Die EU-Richtlinie NIS2, die ab dem 18. Oktober 2024 in Deutschland durch das NIS2UmsuCG umgesetzt wird, strebt eine Vereinheitlichung und Verstärkung der Cybersicherheit in den EU-Mitgliedstaaten an. Sie erweitert den Anwendungsbereich über große KRITIS-Betreiber hinaus auf mittlere Unternehmen, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz von 10 Millionen Euro erzielen. Insgesamt fallen dadurch etwa 30.000 Unternehmen in Deutschland unter diese Regelung. NIS2 schreibt umfangreiche organisatorische und technische Maßnahmen vor und führt strengere Strafen bei Nichteinhaltung ein, einschließlich der persönlichen Haftung von Geschäftsführern. Unternehmen können die Richtlinie durch ein Informationssicherheits-Managementsystem nach ISO 27001 umsetzen.
Die Europäische Union führte 2016 eine Richtlinie für Network and Information Security (NIS bzw. NIS1) ein, um für die Gesellschaft wichtige Einrichtungen und Unternehmen zu schützen und in den Mitgliedstaaten einheitliche Sicherheitsstandards zu schaffen. Die Richtlinie enthält verbindliche Vorgaben, wie Betreiber kritischer Infrastrukturen (KRITIS) ihre Systeme zu schützen haben. Zu den KRITIS-Unternehmen zählen Unternehmen und Einrichtungen mit hoher gesellschaftlicher Relevanz, wie zum Beispiel Energieversorger und Banken.
Die fortschreitende Digitalisierung zum einen und die wachsende Bedrohung aufgrund geopolitischer Spannungen zum anderen machten eine Neuauflage der Richtlinie aus EU-Sicht notwendig. Im Januar 2023 führte sie darum die NIS2-Richtlinie ein, die von den EU-Mitgliedsstaaten bis Oktober 2024 in nationales Recht umgesetzt werden muss.
Ob ein Unternehmen unter die NIS2-Richtlinien fällt, wird durch zwei Kriterien bestimmt: Die Zugehörigkeit zu bestimmten Sektoren und die Unternehmensgröße.
Gegenüber der ersten NIS-Richtlinie wurden die Sektoren erweitert. Zu Großunternehmen aus dem Bereich kritischer Infrastrukturen, die in NIS2 als „sehr wichtige Einrichtungen“ eingestuft werden, führt die neue Richtline zusätzlich „wichtige Einrichtungen“ ein, die den Umfang der Kritischen Infrastruktur erweitern. So fallen nun auch Unternehmen wie digitale Marktplätze oder die Lebensmittelindustrie unter die NIS2-Richtlinie.
Durch die Erweiterung der Sektoren der „wichtigen Einrichtungen“ gelangen viele mittlere Unternehmen in das Wirkungsfeld von NIS2. Um das zweite Kriterium, die Unternehmensgröße, einheitlich in den EU-Mitgliedstaaten zu regeln, führt NIS2 die sogenannte Size-Cap-Regel als Schwellenwert ein. Laut dieser kann ein Unternehmen unter die Richtlinie fallen, wenn es entweder
Auch kleine Unternehmen können betroffen sein, wenn sie kritische Tätigkeiten ausüben, die Auswirkungen auf die öffentliche Ordnung nehmen oder Systemrisiken sowie grenzüberschreitende Auswirkungen bestehen.
Außerdem könnten von NIS2 betroffene Organisationen aufgrund ihrer Kritikalität gezwungen sein in der gesamten Lieferkette strenge Sicherheitsvorkehrungen durchzusetzen und so auch kleinste Lieferanten zu entsprechenden Maßnahmen verpflichten.
Jedes große und mittlere Unternehmen sollte sich jetzt proaktiv mit dem Thema Informationssicherheit befassen und prüfen, ob es den NIS2-Kriterien unterliegt. Denn die Richtlinie sieht vor, dass sich Firmen selbst einordnen als „besonders wichtige Einrichtung“ (beziehungsweise KRITIS) oder „wichtige Einrichtung“. Unternehmen, die in eine der Kategorien fallen, müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Kommt es zu Sicherheitsvorfällen, müssen diese in klar definierten Zeiträumen gemeldet werden. Auch interne Schulungen und Unterweisungen gehören zu den Maßnahmen, um die Sicherheit zu erhöhen. Dabei betont NIS2 die Verantwortung des Managements und sieht für Unternehmensführungen schärfere Sanktionen bei Verstößen vor – das Thema Cybersicherheit kann künftig also nicht mehr so einfach „wegdelegiert“ werden.
Der effektivste Weg, die NIS2-Vorgaben umzusetzen, ist die Implementierung eines ganzheitlichen Informationssicherheits-Managementsystems (ISMS) nach dem internationalen Goldstandard für Informationssicherheit, der ISO 27001. Das ISMS berücksichtigt sowohl technische als auch menschliche Sicherheitsaspekte – ein wichtiges Zusammenspiel für den Schutz vor Cyberattacken in Unternehmen.
Die NIS2-Richtlinie fordert technische und organisatorische Maßnahmen (TOM) gemäß dem Stand der Technik. Um den Schutz ihrer digitalen Infrastrukturen und Dienste zu gewährleisten, sind Unternehmen verpflichtet, die aktuellen technologischen Entwicklungen zu berücksichtigen und angemessene Sicherheitsvorkehrungen zu treffen.
Als einer der führenden Partner in Telekommunikation und Schrittmacher für die digitale Zukunft von Mittelstand, Großkunden und Kommunen in Deutschland bietet Plusnet ein vielfältiges Portfolio an sicheren Lösungen für Internet, Telefonie und Vernetzung sowie Gigaspeed-Technologie. Als Teil der EnBW, einem der größten Energieversorger Deutschlands, verfügt Plusnet über ein tiefgreifendes Verständnis der Anforderungen und Herausforderungen, mit denen Betreiber kritischer Infrastrukturen konfrontiert sind.
Die ISO-Zertifizierungen von Plusnet, darunter insbesondere die ISO/IEC 27001 für Informationssicherheitsmanagement (ISMS), sind ein Beleg für das Engagement des Unternehmens, höchste Sicherheitsstandards zu erfüllen und kontinuierlich zu verbessern.
Tipp
Schon jetzt vormerken lassen