NIS2-Anforderungen an Unternehmen: Diese 5 konkreten Punkte sind Pflicht

Warum müssen Unternehmen sich mit den NIS2-Anforderungen auseinandersetzen?

Die NIS2-Richtlinie und ihre Umsetzung für Deutschland fördern die Cyberresilienz europäischer Unternehmen und Einrichtungen, die mit immer komplexeren Bedrohungen aus dem Cyberraum konfrontiert sind.  

Die neue NIS2-Richtlinie  

• erweitert den Geltungsbereich der bisher geltenden NIS1-Richtlinie – während sich die ursprüngliche Richtlinie vor allem auf Betreiber kritischer Infrastrukturen konzentrierte, fallen nun auch mittlere und große Unternehmen in verschiedenen Branchen wie digitale Infrastruktur und das Transportwesen darunter.

• verschärft die Sicherheitsanforderungen an betroffene Unternehmen, um potenzielle Schwachstellen zu reduzieren und Daten und IT-Systeme besser vor Angreifern zu schützen.

Wer von NIS2 betroffen ist, sollte sich frühzeitig mit den neuen Vorgaben auseinandersetzen, um Sicherheitsrisiken für interne Daten und IT-Systeme zu minimieren und Sanktionen zu vermeiden. Im Fokus sollten dabei die folgenden fünf zentrale Anforderungsbereiche der NIS2-Richtlinie stehen.

Welche neuen Anforderungen stellt NIS2 an Unternehmen?

Die NIS2-Anforderungen betreffen zum einen den Umgang mit Cyberrisiken. Zum anderen verlangt die Richtlinie von betroffenen Unternehmen, gezielte Sicherheitsmaßnahmen zu implementieren. Diese stellt NIS2 nicht nur technische Anforderungen, sondern verlangt auch, dass organisatorische Prozesse angepasst und rechtliche Aspekte im Unternehmensalltag berücksichtigt werden.

1. Risikomanagement und Sicherheitsmaßnahmen

Um die NIS2-Anforderungen zu erfüllen, müssen Unternehmen zunächst ein systematisches Risikomanagement etablieren. Das bedeutet, dass Unternehmen künftig regelmäßig Risikoanalysen durchführen und Sicherheitsstrategien entwickeln müssen. Das hilft ihnen, potenzielle Bedrohungen frühzeitig zu erkennen.  

Neben technischen Schutzmaßnahmen, wie Firewalls, Verschlüsselung und Zugriffskontrollen, spielen auch organisatorische Maßnahmen eine entscheidende Rolle in der Sicherheitsstrategie. Dazu gehört die Einrichtung eines Business Continuity Managements: Damit ist sichergestellt, dass Ihr Unternehmen im Falle eines Cyberangriffs schnell reagieren kann und Ihre Teams arbeitsfähig bleiben.

2. Umgang mit Sicherheitsvorfällen

Die NIS2-Richtlinie verpflichtet Unternehmen nicht nur dazu, Sicherheitsvorfälle frühzeitig zu erkennen, sondern sie darüber hinaus sauber zu dokumentieren. Außerdem muss sichergestellt sein, dass die zuständigen Behörden innerhalb festgelegter Fristen über konkrete Vorfälle und versuchte Angriffe informiert werden. Halten sich Unternehmen nicht an die Meldepflichten, drohen empfindliche Sanktionen.

Wird Ihr Unternehmen Opfer eines Cyberangriffs, müssen Sie nicht nur Bericht darüber erstatten, sondern außerdem in der Lage sein, Maßnahmen zur Schadensbegrenzung einzuleiten und dafür sorgen, dass sich ähnliche Vorfälle in Zukunft nicht wiederholen.  

Meldepflichten und behördliche Aufsicht: Darauf müssen Sie achten

Sicherheitsvorfälle schaden in der Regel nicht nur einem Unternehmen, sondern haben weitreichende Folgen. Deshalb sollten Unternehmen und Behörden das Thema Cybersicherheit als gemeinschaftliche Aufgabe betrachten. Behörden können Ihnen helfen, mit einem Angriff umzugehen, und Sie können mit Ihrer Meldung eines Vorfalls andere Unternehmen vor ähnlichen Angriffen bewahren.  

3. Lieferketten- und Dienstleistermanagement

Lieferketten sind immer häufiger Einfallstore für Cyberkriminelle doch nur wenige Unternehmen haben dieses Risiko im Blick. NIS2 lenkt die Aufmerksamkeit deshalb auf die Sicherheit innerhalb der Lieferkette.  

Arbeiten Unternehmen mit externen Dienstleistern und Partnern zusammen, müssen sie sicherstellen, dass alle Akteure entlang der Lieferkette angemessene Sicherheitsmaßnahmen ergreifen. Dies kann durch vertragliche Vereinbarungen, regelmäßige Audits und kontinuierliche Risikoanalysen geschehen.  

4. Schulungen und Sensibilisierung

Technische Schutzmaßnahmen sind nur dann wirksam, wenn alle im Unternehmen wissen, was zu tun ist und warum. Deshalb fordert NIS2, dass Unternehmen ihre Mitarbeiter für Cybersicherheitsrisiken sensibilisieren.  

Regelmäßige Schulungen können das Bewusstsein für IT-Sicherheit schärfen und dabei helfen, eine Sicherheitskultur zu etablieren, die IT-Sicherheit als gemeinsame Verantwortung betrachtet. Im Rahmen solcher Schulungen lernen Ihre Angestellten zum Beispiel,  

• Phishing-Mails besser zu erkennen,

• Passwörter richtig einzusetzen und  

• welche Gefahren von Social-Engineering-Angriffe ausgehen.  

5. Authentifizierung und Zugriffskontrolle

Je besser Ihre IT-Systeme und Daten geschützt sind, desto schwerer können Hacker darauf zugreifen. Eine wichtige NIS2-Anforderung ist deshalb, strengere Authentifizierungsmaßnahmen zu ergreifen.

Praktisch bedeutet das zum Beispiel  

• den unbefugten Zugriff auf Systeme durch die Multi-Faktor-Authentifizierung zu verhindern.

• klare Regeln für die Rechteverwaltung aufzustellen, damit nur autorisierte Personen Zugang zu kritischen IT-Systemen haben.  

• Berechtigungen regelmäßig zu prüfen und anzupassen, um Schwachstellen zu vermeiden.

Lesetipp: In unserem Magazin finden Sie 10 einfache Maßnahmen für mehr Informationssicherheit.

NIS2-Anforderungen: Checkliste für die effiziente Umsetzung

Damit Ihr Unternehmen den Anforderungen der NIS2-Richtlinie gerecht wird, sind verschiedene Schritte notwendig. Die folgende Checkliste gibt Ihnen einen Überblick über wichtige To-dos im Zusammenhang mit den NIS2-Anforderungen und zeigt, wie Sie Schritt für Schritt vorgehen:

• GAP-Analyse durchführen: Verschaffen Sie sich einen Überblick über den aktuellen Zustand Ihrer bestehenden Sicherheitsmaßnahmen, um die Einhaltung von NIS2, ISO 27001 und Co. sicherzustellen.

• Risikobewertung als Basis für Maßnahmenauswahl durchführen: Zur Bestandsaufnahme am Anfang Ihrer NIS2-Umsetzung gehört auch die Identifikation aller IT-Systeme, Prozesse und potenziellen Schwachstellen. Eine detaillierte Risikoanalyse hilft Ihnen dabei, Handlungsschwerpunkte zu definieren und geeignete Schutzmaßnahmen zu entwickeln.

• Sicherheitskonzept etablieren: Basierend auf der Risikoanalyse sollten Unternehmen ein umfassendes Sicherheitskonzept entwickeln. Dazu gehört die Implementierung klarer Sicherheitsrichtlinien, die Integration der Maßnahmen in die bestehenden Geschäftsprozesse sowie die Festlegung von Zuständigkeiten und Ressourcen. Dabei kann eine Anwendbarkeitserklärung (Statement of Applicability, SoA), hilfreich sein. Sie ist Bestandteil eines Informationssicherheits-Managementsystems (ISMS) und hält unter anderem fest, welche Maßnahmen für Informationssicherheit ein Unternehmen ergreift.

• Schulungen regelmäßig durchführen: Damit Sicherheits-, NIS2- und Compliance-Anforderungen in Ihrem Unternehmen richtig umgesetzt werden können, müssen Ihre Mitarbeiter dazu geschult werden. Wissen rund um Datenschutz, Informationssicherheit und rechtliche Cybersecurity-Anforderungen ist unverzichtbar für eine resiliente Organisation und Teams, die aktiv dazu beitragen, Bedrohungen von außen zu erkennen, zu melden und zu bekämpfen.

• Maßnahmen dokumentieren und laufend optimieren: Um auf neue Bedrohungen und technologische Entwicklungen reagieren zu können, sollten alle NIS2- und Cybersecurity-Maßnahmen kontinuierlich dokumentiert und aktualisiert werden. Die SoA vereinfacht den Prozess. Führen Sie regelmäßige Überprüfungen durch und stellen Sie sicher, dass alle getroffenen Sicherheitsmaßnahmen in der Dokumentation reflektiert werden.

Welche Strafen drohen bei Nicht-Einhaltung der NIS2-Anforderungen?

Unternehmen, die die Meldepflichten nicht einhalten, riskieren hohe Bußgelder und andere Sanktionen. Wesentliche Einrichtungen müssen zum Beispiel mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes rechnen. In besonders schweren Fällen können die Behörden sogar Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes verhängen.

Außerdem ist es Behörden erlaubt, den Geschäftsbetrieb von Unternehmen einzuschränken oder die Führungsebene zu sanktionieren. In Deutschland übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Kontrolle und Durchsetzung der Richtlinie und fungiert als Anlaufstelle für die Meldungen von Vorfällen.  

Fazit: So meistern Sie die NIS2-Anforderungen erfolgreich und effizient

Mit der NIS2-Richtlinie stehen in Sachen Cybersecurity weitreichende Änderungen für Unternehmen an. Wenn Ihre Organisation zum Kreis der betroffenen Unternehmen gehört, sollten Sie sich schon jetzt mit den neuen Vorgaben auseinandersetzen. So können Sie rechtzeitig notwendige Maßnahmen ergreifen, um Ihre Cybersicherheit zu verbessern und regulatorische Strafen zu vermeiden. Außerdem profitieren Sie frühzeitig und langfristig von höheren Sicherheitsstandards.  

Wir unterstützen Sie gern dabei, heute und in Zukunft sicher zu wirtschaften und Ihre Cyberschutzschilde hochzufahren.