NIS 2: Über 20.000 deutsche Unternehmen betroffen – Sind Sie vorbereitet?

Thomas Kress ist IT-Sicherheitsexperte und Inhaber der TKUC Group mit den Marken TKUC und TheUnified. In diesem Gastbeitrag beschäftigt er sich mit NIS 2, also der zweiten Version der EU-Richtlinie zur Netzwerk- und Informationssicherheit (Network and Information Security Directive 2) und welche Auswirkungen diese Richtlinie auf Unternehmen haben werden.

Mit der Einführung der NIS 2-Richtlinie stehen über 20.000 deutsche Unternehmen vor neuen Herausforderungen im Bereich der IT-Sicherheit. Die Netz- und Informationssicherheitsrichtlinie (NIS 2) geht weit über die bisherigen Vorgaben hinaus und verlangt von Unternehmen, ihre Schutzmaßnahmen erheblich zu verstärken. Besonders betroffen sind Unternehmen in zahlreichen Branchen, die bislang nicht im Fokus der NIS-Richtlinie standen. Doch was genau bedeutet das für die betroffenen Unternehmen, und welche Maßnahmen müssen ergriffen werden? Dieser Artikel beleuchtet die wesentlichen Aspekte der NIS 2-Richtlinie und zeigt auf, warum Unternehmen jetzt handeln sollten.

Was ist NIS 2?

Die NIS 2-Richtlinie ist die überarbeitete Version der ursprünglichen NIS-Richtlinie von 2016. Ihr Ziel ist es, die Cyber-Sicherheitsstandards in der Europäischen Union auf ein neues Niveau zu heben und so Unternehmen und kritische Infrastrukturen besser vor Cyberangriffen zu schützen. Die neue Richtlinie betrifft eine deutlich größere Anzahl an Unternehmen und Sektoren als zuvor, was die Reichweite und die Bedeutung dieser Regelung unterstreicht.

Welche Branchen sind betroffen?

Die NIS 2-Richtlinie umfasst eine breite Palette von Branchen, von denen einige bereits unter die Kritis-Verordnung fallen, während andere neu hinzukommen. Besonders betroffen sind Unternehmen in folgenden Bereichen:

Energie

Die Energiebranche gehört traditionell zu den sensibelsten Sektoren in Bezug auf IT-Sicherheit. Betroffen sind unter anderem:
– Stromversorgungsunternehmen, Netzbetreiber und Stromlieferanten
– Fernwärme- und -kälteversorger
– Kraftstofflieferanten, Raffinerien und Unternehmen, die sich mit der Lagerung und Verarbeitung von Gas oder Wasserstoff beschäftigen

Wasser und Abwasser

In der Wasserwirtschaft fallen Trinkwasserversorgungsunternehmen sowie Einrichtungen zur Abwasserbeseitigung unter die Regelungen der NIS 2-Richtlinie. Die IT-Sicherheit spielt in diesen Sektoren eine zentrale Rolle, da die Beeinträchtigung von Wasserressourcen oder Abwassersystemen zu erheblichen Problemen führen kann.

Gesundheit

Im Gesundheitswesen sind Krankenhäuser, Gesundheitsdienstleister sowie Hersteller von Pharmazeutika und Medizinprodukten betroffen. Die Sicherheit sensibler Patientendaten und der Schutz medizinischer Systeme vor Cyberangriffen haben hier oberste Priorität.

Transport und Verkehr

Der Transportsektor umfasst eine Vielzahl von Unternehmen, die durch die NIS 2-Richtlinie geschützt werden sollen:
– Post- und Kurierdienste
– Unternehmen im Luftverkehr, einschließlich Flughäfen und Flugverkehrskontrollzentralen
– Schienenverkehrsunternehmen und Betreiber von Eisenbahninfrastrukturen
– Beförderungsunternehmen im Schifffahrtssektor sowie die Betreiber von Häfen und Wasserstraßen
– Betreiber intelligenter Verkehrssysteme im Straßenverkehr

IT und Telekommunikation

In der IT- und Telekommunikationsbranche gehören Anbieter von Internet-Exchanges (IXP), Domain-Name-Systemen (DNS), Cloud-Diensten und Rechenzentren zu den betroffenen Unternehmen. Die Absicherung dieser digitalen Infrastrukturen ist essenziell, um die Grundlage für die Sicherheit weiterer Sektoren zu schaffen.

Finanzen und Versicherungen

Der Finanzsektor, einschließlich Banken und Handelsplätze, muss ebenfalls den neuen Anforderungen der NIS 2-Richtlinie gerecht werden. Hier steht der Schutz sensibler Finanzdaten und die Aufrechterhaltung der Sicherheit im Zahlungsverkehr im Vordergrund.

Ernährung und Chemie

Auch die Lebensmittelindustrie sowie die Chemiebranche werden durch die NIS 2-Richtlinie abgedeckt. Unternehmen, die in der Produktion, Verarbeitung und dem Vertrieb von Lebensmitteln tätig sind, sowie Chemieunternehmen, die mit gefährlichen Stoffen arbeiten, müssen sicherstellen, dass ihre Systeme vor Cyberangriffen geschützt sind.

Forschung und Digitale Dienste

Forschungseinrichtungen, die für kommerzielle Zwecke forschen, sowie Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerken fallen ebenfalls unter die NIS 2-Richtlinie.

Welche Maßnahmen sind erforderlich?

Die NIS 2-Richtlinie fordert Unternehmen dazu auf, eine Vielzahl von Maßnahmen zur Verbesserung ihrer IT-Sicherheitsinfrastruktur umzusetzen. Dazu gehören:

Risikomanagement und Risikoanalyse

Unternehmen müssen regelmäßige Risikoanalysen durchführen, um potenzielle Bedrohungen zu identifizieren und geeignete Gegenmaßnahmen zu ergreifen. Dies erfordert ein umfassendes Verständnis der eigenen IT-Infrastruktur und der darin enthaltenen Schwachstellen.

Vorfallsmanagement und Krisenbewältigung

Ein zentraler Bestandteil der NIS 2-Richtlinie ist die Fähigkeit, auf Cyberangriffe und Sicherheitsvorfälle schnell und effizient zu reagieren. Unternehmen müssen Notfallpläne entwickeln und klare Zuständigkeiten für das Krisenmanagement festlegen.

Betriebsaufrechterhaltung und Notfallwiederherstellung

Die Sicherstellung der Betriebsfähigkeit im Falle eines Sicherheitsvorfalls ist unerlässlich. Dies schließt Backups, Notfallpläne und Wiederherstellungsprozesse ein, die regelmäßig getestet und aktualisiert werden müssen.

Sicherheitsanforderungen an die Lieferkette

Unternehmen müssen sicherstellen, dass auch ihre Lieferanten und Partner hohe Sicherheitsstandards einhalten. Eine ungesicherte Lieferkette kann erhebliche Risiken für das gesamte Unternehmen darstellen.

Schwachstellenmanagement und regelmäßige Sicherheitsupdates

IT-Systeme müssen kontinuierlich überwacht und gewartet werden, um Schwachstellen zu identifizieren und zu beheben. Regelmäßige Updates und Patches sind erforderlich, um die Systeme gegen neu auftretende Bedrohungen zu schützen.

Schulungen und Cyberhygiene

Mitarbeiter sind oft die ersten Ziele von Cyberangriffen. Unternehmen müssen ihre Mitarbeiter:innen regelmäßig schulen und sicherstellen, dass diese sich der Risiken bewusst sind und wissen, wie sie im Falle eines Vorfalls reagieren müssen.

Kryptografie und Verschlüsselung

Der Schutz sensibler Daten durch den Einsatz moderner Verschlüsselungstechnologien ist ein zentraler Aspekt der NIS 2-Richtlinie. Unternehmen müssen sicherstellen, dass ihre Daten sowohl bei der Speicherung als auch bei der Übertragung geschützt sind.

Fazit

Die NIS 2-Richtlinie stellt Unternehmen aus verschiedensten Branchen vor neue Herausforderungen im Bereich der IT-Sicherheit. Die erweiterten Regelungen betreffen nicht nur kritische Infrastrukturen, sondern auch zahlreiche andere Sektoren, von der Energieversorgung über das Gesundheitswesen bis hin zu Forschungseinrichtungen und der Lebensmittelindustrie. Unternehmen, die sich nicht rechtzeitig auf die neuen Anforderungen vorbereiten, riskieren empfindliche Strafen und erhebliche Sicherheitsrisiken.

Jetzt ist der richtige Zeitpunkt, um Maßnahmen zu ergreifen und die eigene IT-Sicherheitsstrategie zu überdenken. Nur so können Unternehmen langfristig geschützt bleiben und die Herausforderungen der digitalen Zukunft meistern.