NIS2: Neue Anforderungen an die Cybersicherheit

Die Europäische Union hat mit der Network and Information Security Directive 2 (NIS2) eine wichtige Initiative zur Stärkung der Cybersicherheit in Europa ergriffen. Diese Richtlinie, die bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden muss, zielt darauf ab, die digitale Infrastruktur der EU vor Cyberbedrohungen zu schützen, indem sie Organisationen in kritischen Sektoren verpflichtet, ihre Sicherheitsmaßnahmen zu verstärken. NIS2 ist eine Erweiterung der ursprünglichen NIS-Richtlinie und soll die Widerstandsfähigkeit gegenüber Cyberangriffen erhöhen und eine engere Zusammenarbeit zwischen den EU-Mitgliedstaaten fördern.

Angesichts der zunehmenden Cyberkriminalität, die in Deutschland allein Schäden von über 200 Milliarden Euro verursacht hat, ist die Bedeutung dieser Richtlinie offensichtlich. Sie betrifft Unternehmen in Bereichen wie Energie, Verkehr, Banken, Gesundheit und digitale Dienstleistungen. Ein wesentlicher Aspekt der NIS2-Richtlinie ist die Anforderung, dem aktuellen Stand der Technik in der Cybersicherheit zu entsprechen, was regelmäßige Überprüfungen und Anpassungen der Sicherheitsmaßnahmen erfordert.

Bei Nichteinhaltung drohen Unternehmen Geldstrafen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Um diesen Anforderungen gerecht zu werden, können sich Unternehmen an branchenspezifischen Sicherheitsstandards (B3S) orientieren, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) anerkannt sind und Rechtssicherheit bieten.

Die Richtlinie stellt strengere Anforderungen als die bisherige NIS-Richtlinie an nationale Behörden und vereinheitlicht die Sanktionsmöglichkeiten in den Mitgliedstaaten. Sie führt strengere Aufsichtsmaßnahmen für die nationalen Behörden, strengere Durchsetzungsanforderungen und eine Harmonisierung der Sanktionsregelungen in allen Mitgliedstaaten ein.

In Deutschland wird die Umsetzung der Richtlinie voraussichtlich etwa 30.000 Institutionen und Unternehmen betreffen, was deutlich mehr ist als nach bisherigem Recht. Die Ausweitung des Geltungsbereichs der NIS2-Richtlinie umfasst neue Bereiche wie Weltraum, Top-Level-Domain-Registrare und Vertrauensdiensteanbieter. Es gibt mehrere Abstufungen von betroffenen Institutionen, wobei zwischen Essential Entities (besonders wichtige Dienste) und Important Entities unterschieden wird. Für Letztere gilt eine Größeneinteilung, die ab 50 Mitarbeitern oder mindestens 10 Mio. Euro Jahresumsatz greift.

Die Umsetzung der Richtlinie erfordert von den betroffenen Institutionen, sich bei der European Union Agency for Cybersecurity zu registrieren, die nationale Cyber-Security-Behörde über signifikante Störungen, Vorfälle und Cyber Threats ihrer kritischen Dienstleistungen zu informieren, ein Risikomanagement einzurichten und den Stand der Technik in IT-Sicherheit zu implementieren. Bestehende Standards wie der IT-Grundschutz, die ISO/IEC 27001 und der Kriterienkatalog Cloud-Computing C5 werden wahrscheinlich nur einen Teil der Anforderungen aus NIS-2 abdecken, sodass weitere technische und organisatorische Maßnahmen zur Umsetzung der Richtlinie erforderlich sein werden.

Die Hauptziele der NIS-Richtlinie umfassten die Verbesserung der nationalen Cybersicherheitsfähigkeiten, die Förderung der Zusammenarbeit zwischen den Mitgliedstaaten und die Etablierung von Sicherheitsstandards und Meldepflichten für Betreiber wesentlicher Dienste sowie für Anbieter digitaler Dienste. Die Richtlinie legte auch die Grundlage für die Schaffung von Computer Security Incident Response Teams (CSIRTs) in den Mitgliedstaaten und die Einrichtung eines Kooperationsnetzwerks zur Unterstützung des Informationsaustauschs und der Zusammenarbeit bei Cybersicherheitsvorfällen.

Obwohl die NIS-Richtlinie einen wichtigen Schritt in Richtung einer verbesserten Cybersicherheit in der EU darstellte, zeigten sich im Laufe der Zeit Herausforderungen und Einschränkungen. Diese umfassten unter anderem die unterschiedliche Umsetzung und Anwendung der Richtlinie in den verschiedenen Mitgliedstaaten, was zu einer Fragmentierung und Inkonsistenz in der Cybersicherheitslandschaft der EU führte. Darüber hinaus wurde deutlich, dass die Richtlinie in Bezug auf den Umfang und die Tiefe der erforderlichen Sicherheitsmaßnahmen aktualisiert und erweitert werden musste, um den sich ständig weiterentwickelnden Cyberbedrohungen und der zunehmenden Abhängigkeit von digitalen Technologien gerecht zu werden.

Diese Erkenntnisse führten zur Entwicklung und Einführung der NIS-2-Richtlinie, die darauf abzielt, die bestehenden Regelungen zu stärken, den Anwendungsbereich zu erweitern und eine kohärentere und effektivere Umsetzung der Cybersicherheitsmaßnahmen in der gesamten EU zu gewährleisten.

Von der NIS2-Richtlinie sind Unternehmen aus einer Vielzahl von Branchen betroffen, wobei die Richtlinie eine deutliche Ausweitung des Geltungsbereichs gegenüber der vorherigen NIS-Richtlinie vorsieht. Besonders hervorzuheben ist, dass nun auch mittelständische Unternehmen in den Fokus rücken, die zuvor möglicherweise nicht direkt von den Anforderungen der ursprünglichen NIS-Richtlinie betroffen waren.

Betroffen sind Unternehmen ab 50 Mitarbeiter UND mindestens 10 Millionen Euro Jahresumsatz, welche in folgenden Branchen tätig sind:

• Energie (Elektrizität, Gas, Öl)
• Verkehr (Luft, Wasser, Straße, Schiene)
• Banken und Finanzdienstleistungen
• Gesundheitswesen
• Wasserversorgung und Abwasserentsorgung
• Digitale Infrastruktur (Internet Exchange Points, DNS-Dienstanbieter, TLD-Registrare)
• Öffentliche Verwaltung
• Raumfahrt
• Lebensmittelversorgung
• Produzierendes Gewerbe und industrielle Automatisierung
• Digitale Dienstleistungen (Cloud-Dienste, soziale Netzwerke)
• Forschungseinrichtungen
• Pharmazeutische Industrie

Die Erweiterung des Geltungsbereichs bedeutet, dass inzwischen auch deutlich mehr mittelständische Unternehmen, die in diesen Sektoren tätig sind, verstärkt konkrete Cybersicherheitsmaßnahmen ergreifen müssen. Dies beinhaltet die Implementierung von Risikomanagement-Strategien, die Einhaltung strengerer Sicherheitsstandards und die Bereitstellung von Ressourcen für die Meldung und Reaktion auf Sicherheitsvorfälle. Die NIS2-Richtlinie stellt somit potenziell eine signifikante Herausforderung für den Mittelstand dar, der jedoch aktiver in den Bereich der Cybersicherheit investieren und sich an die neuen regulatorischen Anforderungen anpassen muss.

Von der NIS2-Richtlinie betroffene Unternehmen müssen eine Reihe konkreter Maßnahmen ergreifen, um den Anforderungen der Richtlinie gerecht zu werden. Dies beinhaltet sowohl technische als auch organisatorische Maßnahmen. Darunter fällt auch die Nutzung aktueller IT-Sicherheitsstandards und -technologien, die beispielsweise durch Python-Frameworks unterstützt werden können.

Zu den wesentlichen Schritten gehören:

1. Entwicklung einer Cybersicherheitsstrategie: Unternehmen müssen eine umfassende Strategie zur Cybersicherheit entwickeln, die ihre spezifischen Risiken und Bedrohungen berücksichtigt.
2. Implementierung von Sicherheitsmaßnahmen: Dies umfasst technische und organisatorische Maßnahmen, um die Sicherheit von Netz- und Informationssystemen zu gewährleisten. Dazu gehören unter anderem die Verschlüsselung sensibler Daten, regelmäßige Sicherheitsaudits und die Implementierung von Firewalls und Antivirenprogrammen.
3. Risikomanagement: Unternehmen müssen ein effektives Risikomanagement einführen, das regelmäßige Risikobewertungen und die Anpassung der Sicherheitsmaßnahmen an sich ändernde Bedrohungslagen umfasst.
4. Meldung von Sicherheitsvorfällen: Es besteht eine Meldepflicht für signifikante Sicherheitsvorfälle. Unternehmen müssen sicherstellen, dass sie in der Lage sind, Vorfälle schnell zu erkennen und entsprechend zu melden.
5. Einrichtung von Incident Response Teams: Unternehmen sollten spezialisierte Teams oder Ansprechpartner für die Reaktion auf Sicherheitsvorfälle einrichten, um effektiv auf Bedrohungen reagieren zu können.
6. Schulung und Bewusstseinsbildung: Die Schulung von Mitarbeitern in Bezug auf Cybersicherheit ist entscheidend, um das Risiko von Sicherheitsvorfällen zu minimieren. Dies beinhaltet regelmäßige Schulungen und Sensibilisierungskampagnen.
7. Einhaltung der Compliance-Anforderungen: Unternehmen müssen die Einhaltung der rechtlichen Anforderungen der NIS2-Richtlinie sicherstellen und gegebenenfalls Anpassungen vornehmen, um konform zu bleiben.
8. Zusammenarbeit mit Behörden: Unternehmen müssen mit nationalen Cybersicherheitsbehörden zusammenarbeiten und können verpflichtet sein, Informationen über Sicherheitsrisiken und -vorfälle auszutauschen.

Diese Maßnahmen erfordern eine aktive Beteiligung und Investition seitens der Unternehmen, um die Cybersicherheit zu stärken und die Einhaltung der NIS2-Richtlinie zu gewährleisten.

Die Digitalagentur Esono, mit Hauptsitz in Freiburg und Büros in Berlin und Lörrach, ist seit 2000 ein kompetenter Partner in den Bereichen Softwareentwicklung, Webentwicklung und Operating. Besonders im Operating liegt der Fokus der Esono AG auf Kubernetes und Managed Kubernetes, was in der heutigen Zeit von entscheidender Bedeutung ist, insbesondere im Hinblick auf die NIS2-Richtlinie.

Die NIS2-Richtlinie bringt spezifische Herausforderungen für Unternehmen, die Kubernetes und containerisierte Umgebungen nutzen. Sie fordert verstärkte Sicherheitsmaßnahmen, wie verschärfte Incident-Reporting-Anforderungen und umfassendes Risikomanagement. Unternehmen müssen ihre Kubernetes-Cluster so anpassen, dass sie den erhöhten Sicherheitsstandards entsprechen, was eine kontinuierliche Überwachung, Verschlüsselung und Zugriffskontrolle einschließt. Dies stellt insbesondere für mittelständische Unternehmen eine Herausforderung dar, da umfangreiche Investitionen in Sicherheitstools und -prozesse erforderlich sind.

Esono bietet in diesem Kontext zwei wesentliche Dienstleistungen an:

1. Cybersicherheit Analyse & Consulting: Unsere Experten führen einen umfassenden Sicherheits-Check durch, protokollieren den Ist-Zustand Ihrer Systeme und geben Empfehlungen zur Verbesserung der Cybersicherheit und zur Herstellung der Konformität mit der NIS2-Richtlinie.
2. Unterstützung bei der Umsetzung & Betrieb von Kubernetes-Clustern: Die Esono AG unterstützt Sie aktiv bei der Implementierung und dem Betrieb Ihrer Kubernetes-Cluster, um sicherzustellen, dass diese den neuen Anforderungen der NIS2-Richtlinie entsprechen.

Für Unternehmen, die ihre Cybersicherheit im Zeitalter der NIS2-Richtlinie stärken möchten, ist Esono der ideale Partner. Kontaktieren Sie uns, um zu erfahren, wie wir Sie unterstützen können.