Montag, 8:03 Uhr: Beschäftigte können sich nicht mehr einloggen, das E-Mail-System ist nicht erreichbar und wichtige Dateien lassen sich nicht mehr öffnen. Auf den Bildschirmen erscheint eine Lösegeldforderung. Wer entscheidet, was zuerst zu tun ist? Und wie schnell ist Ihr Unternehmen wieder arbeitsfähig?
Am Beispiel dieser Ransomware-Attacke wird klar: Das digitale Zeitalter, in dem wir uns befinden, bringt neben großen Fortschritten auch Gefahren mit sich. Viele Unternehmen beschäftigen sich allerdings erst mit diesen Gefahren, wenn sie bereits von einem Sicherheitsvorfall betroffen sind. Die NIS2-Richtlinie der EU soll das ändern. Zunächst einmal die Eckdaten: NIS2 ist die Nachfolgerin der ersten NIS-Richtlinie aus dem Jahr 2016. Die Abkürzung steht für „Netzwerk- und Informationssicherheit“. NIS2 verpflichtet die Mitgliedsstaaten dazu, betroffene Unternehmen und öffentliche Stellen stärker zu regulieren und schafft so europaweite Vorgaben zur Cybersicherheit.
Wie sich der eine oder andere wahrscheinlich gut vorstellen kann, hat sich innerhalb der letzten zehn Jahre einiges verändert: Digitalisierung, zunehmende Nutzung von Cloud- und Plattformdiensten, größere Abhängigkeit von digitalen Dienstleistern und leider auch die wachsende Zahl und zunehmende Tragweite von Cyberangriffen.
Der Anwendungsbereich der NIS1-Richtline war mit Blick auf diese Entwicklungen vergleichsweise begrenzt. Problematisch war außerdem, dass sich die Umsetzung zwischen den Mitgliedsstaaten unterschieden hat und vergleichbare Unternehmen je nach Staat unterschiedlich behandelt werden konnten. NIS2 soll genau diese Lücken schließen.
Für Unternehmen bedeutet das: Cybersicherheit soll nicht mehr nur als technisches IT-Thema, sondern als organisatorische Aufgabe verstanden werden. Es geht nicht allein darum, Firewalls, Virenschutzprogramme oder Back-ups einzusetzen. Entscheidend ist jetzt, ob Risiken erkannt, Zuständigkeiten festgelegt, Sicherheitsvorfälle geordnet bearbeitet und wichtige Geschäftsprozesse auch in Krisensituationen aufrechterhalten werden können.
Die Hauptziele der NIS2-Richtlinie sind also folgende:
- ein hohes gemeinsames Cybersicherheitsniveau innerhalb der EU schaffen,
- Unterschiede zwischen den Mitgliedsstaaten zu reduzieren und
- die Widerstandsfähigkeit wichtiger Einrichtungen erhöhen.
Weitere Ziele sind:
- Cyberrisiken besser zu beherrschen,
- Sicherheitsvorfälle schneller zu erkennen und zu bewältigen,
- die Auswirkungen von Vorfällen zu begrenzen,
- Behörden frühzeitig zu informieren,
- Risiken innerhalb der Lieferketten zu berücksichtigen,
- Verantwortung auf Leitungsebene zu verankern und
- die Zusammenarbeit in der EU zu verbessern.
Viele Unternehmen gehen derzeit noch davon aus, dass NIS2 nur für wenige Unternehmen und Einrichtungen relevant ist. Der Anwendungsbereich reicht tatsächlich jedoch deutlich weiter.
In unserer NIS2-Serie erklären wir Ihnen die wichtigsten Hintergründe, Anforderungen und praktischen Auswirkungen verständlich und Schritt für Schritt.