternehmen innerhalb dieser kritischen Sektoren müssen nun spezifische Sicherheitsmaßnahmen implementieren, um ihre Netz- und Informationssysteme zu schützen. Dazu gehören unter anderem die Einführung von Sicherheitsvorkehrungen wie Verschlüsselung, Zugangskontrolle und Incident-Response-Plänen. Darüber hinaus sind sie verpflichtet, Sicherheitsvorfälle, die ihre Systeme betreffen, den nationalen Behörden zu melden.

Unternehmensgrößen und Umsatzgrenzen

Die Umsetzungspflicht der NIS-2-Richtlinie betrifft dabei nicht nur große Unternehmen, sondern auch mittelständische Unternehmen. Hier sind Unternehmen mit einer Größe von 50 bis 250 Mitarbeitern und einem jährlichen Umsatz von 10 bis 50 Millionen Euro bzw. einer Bilanzsumme von bis zu 43 Millionen Euro betroffen. Großunternehmen ab einer Größe von 250 Mitarbeitern mit einem Umsatz von mindestens 50 Millionen Euro oder einer Bilanzsumme von mindestens 43 Millionen Euro sind ebenfalls verpflichtet, die Richtlinie umzusetzen.

Das müssen Unternehmen jetzt tun

Wie Sie soeben erfahren haben, bringt die NIS-2-Richtlinie für Unternehmen in verschiedenen Sektoren und Größenklassen neue Verpflichtungen mit sich, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Für sie legt die NIS2-Richtlinie Mindestanforderungen in den Artikeln 20 und 21 fest, darunter Governance, Risikomanagementmaßnahmen und Berichtspflichten. Demnach müssen diese Unternehmen geeignete Risikomanagementmaßnahmen ergreifen, ihre Mitarbeiter schulen und strengere Meldepflichten für Sicherheitsvorfälle einhalten.

Die konkreten umzusetzenden Mindestanforderungen sind im Kapitel 4, in Artikel 20, 21 und 23 der NIS2-Richtlinie festgelegt. Dazu gehören:

Governance (Artikel 20)
Unternehmen sind verpflichtet, geeignete Risikomanagementmaßnahmen zu ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dies umfasst die Implementierung von Konzepten zur Risikoanalyse und Sicherheit für Informationssysteme sowie Incident Management.

WICHTIG: Die Geschäftsführung muss die Umsetzung aller geeigneten Maßnahmen überwachen und haftet für Verstöße!

Zusätzlich müssen Unternehmen ihren Mitarbeitenden regelmäßig Schulungen anbieten, um ihre Kenntnisse und Fähigkeiten im Bereich Cybersicherheit zu verbessern.

Risikomanagement im Bereich Cybersicherheit (Artikel 21)
Unternehmen müssen Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme implementieren, um potenzielle Risiken zu identifizieren und angemessene Maßnahmen zur Risikominderung zu ergreifen. Dies beinhaltet auch die Bewertung der Risiken und die Entwicklung von geeigneten Sicherheitsvorkehrungen.

Meldepflichten (Artikel 23)
Die NIS-2-Richtlinie führt strengere Meldepflichten für Sicherheitsvorfälle ein. Unternehmen müssen Vorfälle innerhalb von 24 Stunden nach Kenntnisnahme an die Behörden melden. Ein ausführlicher Bericht muss innerhalb von 72 Stunden nach Kenntnisnahme eingereicht werden. Zudem ist ein Fortschritts- oder Abschlussbericht einen Monat nach der Meldung erforderlich.

Unsere Empfehlungen: So setzen Sie die NIS-2-Richtlinie um

Wir wissen, dass die Einführung der NIS-2-Richtlinie eine bedeutende Veränderung für die betroffenen Unternehmen darstellt. Um den Anforderungen der Richtlinie gerecht zu werden und potenzielle Sanktionen zu vermeiden, sollten Sie jetzt wichtige Maßnahmen ergreifen.

In 4 Schritten die NIS2-Anforderungen erfüllen

1. Überprüfen Sie den Anwendungsbereich für Ihr Unternehmen
Das erste, was Sie jetzt tun sollten, ist zu prüfen, ob sie in den Anwendungsbereich der NIS-2-Richtlinie fallen. Insbesondere Unternehmen in kritischen Sektoren wie Energie, Verkehr, Finanzwesen, Gesundheitswesen und digitale Infrastruktur sollten ihre Position in Bezug auf die Richtlinie überprüfen.

Wenn NIS-2 für Ihr Unternehmen gilt, müssen Sie sich bei der nationalen Behörde registrieren. Folgende Informationen müssen Sie einreichen: Name und Anschrift Ihres Unternehmens sowie Kontaktdaten, einschließlich E-Mail-Adressen, IP-Adressbereiche und Telefonnummern; den relevanten Sektor und Teilsektor sowie ggf. eine Liste der EU-Mitgliedstaaten, in denen Sie Ihre Dienste erbringen.

2. Beginnen Sie mit einer umfassenden Risikoanalyse
Eine gründliche Risikoanalyse ist anschließend unerlässlich, um potenzielle Schwachstellen und Risiken in den Netz- und Informationssystemen eines Unternehmens zu identifizieren.

3. Ergreifen Sie technische und organisatorische Maßnahmen
Basierend auf den Ergebnissen dieser Analyse implementieren Sie angemessene technische und organisatorische Maßnahmen, um diese Risiken zu minimieren und die Sicherheit der Systeme zu verbessern. Der Einsatz von Kryptografie und gegebenenfalls Verschlüsselungstechnologien ist wichtig, um sensible Daten zu schützen. Implementieren Sie Maßnahmen zur Personalsicherheit, Zugriffskontrolle und Asset Management, um unbefugten Zugriff zu verhindern. Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung trägt dazu bei, die Sicherheit von Zugriffen zu erhöhen. Etablieren Sie sichere Kommunikationskanäle für Sprach-, Video- und Textkommunikation, um – auch im Notfall – eine unterbrechungsfreie Kommunikation zu gewährleisten. Stellen Sie außerdem sicher, dass die Sicherheit in der Lieferkette gewährleistet ist.

4. Implementieren Sie ein Krisenmanagement
Ein effektives Krisenmanagement ist entscheidend, um bei einem Sicherheitsvorfall schnell, fristgerecht und mit angemessener Reaktion zu handeln. Entwickeln Sie klare Verfahren und Protokolle für die Erkennung, Bewertung und Bewältigung von Sicherheitsvorfällen. Denken Sie in diesem Zusammenhang auch an ein effektives Backup-Management und Wiederherstellungsverfahren. Stellen Sie sicher, dass Ihre Mitarbeitenden regelmäßig in Cybersecurity geschult werden, um sie für Sicherheitsrisiken zu sensibilisieren.

Strafen bei Nichteinhaltung der NIS-2-Richtlinie

Beachten Sie bitte, dass die EU-Mitgliedstaaten bei bestimmten Verstößen oder Zuwiderhandlungen gegen die NIS-2-Richtlinie Geldbußen verhängen können. Diese Geldbußen können bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes des Unternehmens betragen. Darüber hinaus können leitende Organe persönlich haftbar gemacht werden, wenn sie nachweislich gegen die Richtlinie verstoßen haben.

Fazit: Cybersicherheit beginnt bei jedem Einzelnen

Die Einführung der NIS2-Richtlinie markiert einen bedeutenden Schritt der Europäischen Union hin zu einer stärkeren Cybersicherheit und einer sichereren digitalen Zukunft. Doch für die betroffenen Unternehmen bringt dies eine Vielzahl von Herausforderungen mit sich.

Wir, die PSW GROUP, sind uns der Bedeutung von Cybersicherheit bewusst und stehen Unternehmen bei der Bewältigung dieser Herausforderungen zur Seite. So bieten wir ein umfangreiches Angebot an digitalen Zertifikaten , um die Anforderungen im Bereich der Kryptographie zu erfüllen. Unsere Experten unterstützen zudem bei der Umsetzung der Anforderungen aus der ISO 27001 und bieten Schulungen und Qualifizierungen für Fachpersonal und Mitarbeiter im Bereich ISO 27001 an.

Cybersicherheit betrifft jeden einzelnen in einem Unternehmen und erfordert eine gemeinsame Anstrengung, um Risiken zu minimieren und Sicherheitsstandards zu erhöhen. Mit unserem Fachwissen und unserer Erfahrung stehen wir Ihnen gerne zur Seite, um Ihre Netz- und Informationssysteme zu schützen und Ihre Organisation widerstandsfähiger gegen Cyberbedrohungen zu machen. Besuchen Sie unsere Website (https://www.psw-group.de/), um mehr über unsere Dienstleistungen zu erfahren und kontaktieren Sie uns, um zu erfahren, wie wir Ihnen helfen können, die Cybersicherheit in Ihrem Unternehmen zu stärken.