Illustration Absmeier foto freepik

Cyberbedrohungen betreffen heute unterschiedslos jeden. Kritische Infrastrukturen – vom Gesundheitswesen bis zum Energieversorger – stehen unter Dauerbeschuss. Millionen von Menschen sind einem nicht zu unterschätzenden Risiko aussetzt. Die Richtlinie zur Netz- und Informationssicherheit NIS2 ist Europas mutige Antwort, um Cybersicherheits-Standards für diese wichtigen Systeme zu erhöhen. Dabei geht es aber längst nicht nur darum Vorschriften einzuhalten. Unternehmen sind aufgefordert, ihre Schutzmaßnahmen zu überdenken und zu verstärken. Diese Herangehensweise soll einen Präzedenzfall für eine Zukunft schaffen, in der Cyberresilienz nicht nur eine Option, sondern ein Auftrag ist.

Die Entwicklung von NIS2: Warum gerade jetzt?

Die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 war bereits ein wichtiger Meilenstein innerhalb der europäischen Bemühungen für mehr Cybersicherheit. Das Ziel war es, wesentliche Dienste wie Versorgungsunternehmen und Banken vor der wachsenden Bedrohung durch Cyberangriffe zu schützen. Aufgrund der rasanten technologischen Entwicklung musste die ursprüngliche Richtlinie jedoch bald ergänzt werden.

Die 2022 aktualisierte NIS2 erweitert dabei nicht nur den Kreis der betroffenen Organisationen, sondern führt zusätzlich strengere Sicherheits- und Meldepflichten ein. Warum war das notwendig? Jüngsten Berichten zufolge richten sich 32 % der weltweit verübten Cyberangriffe inzwischen gegen europäische Unternehmen/Organisationen, wobei kritische Infrastrukturen (KI) eines der wichtigsten Ziele bilden. Außerdem sind die Angriffe auf die Lieferketten seit 2019 um unglaubliche 742 % gestiegen. Cyberkriminelle sind inzwischen ausgesprochen versiert darin, Schwachstellen in Systemen auszunutzen, die für das Funktionieren des gesellschaftlichen Miteinanders unabdingbar sind, von Stromnetzen bis hin zu den Finanzmärkten.

Die NIS2 soll der veränderten Bedrohungslage nun Rechnung tragen. Dazu werden Cybersicherheitsprotokolle verschärft, der Kreis der betroffenen Firmen und Organisationen erneut ausgedehnt und härtere Strafen bei Nichteinhaltung eingeführt.

Bis zum 17. Oktober 2024 sollten sämtliche Mitgliedstaaten die Richtlinie in nationales Recht umgesetzt haben, was längst nicht allen gelungen ist. Tatsächlich haben nur zwei Mitgliedstaaten NIS2 innerhalb des vorgegebenen Zeitrahmens umgesetzt, 23 weitere wollen dies in Kürze tun.

Was heißt NIS2 für Firmen und Organisationen?

Die wohl wichtigste Änderung innerhalb von NIS2 ist der erweiterte Anwendungs- und Geltungsbereich. Die ursprüngliche Richtlinie konzentrierte sich strikt auf kritische Infrastrukturen. NIS2 erweitert die Perspektive und erkennt an, dass auch kleinere Unternehmen eine bedeutsame Rolle bei der Aufrechterhaltung von Sicherheit und Stabilität in modernen Gesellschaften spielen. Die Richtlinie deckt nun ein breites Spektrum an Branchen ab, darunter digitale Infrastrukturen, Postdienste, Abfallwirtschaft und weitere mehr.

NIS2 unterscheidet dabei zwischen als »wesentlich« (essential) oder als »wichtig« (important) eingestuften Einrichtungen. Als wesentlich eingestufte Unternehmen wie beispielsweise Energieversorger und Anbieter von Gesundheitsdienstleistungen, unterliegen strengeren Maßnahmen hinsichtlich von Aufsicht und Durchsetzung derselben. Hier geht der Gesetzgeber von der Annahme aus, dass Service-Unterbrechungen oder Ausfälle potenziell gesamtgesellschaftliche Auswirkungen haben.

In der Zwischenzeit unterliegen wichtige Unternehmen, zu denen Postdienste und die chemische Produktion zählen, ebenfalls der Aufsicht. Bei Nichteinhaltung drohen Geldstrafen.

Allein die drohenden Sanktionen machen die Einhaltung von NIS2 verpflichtend. Unternehmen, die das nicht tun, müssen mit erheblichen Strafen rechnen. Die Geldbußen für wichtige Unternehmen betragen bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes – auch hier ist der höhere Betrag maßgeblich. Wichtige Unternehmen, die im Rahmen der ursprünglichen NIS-Vorgaben noch nicht von Strafen betroffen waren, müssen nun mit maximal 7 Millionen Euro oder 1,4 % ihres Umsatzes rechnen, je nachdem, welcher Betrag höher ist.

Um die laufende Einhaltung von NIS2 zu gewährleisten, sind die nationalen Regulierungsbehörden befugt, mögliche Verstöße zu untersuchen und können dazu folgende Maßnahmen ergreifen:

Inspektionen vor Ort: Die Aufsichtsbehörden dürfen den physischen Standort eines Unternehmens aufsuchen, um die Cybersicherheitslage aus erster Hand zu beurteilen.
Sicherheits-Audits: Die Regulierungsbehörden dürfen Audits durchführen, um die Sicherheitsinfrastruktur eines Unternehmens einzuschätzen und potenzielle Schwachstellen zu ermitteln.
Informationsersuchen: Sie sind ebenso befugt von einem Unternehmen detaillierte Informationen anzufordern, zum Beispiel dessen Risikomanagementpläne im Bereich Cybersicherheit, Incident Response-Protokolle und einen Nachweis über durchgeführte Sicherheitsmaßnahmen.
Sicherheitsscans: Zudem ist es diesen Behörden gestattet, Netzwerk- oder Systemscans durchführen, um ausnutzbare Sicherheitsschwachstellen oder Fehlkonfigurationen zu ermitteln.

Man sollte aber wissen, dass diese Ermittlungsmaßnahmen bei als wichtig eingestuften Einrichtungen nur dann greifen, wenn es schon zu einem Vorfall gekommen ist. Als wesentlich eingestufte Einrichtungen hingegen, gelten eher als kritische Infrastrukturen. Dort dürfen die Aufsichtsbehörden den obigen Maßnahmenkatalog nach Bedarf anwenden, um die laufende Einhaltung der NIS2-Anforderungen zu gewährleisten – auch, bevor es zu einem Verstoß gekommen ist.

Schlüsselkomponenten der NIS2: Von der Meldung eines Vorfalls bis zur Sicherheit der Lieferkette

Im Mittelpunkt von NIS2 steht die Notwendigkeit harmonisierter Cybersicherheitsmaßnahmen innerhalb der gesamten EU. Die Erwartungen sind klar: Unternehmen/Organisationen sollten ihre Resilienz gegenüber Cyberangriffen verbessern, zusammenarbeiten und Informationen austauschen sowie auf Vorfälle in Echtzeit reagieren. Das Melden von Vorfällen ist einer der Eckpfeiler von NIS2. Betroffene Einrichtungen sind demnach verpflichtet, Vorfälle im Bereich der Cybersicherheit unverzüglich zu melden. Die Richtlinie führt dazu bestimmte Fristen ein, darunter ein 24-Stunden-Fenster für »Frühwarn«-Meldungen. Dieser Schritt soll einerseits das situative Bewusstsein verbessern, andererseits aber auch die kollektive Reaktionsfähigkeit der EU auf schwerwiegende Cyberbedrohungen grundsätzlich stärken.

Ein weiterer wichtiger Aspekt betrifft die Sicherheit von Lieferketten. Cyberkriminelle nehmen Lieferanten und Drittanbieter ins Visier, um sich Zugang zu größeren Unternehmen zu verschaffen. Diesem schnell wachsenden Trend trägt NIS2 ebenfalls Rechnung. Die Richtlinie gibt vor, dass Unternehmen nicht nur ihre eigenen Systeme schützen, sondern auch die Cybersicherheitsmaßnahmen ihrer Partner innerhalb der Lieferkette bewerten müssen.

Die Rolle von Privileged Access Management (PAM) bei der Einhaltung von NIS2

Eine der effektivsten Möglichkeiten, die Anforderungen von NIS2 zu erfüllen, ist das Privileged Access Management (PAM). Privilegierter Zugriff bezieht sich auf weitreichende Berechtigungen (Administrator-Berechtigungen), die bestimmten Benutzern zeitweise gewährt werden müssen. Diese Berechtigungen gestatten einem Anwender, auf sensible Daten oder kritische Systeme zuzugreifen. Solche Zugangsdaten sind zu einem der wichtigsten Ziele von Cyberkriminellen geworden, um Angriffe mit teils verheerenden Folgen zu lancieren.

PAM-Lösungen setzen das Prinzip der minimalen Rechtevergabe durch. Benutzer dürfen nur auf die Systeme und Daten zugreifen, die sie brauchen, um ihre täglichen Arbeitsaufgaben zu erledigen. Begrenzt man so die Zahl derjenigen, die auf kritische Systeme zugreifen, senkt man automatisch das Risiko von Insider-Bedrohungen und von Angriffen, die sich gestohlene Zugangsdaten zunutze machen. PAM-Tools stellen zudem Überwachungs- und Audit-Funktionen bereit, mit denen Unternehmen in Echtzeit verdächtige Aktivitäten erkennen und auf Vorfälle reagieren können.

Solche Funktionen stehen im Einklang mit dem Schwerpunkt, den NIS2 auf Incident Response und Compliance Reporting legt. So sollten Unternehmen beispielsweise in der Lage sein, die Aktivitäten privilegierter Benutzer nachzuverfolgen und Audit-Berichte zu erstellen, um die Einhaltung der Richtlinie nachzuweisen.

Warum Cybersicherheit geteilte Verantwortung bedeutet

NIS2 macht deutlich, dass Cybersicherheit nicht allein in der Verantwortung einzelner Organisationen liegt. Die Richtlinie legt großen Wert auf Zusammenarbeit, sowohl innerhalb der EU als auch zwischen öffentlichen und privaten Einrichtungen. Ziel ist es, eine einheitliche Front gegen Cyberbedrohungen zu bilden. Deshalb fördert (und fordert) die Richtlinie ausdrücklich eine bessere Kommunikation und Koordination.

Dieser kooperative Ansatz ist angesichts der komplexen Natur unserer Wirtschaft besonders wichtig. Ein Cyberangriff auf ein einzelnes Unternehmen kann sich beispielsweise schnell auf eine vollständige Lieferkette auswirken, ganze Wirtschaftszweige und Millionen von Menschen in Mitleidenschaft ziehen. NIS2 versucht, diese Risiken zu senken und ermutigt Organisationen Threat-Intelligence-Daten auszutauschen, Incident-Response-Maßnahmen zu koordinieren und zusammenzuarbeiten, um die kollektive Cybersicherheitslage zu verbessern.

Auf NIS2 Compliance vorbereiten: Was Unternehmen jetzt tun sollten

Organisationen, die unter NIS2 fallen, sollten unverzüglich Maßnahmen ergreifen, um die Einhaltung der Vorschriften sicherzustellen. In der Richtlinie werden mehrere wichtige Maßnahmen genannt, die Organisationen vorrangig ergreifen sollten:

Führen Sie eine Risikobewertung durch: Identifizieren und bewerten Sie die Cybersicherheitsrisiken innerhalb des Unternehmens, einschließlich solcher, die von Drittanbietern ausgehen.
Privileged Access Management implementieren: Stellen Sie sicher, dass der Zugriff auf kritische Systeme streng kontrolliert und überwacht ist. Nutzen Sie PAM-Tools, um das Prinzip der minimalen Rechtevergabe durchzusetzen.
Entwickeln Sie einen Incident-Response-Plan: Erstellen Sie einen umfassenden Plan, wie Sie auf Cybersicherheitsvorfälle reagieren wollen, einschließlich von klaren Protokollen für die Umsetzung der Meldepflicht gegenüber nationalen Behörden.
Mitarbeiter schulen: Stellen Sie sicher, dass alle Mitarbeitenden – von denen an vorderster Front bis hin zu Führungskräften – mit Best Practices der Cybersecurity vertraut gemacht werden. Etwa wie sie Phishing-Angriffe und andere, direkt auf Menschen abzielende Attacken, erkennen und darauf reagieren können.
Überwachen Sie ihre Lieferketten: Bewerten Sie die Cybersicherheitsmaßnahmen der Partner innerhalb einer Lieferkette und stellen Sie sicher, dass auch sie die in NIS2 beschriebenen Standards erfüllen.

Fazit: NIS2, eine Blaupause für globale Cybersicherheit

So wie Hacker ihre Methoden kontinuierlich optimieren, so sollten sich auch die Strategien zum Schutz vor Bedrohungen weiterentwickeln. NIS2 ist ein mutiger Schritt nach vorn und bietet ein umfassendes Konzept für die Sicherheit der Dienste, die die gesellschaftliche Grundlage der europäischen Gesellschaft bilden. Die Richtlinie hat aber durchaus das Potenzial, weit über die Grenzen der EU hinauszureichen. Sie setzt einen neuen Standard für die Regulierung von Cybersicherheit. NIS2 kann als Modell für andere Regionen dienen, die mit den gleichen Herausforderungen kämpfen.

Für Unternehmen ist die Botschaft klar: Cybersicherheit ist längst kein reines IT-Thema mehr. Sie ist eine unternehmerische und organisatorische Notwendigkeit. NIS2 einzuhalten ist ein Imperativ. Nicht nur, weil empfindliche Strafen drohen, sondern um die Systeme besser zu schützen, auf die sich Millionen von Menschen tagtäglich verlassen.

Alan Radford, Field Strategist, One Identity

205 Artikel zu „NIS2“

News | Industrie 4.0 | IT-Security | Tipps

Cybersicherheit: NIS2 als Chance für produzierende Unternehmen

5. November 2024

Unternehmen des produzierenden Gewerbes sind nicht KRITIS-relevant und fallen auch nicht unter die bisherige NIS-Richtlinie. Und so haben diese Unternehmen in der Regel noch keine entsprechenden Sicherheitsmaßnahmen implementiert, die offiziellen Anforderungen entsprechen. Die Herausforderungen durch die neue verschärfte NIS2-Richtlinie sind für sie daher besonders groß. Sie sind gezwungen, Klarheit in der Organisation zu schaffen, um…