NIS2-Richtlinie von größerem Umfang als DSGVO: mehr Cybersicherheit für Unternehmen

Mit dem 17. Oktober endet die Umsetzungsfrist für die EU-weit in Kraft tretende NIS2-Richtlinie. Diese verpflichtet Unternehmen der kritischen Infrastruktur zu vorausschauenden Risikoanalysen und strengen Berichtspflichten. Geschäftsleiter, die diesen Auflagen nicht nachkommen, werden in Haftung genommen. Die Herausforderung dabei: Viele Firmen müssen sich stark verändern, um die neuen Vorschriften zu erfüllen – ohne klare Vorgabe für das „Wie“. Aufgrund der Zeitknappheit rät das IT-Systemhaus Brandmauer IT dazu, bestehende Abläufe anzupassen, statt sie von Grund auf neu zu gestalten. Bellheim, September 2024. Als noch umfangreicher als das im Jahr 2018 eingeführte DSGVO gilt NIS2 – ein Gesetz zur Stärkung der Cybersicherheit in Behörden, bei Versorgern und Firmen des produzierenden Gewerbes. NIS2 trifft mehrheitlich mittelständische Unternehmen, unabhängig von ihrer Größe. Viele von ihnen sind bislang noch nicht ausreichend gegen IT-Attacken geschützt, obwohl Hacker und Internetkriminelle sie verstärkt ins Visier nehmen. In den vergangenen zwölf Monaten waren 81 Prozent aller Unternehmen von Datenklau und IT-Gerätediebstahl sowie digitaler und analoger Industriespionage oder -sabotage betroffen.

Wie sollen sich mittelständische Unternehmen gegenüber den Herausforderungen durch NIS2 verhalten? Was sind die ersten Schritte? Volker Bentz, Gründer und Geschäftsführer des IT-Systemhauses Brandmauer IT, rät Firmen, strategische Partnerschaften einzugehen und darüber Wissen einzukaufen: „Hinter NIS2 steht ein Information Security Management System (ISMS) mit klaren Leitlinien und Regeln; niemand muss das Rad neu erfinden.“ Welche Inhalte des NIS2-Maßnahmenpakets die Geschäftsleitung direkt betreffen und somit sofortige Umsetzung erfordern, klärt der Beitrag.

Schwachstellen im Unternehmen

Angesichts einer beschleunigten Digitalisierung und dem angespannten Weltgeschehen drängt die Notwendigkeit, in Informationssicherheitsmaßnahmen für eine zunehmend digitale Welt zu investieren. Eine unerlässliche Voraussetzung für den Geschäftserfolg ist das Management von Cyberrisiken. Auf dem Weg zum krisenfesten Zukunftsmacher identifiziert IT-Experte Bentz folgende Schwachstellen:

• Technik: Wo laden offene Türen Hacker ein? Dauerüberwachungen der unternehmensinternen IT auf Schwachstellen, Maßnahmenpläne zur Schließung von Sicherheitslücken und Hardware-Verschlüsselung gehören zum kleinen IT-Security-Einmaleins.
• Organisation: Wie hackergeschützt ist die interne Organisation? Unternehmen, die verbindliche Richtlinien für den Umgang mit Daten etablieren, Privilegien-Sparsamkeit walten lassen und ganzheitliche Security-Systeme integrieren, sind Cyberangriffen einen Schritt voraus.
• Personal: Sitzt die Belegschaft in IT-Sicherheitsfragen fest im Sattel? Firmen, die ihre Mitarbeitenden hier sensibilisieren und Wissen über Gefahren von Hackern vermitteln, entwickeln sie zu einer stabilen Firewall. Außerdem tragen Führungsverantwortliche dafür Sorge, dass die Teams unternehmerische IT-Security-Richtlinien befolgen.

Zentrale NIS2-Handlungsfelder

• Registrierungspflichten gegenüber dem BSI
  Die NIS2-Richtlinie beabsichtigt die Vernetzung von Unternehmen zu stärken und ihnen die Möglichkeit zu geben, sich über Sicherheitsvorfälle auszutauschen. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, übernimmt als zentrale Anlaufstelle die Koordinationsfunktion mit dem Ziel ein Warnsystem für Cybergefahren zu etablieren. Firmen wird so die Früherkennung potenzieller Angriffe erleichtert. Aus diesem Grund bedarf es der Registration mit bestimmten Informationen bei der Aufsichtsbehörde. Die Registrierungspflicht obliegt der Geschäftsleitung. Bei vorsätzlicher Nichteinhaltung drohen Sanktionierungen.
• Informationssicherheit und IT-Risikomanagement
  Heute Probleme vermeiden, die morgen das Geschäft stören – das bringt die Aufgabe des IT-Risikomanagements auf den Punkt. Es bewertet Gefahren für Computersysteme sowie Daten und findet Wege zu deren Minimierung. IT-Systeme sicher gestalten und wertvolle Informationen schützen, lautet das erklärte Ziel. Dazu gehört die Implementierung eines Information Security Management Systems und den dazugehörigen Dokumenten sowie eines Prozesses mit verschiedenen Rahmenparametern für die Identifizierung, Bewertung und Behandlung von Bedrohungen.
• Management Review und Maßnahmenmanagement
  Wie steht es um die Informationssicherheit im Unternehmen? Um diese Frage zu beantworten, braucht es standardisierte Verfahren, die auch technologische Neuerungen und geänderte Rahmenbedingungen abbilden. Darunter fallen die Bereitstellung regelmäßiger Reports an die Unternehmensführung sowie Protokollierung von Verantwortlichkeiten, Reaktionen auf Ereignisse und Entwicklung von Korrekturmaßnahmen. Das fördert planvolles Handeln im Ernstfall.

Zum NIS2-Anforderungskatalog
Ein von Bentz entwickelter IT-Security-Ratgeber stellt die komplexe Gesetzeslage übersichtlich dar und unterstützt Unternehmen in der Umsetzung der NIS2-Richtlinien. Die Liste enthält 35 Kategorien, die zu NIS2-Konformität hinleiten. Kurze Erläuterungen verdeutlichen, welche Einzelmaßnahmen dazu nötig sind. Der Maßnahmenkatalog ersetzt keine Rechtsberatung und kann hier angefordert werden.

Über BRANDMAUER IT GmbH
Die Brandmauer IT betreibt seit 2000 stabile und sichere IT-Infrastrukturen für mittelständische Organisationen und Unternehmen. Mit einem besonderen Fokus auf IT-Sicherheit bietet das Unternehmen ein breites Spektrum an Managed Services, darunter IT-Outsourcing, IT-Infrastrukturaufbau und Cloudintegration. Zertifizierte Auditoren beraten und trainieren Kunden umfassend zu IT-Sicherheit und implementieren erforderliche Maßnahmen effizient. Mit 40 Mitarbeitenden und Kunden in der Größenordnung zwischen 5 und 1.500 Mitarbeitenden, zählt die Brandmauer IT GmbH zu den größten und vielseitigsten Systemhäusern ihrer Branche. Mehr Informationen auf brandmauer.de