Neue Richtlinie stärkt IT-Sicherheit in Deutschland

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wird in Deutschland am 1. Oktober 2024 in Kraft treten. Dieses Gesetz basiert auf der erweiterten NIS-2-Richtlinie der Europäischen Union, die im Januar 2023 verabschiedet wurde und auf die steigende Zahl von Cyberangriffen auf Unternehmen reagiert. Die Richtlinie zielt darauf ab, die Cybersicherheit in den EU-Mitgliedsländern zu verbessern und einheitliche Standards zu schaffen. Sie bezieht nun auch viele kleinere und mittelständische Unternehmen ein, die zuvor nicht unter die Vorgängerregelung KRITIS fielen.

Die neue Richtlinie stellt sicher, dass Unternehmen, die eine wesentliche Rolle in Bereichen der Daseinsvorsorge, des Gemeinwohls oder der Wirtschaftsfunktion spielen, Mindestanforderungen an die Cybersicherheit erfüllen müssen. Diese Unternehmen müssen mindestens 50 Mitarbeiter beschäftigen und einen Jahresumsatz von über zehn Millionen Euro erzielen. Schätzungen zufolge betrifft dies in Deutschland etwa 25.000 bis 40.000 Unternehmen. Die NIS-2-Richtlinie umfasst verschiedene Branchen und Sektoren und stellt Anforderungen an das Cyber-Risikomanagement, die Überwachung und den Umgang mit Sicherheitsvorfällen.

Unternehmen müssen zunächst prüfen, ob sie von der NIS-2-Richtlinie betroffen sind. Diese Prüfung kann entweder durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder durch spezialisierte Berater erfolgen. Falls ein Unternehmen der Richtlinie unterliegt, muss es sich beim BSI registrieren und eine Kontaktstelle angeben. Um die Sicherheitsanforderungen zu erfüllen, ist es ratsam, eine Gap-Analyse durchzuführen, bei der bestehende Sicherheitsmaßnahmen mit den neuen Anforderungen abgeglichen werden. Dabei werden Lücken identifiziert und es werden entsprechende Maßnahmen entwickelt, um die Sicherheit zu verbessern.

Die Richtlinie gibt lediglich die Bausteine vor, wie Unternehmen ihre IT-Sicherheit gestalten sollen. Dazu gehören unter anderem Risikoanalyse, Back-up-Management, Krisenmanagement und sichere Kommunikationswege. Es sind Mindeststandards festgelegt, aber die konkrete Umsetzung obliegt den einzelnen Unternehmen. Bereiche wie Schwachstellenmanagement, Zugriffskontrolle und Verschlüsselung müssen berücksichtigt werden. Die neue Regelung bringt auch erhebliche finanzielle Konsequenzen mit sich. Bei Verstößen können Strafen in Höhe von bis zu zehn Millionen Euro oder zwei Prozent des globalen Umsatzes verhängt werden.

Die Richtlinie erhöht den Handlungsdruck auf viele Unternehmen, da sie eine zusätzliche Belastung und höhere Kosten mit sich bringt. Auf der anderen Seite soll sie dazu beitragen, die IT-Sicherheit zu erhöhen und Unternehmen widerstandsfähiger gegen Cyberangriffe zu machen.