Illustration Absmeier foto freepik

Unternehmen des produzierenden Gewerbes sind nicht KRITIS-relevant und fallen auch nicht unter die bisherige NIS-Richtlinie. Und so haben diese Unternehmen in der Regel noch keine entsprechenden Sicherheitsmaßnahmen implementiert, die offiziellen Anforderungen entsprechen. Die Herausforderungen durch die neue verschärfte NIS2-Richtlinie sind für sie daher besonders groß. Sie sind gezwungen, Klarheit in der Organisation zu schaffen, um zukünftig neuen Risiken und regulatorischen Anforderungen begegnen zu können. Die anstehende Einführung klarer Mindeststandards für Cybersicherheit sollten produzierende Unternehmen als Chance sehen. Die Umsetzung der NIS2-Vorgaben bietet eine hervorragende Gelegenheit zum Umdenken im Umgang mit Cyberrisiken – dies ist nicht zuletzt vor dem Hintergrund der zunehmenden Digitalisierung und Vernetzung der Produktion dringend erforderlich. Nils Kohrt und June Snyder-Kamen, Berater und Beraterin bei Eraneos im Bereich Cybersecurity, führen durch den Prozess und geben Tipps für die Umsetzung.

Zum Schutz europäischer Unternehmen vor Cyberangriffen trat 2016 als EU-weite Gesetzgebung zur Cybersicherheit die erste »Network and Information Security«-Richtline, kurz NIS, in Kraft. Die Herausforderungen für die Sicherheit der Cyberinfrastruktur sind heute so groß wie nie zuvor. Zuletzt verschärfte die Cyberkriegsführung im Zusammenhang mit dem Krieg in der Ukraine die Sicherheitslage. In Kombination mit der zunehmenden Digitalisierung und Vernetzung steht die Wirtschaft vor einer ernsten Bedrohungslage.

Die EU hat daher die bestehenden Sicherheitsvorschriften durch die 2023 in Kraft getretene NIS2-Richtlinie aktualisiert. Unternehmen müssen sich unter anderem mit den Themen Cyberrisikomanagement, Kontrolle, Überwachung, Vorfallmanagement und Geschäftskontinuität befassen. Die Mitgliedstaaten sollten NIS2 bis Oktober 2024 in nationales Recht umsetzen. Bei einigen Ländern gibt es jedoch eine zeitliche Verschiebung, so auch in Deutschland. Hier wurde im Juli 2023 der Referentenentwurf des Bundesministeriums des Innern und für Heimat veröffentlicht, das sogenannte NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG. Ein im Juli 2024 verabschiedeter Regierungsentwurf soll nach aktuellem Stand im März 2025 verkündet werden [1]. Die Richtlinie erweitert die Anforderungen an die Cybersicherheit und die Sanktionen und enthält strengere Anforderungen. In Deutschland geht der Gesetzgeber von etwa 30.000 betroffenen Unternehmen in den verschiedenen Gruppen aus. Je nach Sektor unterscheiden sich die Herausforderungen, die mit der Umsetzung einhergehen. So fallen beispielsweise Unternehmen im Bereich Energie und Elektrizität bereits unter NIS sowie KRITIS. Sie können daher auf bestehenden Prozessen aufbauen. Anders sieht es für Unternehmen aus dem Sektor des verarbeitenden Gewerbes aus. Diese fielen nicht unter NIS und waren größtenteils auch nicht KRITIS-relevant. Umfang und Tiefe der Anforderungen stellen viele dieser Unternehmen vor besondere Herausforderungen.

Betroffenheitsanalyse

Zunächst sollten Unternehmen herausfinden, ob sie in den Anwendungsbereich von NIS2 fallen und wie sie klassifiziert werden. Am Anfang des Prozesses steht daher eine Betroffenheitsanalyse. Als erste Anlaufstelle dient hierzu die Seite des BSI, die eine anonyme und kostenfreie Prüfung ermöglicht: https://betroffenheitspruefung-NIS2.bsi.de/ [2] [3].

Unternehmen des produzierenden Gewerbes fallen unter Voraussetzung der Mindestgröße hier voraussichtlich in die Einstufung »wichtige Einrichtung«. Dieses Ergebnis dient der Orientierung und muss mit der Rechtsabteilung oder anderen Experten im Detail geprüft werden. Bestätigt sich die Einstufung, ergibt sich damit die Pflicht zur Registrierung. Hierfür gilt in Deutschland eine Frist von drei Monaten nach Inkrafttreten NIS2UmsuCG.

Internationale Unternehmen

Die Implementierung europaweit unterschiedlicher nationaler NIS2-Umsetzungen führt zu einer deutlichen Komplexitätserhöhung für international tätige Unternehmen. Denn sie müssen beachten, dass sie potenziell in verschiedene nationale Vorgaben innerhalb der EU-Länder fallen. Wie die aktuellen Gesetze und Entwürfe der jeweiligen Länder zeigen, gibt es hier durchaus Abweichungen hinsichtlich Umfang, Einordnung in die Sektoren und Prüfung. Aber auch die Meldefristen beziehungsweise der Registrierungsvorgang sind betroffen. Hier sollten Unternehmen besondere Aufmerksamkeit auf die jeweiligen Vorgaben legen, um die Registrierung konform abzuschließen.

Tipp: Die Koordination und Nachverfolgung der Implementierung in den einzelnen europäischen Gesellschaften sollte von Anfang an durch die Muttergesellschaft durchgeführt und die zentralen und dezentralen Verantwortlichkeiten hierbei fest definiert werden.

Quelle: Eraneos

Compliance herstellen

Im nächsten Schritt werden die Vorbereitungen dafür getroffen, Compliance mit den inhaltlichen Anforderungen der Richtlinie herzustellen. Es ist wichtig, einen praxisorientierten Ansatz zu wählen, um sowohl die Cybersicherheit zu stärken als auch die Richtlinie zu erfüllen. Für mittelständische Unternehmen aus dem verarbeitenden Gewerbe wird die Implementierung der Prozesse an sich und der grundsätzliche Umgang mit einer breiten Cyber-Regulatorik eine umfassende Aufgabe darstellen. Daher ist ein mehrstufiges Vorgehen ratsam:

Verantwortung schaffen
Produzierende Unternehmen müssen die Verantwortlichkeiten innerhalb ihrer Organisation klar zuweisen. Cyberresilienz und Cybersicherheit betreffen die gesamte Organisation. NIS2 betont die Verantwortung des Managements, was zu neuen Haftungen führen kann. Das Top-Management muss daher involviert und über Risiken und Fortschritte informiert sein. Zudem besteht eine Schulungspflicht für Geschäftsleitungen »um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.« Es ist zu klären, welche Verpflichtungen die Mitglieder der Leitungsorgane selbst erfüllen müssen und welche sie delegieren können.
Tipp: Beginnen Sie mit Schulungen auf Vorstandsebene. Dies trägt zur Verantwortungsübernahme bei und ist eine Anforderung der NIS2.
Darüber hinaus muss geklärt werden, wie Unternehmen mit der Verantwortung für organisationweite Themen umgehen, etwa dem Management von Risiken Dritter. Die Verwaltung dieser Themen erfordert Führung. Hilfreich ist eine zentrale Struktur, die die dezentralen Verantwortlichen unterstützt, ohne deren Verantwortlichkeiten zu übernehmen.
Tipp: Sorgen Sie für Standardisierung bei der Umsetzung, prüfen Sie von Beginn an wo Automatisierung eingesetzt werden kann, um diesen Prozess zu erleichtern, und leiten Sie Verantwortliche durch klare Prozesse an.
Auswirkungen analysieren
Um gezielt Ressourcen einzusetzen und angemessene Maßnahmen zu ergreifen ist es entscheidend, die Auswirkungen von Sicherheitsmaßnahmen und Vorfällen auf die Organisation zu verstehen. Hierbei gilt das Proportionalitätsprinzip: Maßnahmen sollten immer in einem angemessenen Verhältnis zu den Risiken stehen, denen das Unternehmen ausgesetzt ist. Der erste Schritt ist daher die Risikoidentifikation, um potenzielle Bedrohungen und Schwachstellen für Netzwerke, Systeme, Daten und IT-Infrastrukturen oder einfach potenzielle Bedrohungen zu erkennen.
Tipp: Führen Sie regelmäßige Risikoanalysen durch, um sich ein aktuelles Bild der Bedrohungslage zu machen – unterstützt durch Tools zur Bedrohungsmodellierung oder branchenspezifische Risikokataloge.
Die identifizierten Risiken müssen hinsichtlich ihrer Wahrscheinlichkeit und Auswirkungen bewertet werden. Eine Bedrohung, die zu einem kritischen Systemausfall führen könnte, hat beispielsweise eine höhere Priorität als eine, die nur geringfügige Verzögerungen verursacht. Dies ist auch im Hinblick auf das Business-Continuity-Management wichtig, um gezielte Notfallpläne zu entwickeln, die den Fortbestand der kritischen Geschäftsprozesse im Ernstfall sicherstellen.
Tipp: Nutzen Sie etablierte Methoden wie die Business Impact Analysis (BIA), um die Auswirkungen von Vorfällen auf den Geschäftsbetrieb zu bewerten.
Basierend auf der Risikobewertung werden die Maßnahmen zur Risikominderung festgelegt. Diese Maßnahmen können technischer Natur sein – zum Beispiel Firewalls oder Patch-Management – oder organisatorischer Art – etwa Schulungen oder Richtlinien für den Umgang mit sensiblen Daten.
Tipp: Setzen Sie auf standardisierte Sicherheitsmaßnahmen, die sich in Ihrer Branche bewährt haben, und passen Sie diese proportional zur Risikobewertung an. Kleinere Risiken können eventuell mit weniger aufwendigen Maßnahmen abgefangen werden, während kritische Risiken mehr Aufmerksamkeit und Ressourcen erfordern.
Bestehende Prozesse nutzen
Unternehmen sollten bei der Umsetzungsplanung, wo immer möglich auf vorhandene und etablierte Prozesse zur Vorfallreaktion zurückgreifen, anstatt diese grundlegend neu zu definieren, und dieselben Methoden und Tools für die Dokumentation, Entscheidungsfindung und Meldung verwenden. Ein Beispiel ist die Meldepflicht: Produzierende Unternehmen haben die Anforderungen der Datenschutzgrundverordnung (DSGVO) umgesetzt. Daher verfügen sie in der Regel bereits über bewährte Prozesse für die Meldung von Datenschutzverletzungen. Diese bereits etablierten Strukturen und Vorgehensweisen können als solide Grundlage für die Erfüllung der Meldepflicht im Rahmen der NIS2-Richtlinie dienen. NIS2 erweitert den Fokus allerdings über den Schutz personenbezogener Daten hinaus auf die Sicherheit von Netzwerken und Informationssystemen. Zudem sind die Fristen deutlich strenger.
Nachweisbarkeit »by Design«
Betroffene Einrichtungen müssen die Umsetzung der Maßnahmen dokumentieren und im Zweifel nachweisen. Für die Sorgfaltspflicht beispielsweise beginnt die Nachweisbarkeit gleichzeitig mit der Umsetzung der Maßnahmen. Sie sollte bereits während der Umsetzung integriert und standardisiert werden. Wird bereits zu Beginn festgelegt, wie der Nachweis erbracht wird, fällt es später leichter, dies in der Praxis zu tun. Für die Meldepflicht ist es ratsam, Aufzeichnungen über die Vorfallbearbeitung zu erstellen. Wenn die Methode zur Vorfallreaktion mit der Methode zum Krisenmanagement verknüpft wird, bleiben die getroffenen Entscheidungen und Maßnahmen nachvollziehbar, falls sich später herausstellt, dass die Meldepflicht gilt.
Tipp: Verwenden Sie dieselbe Methode wie im Krisenmanagement, um die Entscheidungsfindung und die Aufzeichnung zu gewährleisten.

Fazit

Die strengen Regulierungen der NIS2 sind für die meisten produzierenden Unternehmen in Deutschland neu und viele Anforderungen werden möglicherweise noch nicht vollständig erfüllt. Dennoch ist es wichtig, NIS2 mit der notwendigen Sorgfalt und Ernsthaftigkeit zu behandeln. Dabei sind der Aufbau auf bestehenden Prozessen sowie die Sicherstellung der Nachweisbarkeit von Maßnahmen zentrale Erfolgsfaktoren. Produzierende Unternehmen, die diese Schritte proaktiv verfolgen, werden nicht nur regulatorische Risiken reduzieren. Sie werden auch ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen und damit ihre Wettbewerbsfähigkeit erheblich stärken.

Nils Kohrt, Manager, Eraneos Germany GmbH

June Snyder-Kamen, Senior Consultant, Eraneos Germany GmbH

Nils Kohrt ist Cybersecurity-Berater bei Eraneos mit Schwerpunkt auf IT-Regulatorik und Compliance. Er unterstützt Unternehmen dabei, regulatorische Anforderungen und Sicherheitsstandards effizient umzusetzen und Risiken in der Informationssicherheit nachhaltig zu minimieren. Er hält außerdem die Zertifizierung als Certified Information Security Manager (CISM).

June Snyder-Kamen ist Cybersecurity-Beraterin bei Eraneos im Bereich IT-Regulatorik und Compliance. Darüber hinaus verfügt sie über weitreichende Erfahrung in der Prüfung von ERP-Systemen, vor allem SAP. Zu Ihren aktuellen Schwerpunktthemen zählt der Umgang mit EU-Rechtsakten wie DORA, NIS2 oder dem Cyber Resilience Act.

[1] BMI – Gesetzgebungsverfahren – Entwurf eines Gesetzes zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung: https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html

[2] NIS-2-Betroffenheitsprüfung dient als automatische Orientierungshilfe auf Grundlage von Eigenangaben, deren Ergebnis nicht rechtlich bindend. https://betroffenheitspruefung-NIS2.bsi.de/

[3] Zurzeit basieren die Abfragen der NIS-2-Betroffenheitsprüfung auf der NIS2-Richtlinie der EU.

Für die Meldung im Rahmen der Pflicht zur Registrierung werden die folgenden Daten benötigt:

Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer
Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern
relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche
Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt
die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder

NIS2: Ausweitung der Anforderungen

Die Maßnahmen müssen mindestens folgende Punkte umfassen:

Konzepte für Risikoanalyse und Sicherheit für Informationssysteme
Bewältigung von Sicherheitsvorfällen
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, Krisenmanagement
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung
Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

Meldewesen und Zusammenarbeit
NIS2 bringt strenge Informations- und Meldepflichten, die deutlich über die bisherigen Meldepflichten hinausgehen:

Erstmeldung bei erheblichen Sicherheitsvorfällen unverzüglich, spätestens aber innerhalb von 24 Stunden
Folgemeldung über einen erheblichen Sicherheitsvorfall innerhalb von 72h mit Bewertung der Erstmeldung (Schwere, Auswirkungen, Kompromittierung)
Zwischenmeldungen auf Nachfrage des BSI
Abschlussmeldung oder Fortschrittsmeldung innerhalb eines Monats mit Beschreibung, Ursachen, Maßnahmen, grenzüberschreitenden Auswirkungen
Betreiber kritischer Anlagen müssen zusätzlich die Anlagen, kritische Dienstleistung und Auswirkungen melden

Grafik: Eraneos Germany

195 Artikel zu „NIS2“

News | IT-Security | Strategien | Tipps | Whitepaper

Whitepaper IT-Sicherheit: Zur NIS2-Readiness in sechs Schritten

3. November 2024

Laut dem Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist die Bedrohung im Cyberraum so hoch wie nie zuvor [1]. Besonders Ransomware-Attacken nehmen gravierend zu. Es geht nicht mehr darum, ob, sondern wann ein Unternehmen mit einem Cyberangriff konfrontiert wird – und wie sich dies bestmöglich abwenden lässt, um den Geschäftsbetrieb nicht…

[1] BMI – Gesetzgebungsverfahren – Entwurf eines Gesetzes zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informations­sicherheits­managements in der Bundesverwaltung: https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html

[2] NIS-2-Betroffenheitsprüfung dient als automatische Orientierungshilfe auf Grundlage von Eigenangaben, deren Ergebnis nicht rechtlich bindend. https://betroffenheitspruefung-NIS2.bsi.de/

[3] Zurzeit basieren die Abfragen der NIS-2-Betroffenheitsprüfung auf der NIS2-Richtlinie der EU.

195 Artikel zu „NIS2“

[1] BMI – Gesetzgebungsverfahren – Entwurf eines Gesetzes zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung: https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html