NIS2-Richtlinie im Fokus
Die NIS2-Richtlinie verschärft die Mindestanforderungen an die IT-Sicherheit kritischer Infrastrukturen und betrifft erheblich mehr Unternehmen als bisher. Welche Neuerungen kommen auf Sie zu? Was müssen Sie tun, um gut vorbereitet zu sein? Hier finden sie Antworten auf die wichtigsten Fragen:
Die NIS2-Richtlinie: Was Unternehmen jetzt wissen müssen
WAS IST NIS2?
Die NIS2-Richtlinie (Netzwerk und Informationssysteme) ist ein Rechtsakt, in dem ein von den EU-Ländern zu erreichendes Ziel festgelegt wird, der Mindestanforderungen an die Cybersicherheit kritischer Infrastrukturen definiert. Die EU-Kommission will damit das Cybersicherheits-Niveau in der Europäischen Union verbessern und die internationale Zusammenarbeit bei der Bekämpfung von Cyberangriffen stärken. NIS2 ist seit dem 16. Januar 2023 in Kraft und muss bis zum 17. Oktober 2024 von den Mitgliedsstaaten in nationales Recht umgesetzt werden. Die neue Richtlinie betrifft circa 30.000 Unternehmen in Deutschland und bringt neue Pflichten mit sich.
Was bedeutet NIS2 in Deutschland?
Das deutsche Gesetz zur Umsetzung von NIS2 (NIS2UmsuCG) verzögert sich voraussichtlich auf Frühjahr 2025. Das NIS2UmsuCG soll bestehende KRITIS-Gesetze in Deutschland anpassen – vor allem das BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik). Spätestens mit der Umsetzung in das nationale Recht gilt NIS2 jedoch unverzüglich und ohne Übergangsfristen
Um gut vorbereitet zu sein, sollten Unternehmen deshalb nicht auf den finalen deutschen Gesetzestext warten, sondern das Thema jetzt angehen. Denn Security-Maßnahmen einzuführen, kostet Zeit, und auf den letzten Drücker werden meist die Berater-Ressourcen knapp.
Die wichtigsten Neuerungen von NIS2 auf einen Blick
Die NIS2-Richtlinie überarbeitet die NIS-Richtlinie von 2016 und löst sie ab. Das sind die wichtigsten Änderungen:
- Erheblich mehr Unternehmen sind betroffen. Die Zahl der Sektoren wächst insgesamt auf 18. Sieben neue „Important Entities“ (wichtige Einrichtungen) kommen hinzu und Schwellenwerte werden gesenkt.
- Unternehmen müssen das Risiko eines Cyberangriffs über ihre Lieferkette beurteilen können.
- Cyberrisikomanagement wird Pflicht.
- Unternehmen müssen Mitarbeiterschulungen und Audits zur Cybersicherheit durchführen.
- Geschäftsführer haften persönlich für den Schaden, der durch Missachtung ihrer Pflicht zum Cyberrisikomanagement entsteht.
- Bei Verstößen drohen empfindliche Strafen.
- Es gelten strenge Meldepflichten. Aufsichtsbehörde ist das BSI.
- Die Mitgliedsstaaten richten ein nationales CSIRT (Computer Security Incident Response Team) ein. In Deutschland übernimmt diese Rolle wahrscheinlich das BSI. Die CSIRTs arbeiten EU-weit zusammen und berichten an die übergreifende, koordinierende Cybersecurity Behörde ENISA (European Union Agency for Cybersecurity).
Rechtliche Grundlagen von NIS2
Juristischer Leitfaden – Diese Meldepflichten und Strafen sollten Sie kennen
Für den Fall, dass Sie von einem erheblichen Sicherheitsvorfall betroffen sind, brauchen Sie außerdem ein Verfahren, um den Vorfall fristgerecht innerhalb von 24 Stunden an das BSI zu melden.
Folgende Meldungen sind abzugeben:
- Frühwarnung (im deutschen NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz-Entwurf als „frühe Erstmeldung“ bezeichnet) unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, unter Angabe, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte
- Meldung über den erheblichen Sicherheitsvorfall unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme unter Bestätigung bzw. Aktualisierung der Informationen der Frühwarnung und einer ersten Bewertung einschließlich Angaben zu Schweregrad, Auswirkungen und ggf. Kompromittierungsindikatoren (Indicators of Compromise)
Bei Verstößen gegen die gesetzlichen Vorgaben drohen erhebliche Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Darüber hinaus können Zwangsgelder bis zu 100.000 Euro verhängt werden.
Erfahren Sie alle juristischen Details und bereiten Sie Ihr Unternehmen optimal auf die neuen gesetzlichen Anforderungen vor. Laden Sie unser ausführliches Whitepaper herunter!
NIS und DSGVO
Auch wenn die finale deutsche Gesetzgebung zu NIS2 noch aussteht, ist jetzt schon klar: NIS2 wird sich unter die DSGVO einordnen. Bei Vorfällen, die beide Gesetze betreffen, richtet sich das Strafmaß nach der DSGVO. Der Bußgeldrahmen für besonders gravierende Verstöße ist hier doppelt so hoch und liegt bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
Bin ich von NIS2 betroffen?
Unternehmen müssen selbst klären, ob sie unter die NIS2-Richtlinie fallen, und sich gegebenenfalls beim BSI registrieren. Die folgenden Kriterien sind entscheidend:
Sie waren bisher schon KRITIS
Damit sind Sie automatisch von NIS2 betroffen. Die deutsche Umsetzung definiert „Betreiber kritischer Anlagen“ als eigene Kategorie.
Sie fallen in einen der 18 Sektoren
Außerdem beschäftigen Sie mindestens 50 Mitarbeitende und haben mindestens zehn Millionen Euro Jahresumsatz.
Besonders wichtige vs. wichtige Einrichtungen
Die NIS2-Richtlinie unterscheidet zwischen besonders wichtigen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) sowie mittleren Unternehmen und großen Unternehmen. Diese Einteilung hat Auswirkungen auf die Höhe der Sanktionen und die Aufsicht durch die Behörden.
Unternehmensgröße
Folgende Schwellenwerte gelten für die Sektoren:
- Mittlere Unternehmen = 50 bis 249 Mitarbeitende und weniger als 50 Millionen Euro Umsatz und/oder weniger als 43 Millionen Euro Bilanz.
- Große Unternehmen = mindestens 250 Mitarbeitende, mindestens 50 Millionen Euro Umsatz und/oder mindestens 43 Millionen Euro Bilanz.
Sonderfälle
Einige Sonderfälle aus dem Bereich der besonders wichtigen Einrichtungen sind unabhängig von ihrer Größe von der NIS2-Richtlinie betroffen. Dazu zählen zum Beispiel qualifizierte Vertrauensdienste, TLD-Registries und DNS-Dienste.
Besonders wichtige – und wichtige Einrichtungen
Diese 18 Sektoren definiert die NIS2-Richtlinie
Besonders wichtige Einrichtungen
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastrukturen, die Betreiber von Internet-Knoten, DNS-Diensteanbieter (ausgenommen Betreiber von Root-Namenservern), TLD-Namenregister, Anbieter von Cloud-Computing-Dienstne, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Vertrausendiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze und Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste umfasst
- Verwaltung von IKT-Diensten (Business-to-Business)
- Öffentliche Verwaltung
- Raumfahrt
Wichtige Einrichtungen
- Post und Kurierdienste
- Abfallbewirtschaftung
- Produktion, Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe/Herstellung von Waren in näher aufgelisteten Teilsektoren wie Herstellung von Datenverarbeitungsgeräten, Maschinenbau oder KFZ-Herstellung
- Anbieter digitaler Dienste wie Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke
- Forschung
Sind Sie Zulieferer einer (besonders) wichtigen Einrichtung?
Dann sind auch Sie indirekt von NIS2 betroffen. Denn die Richtlinie schreibt KRITIS-Betreibern sowie besonders wichtigen und wichtigen Einrichtungen der 18 Sektoren vor, dass sie die Cybersecurity in Ihrer Lieferkette betrachten müssen. Wer weiterhin Aufträge erhalten will, muss davon ausgehen, dass Diskussionen zur Cybersicherheit in Vertragsverhandlungen künftig zur Normalität werden.
PODCAST
Cyberkriminalität - betrifft mich doch nicht! Oder doch?
VIDEO
NIS2 und intelligentes Angriffsmanagement
Neue Pflichten und Anforderungen durch NIS
- Registrierungspflicht
- Risikomanagementmaßnahmen im Bereich der Cybersicherheit
- Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Krisenmanagement und Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall
- Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
- Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
- Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
- Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
- Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie ggf. gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
- Meldepflichten an das BSI bei erheblichem Sicherheitsvorfall oder erheblicher Cyberbedrohung
- Verantwortlichkeit der Geschäftsleitung und damit auch eine Billigungs-, Überwachungs- und Schulungspflicht für die Geschäftsleitung
- Besondere Anforderungen an Betreiber kritischer Anlagen
Anforderungen der NIS2-Richtlinie an Geschäftsführer/CEOs
NIS2 betont Cyberrisikomanagement als Teil des unternehmerischen Risikomanagements. Und das aus gutem Grund, denn Cyberangriffe sind heute das größte Geschäftsrisiko. Gerade im Bereich der kritischen Infrastrukturen ist es wichtig, den Betrieb sicherzustellen. Daher nimmt die NIS2-Richtlinie CEOs in die Verantwortung: Sie müssen Maßnahmen zum Cyberrisikomanagement billigen und deren Umsetzung überwachen. Geschäftsführer, die ihrem Cyberrisikomanagement nicht nachkommen, haften persönlich die entstandenen Gefährdungen und/oder Schäden.
Für CEOs, die sich bisher wenig mit Cybersicherheit auseinandergesetzt haben, ist Cyberrisiko-Management Neuland. In der Praxis bedeutet das: Sie müssen Cyberrisiken erkennen, bewerten und entscheiden, welche für das Unternehmen akzeptabel sind und welche nicht. Dabei gilt es, Eintrittswahrscheinlichkeit und das zu erwartende Schadensausmaß für das eigene Unternehmen zu betrachten. Eine wichtige Voraussetzung bilden regelmäßige Meetings mit dem/der Security-Verantwortlichen. Laut einer Trend Micro-Studie sprechen immerhin bereits 51 Prozent der befragten IT-Teams einmal wöchentlich mit der Geschäftsleitung über Cyberrisiken.
Anforderungen der NIS2-Richtlinie an CISOs/IT-Security-Verantwortliche
IT-Security-Verantwortliche stehen vor der Herausforderung, die NIS2-Richtlinie umzusetzen. In Artikel 21 listet die Direktive die Mindestanforderungen an die Cybersicherheit auf. Dazu zählen neben Cyberrisiko-Management zum Beispiel Backup-Management, Incident-Management, Konzepte und Verfahren für den Einsatz von Kryptographie sowie Zugriffskontrollen und Identitätsmanagement. Die gute Nachricht: Wenn Sie bereits gängige Security Best Practices etabliert haben, können Sie viele der Anforderungen abhaken.
Für das Cyberrisiko-Management müssen CISOs/IT-Security-Verantwortliche in der Lage sein, der Geschäftsleitung jederzeit verständlich darzulegen, wie der aktuelle Risiko-Status aussieht, welche Risiken am dringlichsten sind und welche Maßnahmen das Unternehmen ergreifen sollte. Cyberrisikomanagement muss kontinuierlich erfolgen, da sich die Angriffsfläche und das Bedrohungsumfeld ständig ändern.
Trend Micro unterstützt mit modernster Security-Technologie bei der NIS2-Umsetzung.
Anforderungen der NIS2-Richtlinie an Compliance Manager
Um sicherzustellen, dass Ihr Unternehmen die NIS2-Richtlinie erfüllt, müssen Sie die regulatorischen Anforderungen genau kennen, die ergriffenen Maßnahmen dokumentieren und ihre Wirksamkeit überprüfen. Außerdem sollten Sie Schulungen durchführen, um die Geschäftsführung für Entscheidungen zur Cybersicherheit zu sensibilisieren. Die einzelnen Maßnahmen im Falle eines Cyberangriffs müssen mit dem Management müssen vorab durchgesprochen werden, sodass sich die Entscheidungsträger bewusst sind, was im Rahmen eines Angriffs passiert.
Was bringt NIS2?
Die NIS2-Richtlinie stärkt Cybersicherheit und bringt klare Vorteile: NIS2 schafft die Grundlage, Sicherheitsstandards zu etablieren und die gesamte Lieferkette resilienter zu gestalten. Sichere IT-Strukturen werden in Branchen wie der Logistik zunehmend zum Wettbewerbsfaktor und verbessern die Marktposition. Unternehmen können mit dem Fokus auf Cybersicherheit auch werben – selbst, wenn sie nicht direkt unter NIS2 fallen.
IT-Sicherheit in der Lieferkette
Die NIS2-Richtlinie legt besonderen Fokus auf die Sicherheit in der Lieferkette. Wichtige und besonders wichtige Einrichtungen sind aufgefordert die Cybersicherheit ihrer Lieferkette zu prüfen – von Schwachstellen bis zur Sicherheit der Entwicklungsprozesse. Es empfiehlt sich mit Zulieferern Cybersicherheits-Due-Diligence durchzuführen und vertragliche Sicherheitsstandards festzulegen, wie Risikomanagement und Patchmanagement. Das Thema Cybersicherheit wird so zu einem zentralen Punkt in Vertragsverhandlungen und betrifft auch Unternehmen, die nicht direkt unter die NIS2-Richtlinie fallen, aber Teil der Lieferkette sind.
NIS2 Umsetzung
Es wird empfohlen, die Umsetzung der NIS2-Richtlinien als Projekt zu betrachten. Dazu gehört die Klärung von Zuständigkeiten und die Benennung eines Projektmanagers, insbesondere um das Thema fokussiert und strukturiert zu behandeln.
1. Betroffenheit prüfen
Unternehmen sollten ihre Betroffenheit hinsichtlich der NIS2-Richtlinien feststellen. Dazu gehört die Überprüfung von Mitarbeiterzahl, Jahresumsatz und der Branche, um die Notwendigkeit zur Umsetzung einzuschätzen.
2.Stakeholder und Entscheider identifizieren
Entscheider, wie Geschäftsführung und IT-Sicherheitsverantwortliche, müssen benannt werden. Ihre frühe Einbindung ist entscheidend, um Projektziele effizient und konform zu erreichen.
3. Ist-Zustand feststellen
Der aktuelle Stand der Cybersicherheit und relevanter Prozesse im Unternehmen wird analysiert. Diese Bestandsaufnahme bildet die Grundlage, um die Lücken und notwendigen Maßnahmen zur NIS2-Konformität zu identifizieren.
4. Zielzustand definieren
Auf Basis der Anforderungen wird ein Zielzustand formuliert. Dieser umfasst die Einrichtung eines Cybersicherheits-Risikomanagements nach NIS2, die Erfüllung der Meldepflichten, die Betrachtung der Lieferkette und spezifische Schulungen für die Geschäftsführung.
5. Zielerfüllung und Nachbesserung
Abschließend werden die Projektziele auf Vollständigkeit überprüft und gegebenenfalls Maßnahmen zur Nachbesserung definiert, um sicherzustellen, dass alle Anforderungen erfüllt werden.
Trend Micro-Lösungen die bei der NIS2-Umsetzung unterstützen
Eine detaillierte Übersicht der Anwendbarkeit von Trend Micro-Angeboten in einzelnen Bereichen des NIS2UmsuCG finden Sie im aktuellen Whitepaper. Die einzelnen Komponenten, sowie deren Voraussetzungen sind dabei modular kombinierbar und können bedarfsorientiert beschafft und betrieben werden.
Trend Micro als Leader eingestuft
Forrester Wave™: Endpoint Security, Q4 2023
Trend Micro erhielt die höchste Punktzhal in der Kategorie Strategie sowie Bestnoten für Innovation, Roadmap und Akzeptanz.
FAQs
Wer kontrolliert die Umsetzung der NIS2-Richtlinie?
In Deutschland ist die zuständige Aufsichtsbehörde das BSI. Unternehmen, die zu den besonders wichtigen Einrichtungen oder den KRITIS-Betreibern zählen, müssen dem BSI gegenüber alle zwei Jahre nachweisen, dass sie die NIS2-Maßnahmen umgesetzt haben. Das BSI legt nach der Registrierung des Unternehmens fest, wann der erste Audit stattfindet – spätestens aber vier Jahre, nachdem das neue Gesetz in Kraft getreten ist. Die Audits werden von externen Prüfern durchgeführt, ähnlich wie bisher die KRITIS-Prüfungen. Wenn die Prüfer Mängel feststellen, haben Unternehmen anschließend Gelegenheit, diese innerhalb einer bestimmten Frist zu beheben.
Welche Strafen drohen bei Verstößen gegen die NIS2-Richtlinie?
Wer die NIS2-Pflichten nicht erfüllt, muss mit empfindlichen Sanktionen rechnen. Die deutsche Umsetzung der Richtlinie sieht unterschiedliche Bußgelder für wichtige Einrichtungen sowie KRITIS-Betreiber und besonders wichtige Einrichtungen vor. Bei allgemeinen Tatbeständen gelten für alle Gruppen dieselben hohen Strafen.
- Allgemeine Tatbestände: bis zu 2 Millionen Euro
- Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes
- KRITIS-Betreiber und besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes
Relevante Ressourcen
Stand der Technik in der IT-Sicherheit
Wie erreichen Unternehmen Compliance mit NIS2, DORA & Co.?
NIS2-konformes Risikomanagement
Cyberrisiken als Geschäftsführungsverantwortung
Praxisleitfaden mit Prof. Dr. Dennis-Kenji Kipker
NIS2 Übersicht
NIS2 Countdown - Summary
Verbesserungen und Umsetzung der NIS2-Richtlinie
Ein neues Cybersicherheitsgesetz – braucht‘s das?
NIS2 - Die 5 Gebote: Daran sollten betroffene Unternehmen jetzt denken
Haben Sie Fragen?
Sprechen Sie uns gerne an!
Trend Micro Deutschland GmbH
Nehmen Sie mit mit uns Kontakt auf, denn wir unterstützen Sie gerne auf dem Weg zur NIS2-Konformität
Die zur Verfügung gestellten Informationen dienen lediglich der Information und ersetzen keine individuelle juristische Beratung.