Wenn Sie unsere NIS2-Serie verfolgt haben, wissen Sie jetzt bereits, dass NIS2 einige neue Anforderungen an die Cybersicherheit betroffener Unternehmen mitbringt.
Im Rahmen dieser Serie haben wir bereits behandelt, wer konkret betroffen ist, welche Handlung bei Betroffenheit erforderlich ist, welche Rolle die Geschäftsleitung bei der Umsetzung spielt und welche Meldepflichten beachtet werden müssen. Zum Abschluss greifen wir die wichtigsten Punkte noch einmal auf. Interessiert Sie eines dieser Themen besonders, sollen Sie allerdings unbedingt den jeweils entsprechenden Beitrag lesen, um keine wichtigen Details zu übersehen.
Schritt 1: Betroffenheit klären
Zunächst muss geprüft werden, ob Ihr Unternehmen unter NIS2 fällt. Entscheidend sind dafür insbesondere Sektor, bzw. Tätigkeit, die Unternehmensgröße und mögliche Sondertatbestände.
Schritt 2: Die Umsetzung
Stellt sich bei der Betroffenheitsprüfung heraus, dass Ihr Unternehmen von NIS2 betroffen ist, geht es nachfolgend vor allem darum, Cybersicherheit organisatorisch zu verankern. Dafür müssen zunächst die individuellen Risiken bewertet und im Anschluss daran geeignete Maßnahmen zur Minimierung dieser festgelegt werden. Wichtig ist an dieser Stelle vor allem die Erkenntnis, dass NIS2 kein einmaliges Projekt, sondern ein fortlaufender Prozess ist. Die Schutzmaßnahmen sollten also nicht nur einmalig festgelegt werden, sondern auch kontinuierlich dafür sorgen, dass Ihr Unternehmen jederzeit auf einen Sicherheitsvorfall vorbereitet ist.
Neu durch NIS2 ist zudem die erweiterte Rolle der Geschäftsleitung. Die Richtline sieht vor, dass Cybersicherheit zur Führungsaufgabe wird, indem die Geschäftsleitung die Umsetzung aktiv steuert und eigenverantwortlich Entscheidungen trifft.
Schritt 3: Meldepflichten
Ist es trotz geeigneter Sicherheitsmaßnahmen zu einem erheblichen Sicherheitsvorfall gekommen, muss dieser fristgerecht an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Was „erheblich“ in diesem Zusammenhang bedeutet, und welche unterschiedlichen Fristen beachtet werden müssen, erfahren sie in unserem fünften der insgesamt sechs Beiträgen dieser Reihe.
Sie merken also: NIS2 ist mehr als eine gesetzliche Pflicht. Richtig umgesetzt wird Cybersicherheit durch NIS2 zum festen Bestandteil einer widerstandsfähigen und zukunftsfähigen Unternehmensorganisation.
Damit endet unsere NIS2-Serie. Wir hoffen, dass wir Ihnen dieses nicht ganz unkomplizierte Thema ein Stück näherbringen konnten und halten Sie hier auch zukünftig über relevante Entwicklungen rund um Datenschutz und Informationssicherheit auf dem Laufenden.