Was die EU NIS 2 Richtlinie für Unternehmen bedeutet

Die NIS 2-Richtlinie der EU soll die Cybersicherheit in Europa auf ein neues Niveau heben. Sie verschärft die Sicherheitsanforderungen für Unternehmen und erweitert den Geltungsbereich auf zusätzliche Sektoren. Damit reagiert die EU auf die gestiegenen Risiken durch Cyberangriffe und fördert eine stärkere Harmonisierung der Sicherheitsvorgaben innerhalb der Mitgliedstaaten.

Einführung in die NIS 2-Richtlinie

Die EU-Richtlinie zur Netzwerk- und Informationssicherheit, besser bekannt als NIS 2, ist der Nachfolger der ersten NIS-Richtlinie aus dem Jahr 2016. Sie wurde entwickelt, um auf die immer grösser werdenden Bedrohungen der Cybersicherheit innerhalb der EU zu reagieren, die insbesondere durch die zunehmende Digitalisierung und die COVID-19-Pandemie verschärft wurden. Die neue NIS 2-Richtlinie wurde am 16. Januar 2023 verabschiedet und die Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, diese in nationales Recht umzusetzen.

Die Hauptziele der NIS 2-Richtlinie sind es, die Sicherheitsanforderungen in der EU zu erhöhen, die Berichterstattung bei Sicherheitsvorfällen zu optimieren und die Sanktionsregelungen zwischen den Mitgliedstaaten zu harmonisieren. Dies wird durch eine Erweiterung des Anwendungsbereichs der Richtlinie auf weitere Sektoren und Einrichtungen erreicht. Die Richtlinie zielt darauf ab, alle relevanten Akteure, sowohl öffentliche als auch private, zu einem hohen Niveau der Cybersicherheit zu verpflichten. Damit wird eine stärkere Harmonisierung der Sicherheitsvorgaben innerhalb der EU erreicht, um den Schutz von kritischen Diensten zu verbessern und eine höhere Resilienz gegenüber Cyberangriffen zu gewährleisten.

Die NIS 2-Richtlinie stellt sicher, dass die EU auch in einer zunehmend digitalisierten Welt technologisch und regulatorisch aufgestellt ist, um den Herausforderungen der Cybersicherheit zu begegnen. In einer Zeit, in der die Bedrohungen durch Cyberkriminelle immer komplexer und aggressiver werden, ist es von entscheidender Bedeutung, ein hohes Sicherheitsniveau durch klare Vorgaben und strenge Auflagen zu gewährleisten. Dies gilt nicht nur für die kritischen Infrastrukturen, sondern auch für eine breite Palette an Unternehmen, die essenzielle Dienste für das gesellschaftliche Leben bereitstellen.

Warum ist NIS 2 notwendig?

Die NIS 2-Richtlinie entstand als Reaktion auf die zunehmenden Bedrohungen der Cybersicherheit. COVID-19 und die Digitalisierung haben die Abhängigkeit von digitalen Infrastrukturen erhöht und damit auch das Risiko für Cyberangriffe vergrössert. Die Bedrohungen durch Ransomware und andere Cyberangriffe sind inzwischen auf einem industriellen Niveau angelangt, das es notwendig macht, die Cybersicherheitsstandards innerhalb der EU zu vereinheitlichen und zu verbessern. Angriffe auf kritische Infrastrukturen und Unternehmen können verheerende Auswirkungen haben und weitreichende Konsequenzen für die Gesellschaft nach sich ziehen. Daher ist die Anpassung und Erweiterung der Richtlinie ein wesentlicher Schritt, um diesen Bedrohungen besser begegnen zu können.

Ein weiteres zentrales Element der NIS 2-Richtlinie ist die Stärkung der Cybersicherheit innerhalb von Lieferketten. Das bedeutet, dass nicht nur kritische Infrastrukturen abgesichert werden müssen, sondern auch deren Zulieferer und Dienstleister, um Risiken in der gesamten Lieferkette zu minimieren. Dies ist von besonderer Bedeutung, da viele Unternehmen eng mit Partnern und Zulieferern zusammenarbeiten und so potenzielle Sicherheitslücken entstehen können, die Angreifer ausnutzen könnten. Eine stabile und sichere Lieferkette ist entscheidend, um die Risiken für alle beteiligten Akteure zu minimieren und sicherzustellen, dass die Cybersicherheit umfassend betrachtet wird.

Die NIS 2-Richtlinie setzt sich auch zum Ziel, eine Kultur der Cybersicherheit innerhalb der gesamten EU zu fördern. Dies bedeutet nicht nur die Einführung von technischen und organisatorischen Aktionen, sondern auch die Förderung der Zusammenarbeit zwischen den EU-Mitgliedstaaten. Die Einrichtung nationaler Computer Security Incident Response Teams (CSIRTs) sowie die Benennung nationaler Behörden, die für die Cybersicherheitsstrategie und das Krisenmanagement zuständig sind, tragen dazu bei, eine starke Sicherheitsinfrastruktur zu schaffen. Die CSIRTs sind für die schnelle Reaktion auf Vorfälle und die Koordination mit anderen Ländern verantwortlich, um die Auswirkungen von Angriffen zu minimieren und die Sicherheit zu erhöhen.

Die NIS 2-Richtlinie erfordert zudem die Schaffung einer Kooperationsgruppe, die die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten unterstützt. Diese Gruppe fördert eine strategische Zusammenarbeit und sorgt dafür, dass die EU in der Lage ist, sich schnell auf neue Bedrohungen einzustellen. Der Informationsaustausch zwischen den Mitgliedstaaten ermöglicht es, Bedrohungen schneller zu identifizieren und zu bekämpfen, und hilft dabei, eine gemeinsame Sicherheitsbasis zu schaffen. Durch diese Massnahmen wird die EU widerstandsfähiger gegenüber Angriffen und kann besser auf Cyberbedrohungen reagieren.

Wesentliche Neuerungen der NIS 2-Richtlinie

Erweiterter Anwendungsbereich

Die ursprüngliche NIS-Richtlinie deckte eine Reihe von kritischen Sektoren ab, darunter Gesundheit, Energie, Transport und digitale Infrastruktur. Die NIS 2-Richtlinie erweitert diesen Anwendungsbereich auf 18 Sektoren, einschliesslich der öffentlichen Verwaltung, Forschung, Raumfahrt und der Lebensmittelversorgungskette. Diese Erweiterung ist notwendig, da viele der heute als kritisch angesehenen Sektoren zuvor nicht ausreichend durch die Gesetzgebung abgedeckt waren. Der erweiterte Anwendungsbereich stellt sicher, dass eine Vielzahl an wichtigen Infrastrukturen geschützt wird, wodurch die Resilienz der europäischen Gesellschaft gestärkt wird.

Zu den neu abgedeckten Sektoren gehören auch Bereiche wie Abfallwirtschaft, Raumfahrt, die Lebensmittelversorgungskette und Anbieter öffentlicher Postdienste. Diese Sektoren sind von entscheidender Bedeutung für das tägliche Leben und das allgemeine Wohlergehen der Bürger. Die Erweiterung des Anwendungsbereichs sorgt dafür, dass nicht nur klassische kritische Infrastrukturen, sondern auch andere für das öffentliche Leben wichtige Dienste geschützt werden. Dies ist besonders wichtig, um sicherzustellen, dass die Cybersicherheitsmassnahmen möglichst umfassend greifen und alle potenziellen Angriffspunkte abgedeckt sind.

Ein weiterer wichtiger Aspekt der NIS 2-Richtlinie ist die Unterscheidung zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Wesentliche Einrichtungen sind Unternehmen, deren Dienste für das gesellschaftliche Leben von zentraler Bedeutung sind und deren Ausfall gravierende Auswirkungen haben könnte. Wichtige Einrichtungen sind ebenfalls von grosser Bedeutung, jedoch sind die möglichen Auswirkungen eines Ausfalls weniger weitreichend. Diese Unterscheidung ermöglicht es, die Ressourcen gezielt dort einzusetzen, wo sie am dringendsten benötigt werden, und die höchsten Sicherheitsanforderungen für die am meisten gefährdeten Bereiche anzuwenden.

Neue Anforderungen an die Cybersicherheit

Die NIS 2-Richtlinie sieht eine Reihe von neuen Anforderungen vor, darunter:

1. Risikomanagementmassnahmen: Man muss geeignete technische, organisatorische und operative Schritte ergreifen, um die Risiken für Netzwerke und Informationssysteme zu kontrollieren. Diese Massnahmen umfassen die Risikoanalyse, die Implementierung von Sicherheitsrichtlinien und die Sicherstellung von Backups und Krisenmanagement. Regelmässige Schwachstellenanalysen und Penetrationstests sind ebenfalls vorgeschrieben, um sicherzustellen, dass mögliche Angriffspunkte frühzeitig entdeckt und behoben werden können.
2. Berichtspflichten: Bei Vorfällen muss innerhalb von 24 Stunden eine Erstmeldung an die nationalen Behörden erfolgen, gefolgt von weiteren Updates innerhalb von 72 Stunden. Ziel ist es, Bedrohungen schneller zu identifizieren und eine EU-weite Zusammenarbeit bei der Bewältigung von Vorfällen zu fördern. Unternehmen müssen sicherstellen, dass alle sicherheitsrelevanten Informationen detailliert erfasst und gemeldet werden, damit die zuständigen Behörden über ein umfassendes Lagebild verfügen.
3. Haftung des Managements: Das Management wird direkt in die Verantwortung für die Einhaltung der NIS 2-Vorgaben genommen. Bei Verstössen drohen hohe Geldstrafen oder im Extremfall sogar ein temporäres Verbot der Ausübung von Managementaufgaben. Dies soll sicherstellen, dass die Unternehmensleitung die Cybersicherheit ernst nimmt und entsprechende Handlungen proaktiv unterstützt. Die persönliche Haftung der Geschäftsführung dient als Anreiz, sicherzustellen, dass die notwendigen Sicherheitsmassnahmen nicht nur geplant, sondern auch tatsächlich umgesetzt werden.
4. Zertifizierung und Audit: Die Einhaltung der Anforderungen muss durch regelmässige Audits oder Sicherheitsaudits nachgewiesen werden. Eine explizite Zertifizierung wird zwar nicht vorgeschrieben, kann jedoch durch nationales Recht erforderlich werden. Audits sind ein wesentliches Instrument, um die Umsetzung der Cybersicherheitsmassnahmen zu überprüfen und gegebenenfalls anzupassen. Es wird empfohlen, Sicherheitsstandards wie ISO/IEC 27001 zu verwenden, um sicherzustellen, dass die Sicherheitsmassnahmen den international anerkannten Best Practices entsprechen.

Strafen bei Nichteinhaltung

Die NIS 2-Richtlinie sieht hohe Strafen vor, wenn man die Anforderungen nicht erfüllt. Für „wesentliche Einrichtungen“ sind Geldbussen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorgesehen, je nachdem, welcher Betrag höher ist. Für „wichtige Einrichtungen“ sind Strafen von bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes möglich. Diese hohen Strafen sind darauf ausgelegt, die Einhaltung der Sicherheitsanforderungen zu erzwingen und sicherzustellen, dass Cybersicherheit als Priorität betrachtet wird. Neben den finanziellen Strafen können auch persönliche Haftung und rechtliche Konsequenzen für die Unternehmensleitung entstehen, insbesondere wenn es zu schweren Verstössen kommt.

Wie Sophos bei der Einhaltung der NIS 2 hilft

Sophos bietet eine Vielzahl von Lösungen an, die bei der Einhaltung der NIS 2-Richtlinie unterstützen. Diese umfassen unter anderem:

• Sophos Phish Threat: Ein Tool zur Schulung von Mitarbeitern, das simulierte Phishing-Angriffe durchführt, um die Sicherheit am Arbeitsplatz zu erhöhen. Durch kontinuierliche Schulungen werden Mitarbeiter in die Lage versetzt, Phishing-Angriffe zu erkennen und sich proaktiv dagegen zu schützen, was eine der effektivsten Massnahmen gegen Cyberbedrohungen darstellt. Blogpost zu Sophos Phish Threat
• Sophos Managed Detection and Response (MDR): Rund-um-die-Uhr-Überwachung der Sicherheitsumgebung, die Vorfälle erkennt und darauf reagiert, bevor sie sich negativ auswirken können. Sophos MDR kombiniert fortschrittliche Technologien mit menschlicher Expertise, um sicherzustellen, dass Bedrohungen rechtzeitig identifiziert und neutralisiert werden.
• Sophos Firewall: Bietet umfangreichen Netzwerkschutz, der auf die Anforderungen der NIS 2-Richtlinie abgestimmt ist, und ermöglicht es, Bedrohungen frühzeitig zu erkennen und zu stoppen. Die Sophos Firewall bietet tiefgehende Einblicke in den Netzwerkverkehr und ermöglicht eine präzise Steuerung des Datenflusses, um potenzielle Bedrohungen zu isolieren.
• Sophos Cloud Optix: Ein Tool, das kontinuierlich Cloud-Umgebungen überwacht und sicherstellt, dass Konfigurationsstandards eingehalten werden, um Manipulationen zu verhindern. Mit Sophos Cloud Optix können Unternehmen sicherstellen, dass ihre Cloud-Ressourcen stets den besten Sicherheitspraktiken entsprechen und potenzielle Risiken rechtzeitig identifiziert werden.
• Sophos XDR (Extended Detection and Response): Ermöglicht es Analysten, Bedrohungen über alle wichtigen Angriffsflächen hinweg zu erkennen, zu analysieren und darauf zu reagieren. Sophos XDR sammelt und korreliert Daten aus verschiedenen Quellen und bietet ein umfassendes Bild der Sicherheitslage eines Unternehmens, was eine schnelle Reaktion auf Vorfälle ermöglicht.

Die Sophos-Lösungen decken viele der in der NIS 2-Richtlinie vorgeschriebenen Anforderungen ab und helfen dabei, bestmöglich auf potenzielle Bedrohungen vorbereitet zu sein. Mit diesen umfassenden Schutzlösungen kann man sicherstellen, dass die erforderlichen Vorkehrungen zur Einhaltung der Richtlinie umgesetzt werden und gleichzeitig die allgemeine Sicherheitslage des Unternehmens gestärkt wird.

Mehr Informationen unter der Sophos NIS 2 Webseite.

Was muss man tun?

Um sicherzustellen, dass man die Anforderungen der NIS 2-Richtlinie erfüllt, sollten einige zentrale Massnahmen ergriffen werden:

1. Analyse der Anforderungen: Man muss sicherstellen, dass das eigene Unternehmen in die Kategorie „wesentliche“ oder „wichtige“ Einrichtung fällt und bewerten, welche
   Verfahren erforderlich sind, um die Anforderungen der NIS 2-Richtlinie zu erfüllen. Diese Analyse sollte gründlich und systematisch erfolgen, um Schwachstellen zu identifizieren und notwendige Schritte zur Behebung einzuleiten.
2. Implementierung von Strategien: Die erforderlichen technischen, organisatorischen und operativen Schritte müssen umgesetzt werden. Dazu gehören die Durchführung von Risikoanalysen, das Einrichten von Sicherheitsrichtlinien sowie die Implementierung eines Notfallmanagements und regelmässige Schulungen der Mitarbeiter. Mitarbeiterschulungen sind ein wichtiger Bestandteil der Sicherheitsstrategie, da die menschliche Komponente oft die grösste Schwachstelle darstellt.
3. Verwendung geeigneter Tools: Man sollte geeignete IT-Sicherheitslösungen nutzen, wie die von Sophos, um die Anforderungen der Richtlinie zu erfüllen und sicherzustellen, dass das Unternehmen geschützt ist. Die verwendeten Tools sollten
   wiederkehrend aktualisiert und ihre Wirksamkeit überprüft werden, um sicherzustellen, dass sie den neuesten Bedrohungen standhalten können.
4. Regelmässige Überprüfung und Anpassung: Die Cybersicherheitslandschaft verändert sich ständig, daher ist es wichtig, periodische Überprüfungen der Sicherheitsmassnahmen durchzuführen und diese gegebenenfalls anzupassen. Unternehmen sollten sicherstellen, dass sie auf dem neuesten Stand der Technik sind und ihre Sicherheitsstrategien kontinuierlich verbessern, um neuen Bedrohungen stets einen Schritt voraus zu sein.

Letzte Worte

Die NIS 2-Richtlinie stellt einen wichtigen Schritt zur Verbesserung der Cybersicherheit in Europa dar. Man sollte jetzt die erforderlichen Vorkehrungen ergreifen, um sicherzustellen, dass die neuen Anforderungen erfüllt werden und der Schutz der Netzwerke und Systeme verbessert wird. Dies ist besonders wichtig, da die Bedrohungen im digitalen Raum immer weiter zunehmen und nur durch eine gemeinschaftliche und koordinierte Vorgehensweise effektiv bekämpft werden können.

Mit der umfassenden Unterstützung durch Lösungen wie die von Sophos kann man diese Herausforderung meistern und sicherstellen, dass sowohl den Anforderungen der Richtlinie gerecht wird als auch die eigene Sicherheit gestärkt wird. Die Umsetzung der NIS 2-Richtlinie ist eine Gelegenheit, die eigene Sicherheitsarchitektur zu überprüfen und zu verbessern, um so nicht nur den gesetzlichen Anforderungen gerecht zu werden, sondern auch das Unternehmen insgesamt widerstandsfähiger gegen Cyberbedrohungen zu machen.