NIS2-Anforderungen an Unternehmen

NIS2 ist eine EU-Richtlinie, die darauf abzielt, die Cybersicherheit und die Widerstandsfähigkeit in systemrelevanten und kritischen Sektoren zu stärken. In Dänemark wurde die Richtlinie durch das NIS2-Gesetz umgesetzt, das unter anderem Anforderungen an das Risikomanagement, Sicherheitsmaßnahmen, die Meldung von Vorfällen, das Lieferantenmanagement, die Verantwortung der Geschäftsleitung und die Dokumentation festlegt.

NIS2 kann sowohl private als auch öffentliche Organisationen umfassen. Ob eine Organisation unter die Verordnung fällt, hängt unter anderem vom Sektor, der Größe und der konkreten Rolle der Organisation in der Lieferkette ab. Zu den relevanten Sektoren zählen unter anderem Energie, Verkehr, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, IT-Dienstleistungen, öffentliche Verwaltung, Lebensmittel, Abfallwirtschaft und Produktion.

Nesp.ONE hilft dabei zu klären, ob die Organisation unter NIS2 fällt, welche Anforderungen gelten und wie die Vorgaben in konkrete Sicherheitsmaßnahmen, Dokumentation und laufende Nachverfolgung umgesetzt werden können.

Erfahren Sie hier mehr über NIS2: EUR.lex, Samsik.dk, Europa.eu,Retsinformation.dk

NIS2 verlangt, dass die betroffenen Organisationen risikobasiert vorgehen und angemessene technische, organisatorische und betriebliche Sicherheitsmaßnahmen ergreifen. Das bedeutet, dass Sicherheitsmaßnahmen auf den konkreten Risiken, Systemen, Lieferanten und kritischen Diensten der Organisation basieren müssen.

Die Anforderungen umfassen unter anderem das Vorfallmanagement, Notfallvorsorge und Geschäftskontinuität, Lieferantenmanagement, Zugangskontrolle, Asset-Management, Verschlüsselung (sofern relevant), Sensibilisierung, Cyberhygiene und Dokumentation. Ziel ist es, nicht nur Daten zu schützen, sondern auch das Risiko von Betriebsstörungen, Lieferausfällen und Vorfällen zu verringern, die Kunden, Bürger, Kooperationspartner oder gesellschaftskritische Funktionen beeinträchtigen könnten.

Nesp.ONE hilft dabei, relevante Anforderungen zu ermitteln, notwendige Maßnahmen zu priorisieren und einen strukturierten Ansatz zu etablieren, der sowohl die Einhaltung von Vorschriften als auch ein höheres Sicherheitsniveau gewährleistet.

Ein risikobasierter Ansatz bedeutet, dass die Organisation ihre Sicherheitsmaßnahmen danach priorisieren muss, wo die Folgen eines Vorfalls am größten sind (Weitere Informationen zum risikobasierten Ansatz finden Sie hier). Dies erfordert einen Überblick über Systeme, Daten, Prozesse, Lieferanten, Abhängigkeiten und die Dienstleistungen, die die Organisation erbringen muss.

Das bedeutet auch, dass nicht alle Sicherheitsmaßnahmen überall auf dieselbe Weise umgesetzt werden müssen. Kritische Systeme, geschäftskritische Prozesse und zentrale Lieferanten erfordern möglicherweise ein höheres Sicherheitsniveau als weniger kritische Bereiche. Ein risikobasierter Ansatz ermöglicht es, die Ressourcen gezielter einzusetzen und zu dokumentieren, warum bestimmte Maßnahmen Vorrang haben.

Nesp.ONE unterstützt bei der Risikobewertung, der Lückenanalyse und der Erstellung von Aktionsplänen, sodass die Organisation eine konkrete Grundlage erhält, um zielgerichtet auf die NIS2-Konformität hinzuarbeiten.

NIS2 räumt der Unternehmensleitung eine zentrale Rolle bei der Arbeit im Bereich der Cybersicherheit ein. Die Unternehmensleitung muss in der Lage sein, relevante Cybersicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und sicherzustellen. Dies erfordert keine detaillierten technischen Kenntnisse, sondern eine klare Entscheidungsgrundlage hinsichtlich Risiken, Verantwortlichkeiten, Prioritäten und notwendiger Maßnahmen.

Für die Organisation bedeutet dies, dass Cybersicherheit als Teil des gesamten Risikomanagements behandelt werden muss. Die Geschäftsleitung muss nachweisen können, dass in den Bereichen Sicherheit, Notfallvorsorge, Lieferantenmanagement und Vorfallbearbeitung strukturiert gearbeitet wird.

Nesp.ONE hilft dabei, die Führungsverantwortung durch Risikoprofile, priorisierte Aktionspläne, Berichterstattung und Dokumentation zu konkretisieren, die in der Geschäftsführung, im Vorstand und bei der Aufsicht genutzt werden können.

NIS2 schreibt vor, dass wesentliche Sicherheitsvorfälle innerhalb festgelegter Fristen gemeldet werden müssen. Grundsätzlich muss innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden ein Vorfallsbericht und spätestens einen Monat nach dem Vorfallsbericht ein Abschlussbericht übermittelt werden (Weitere Informationen zu den Anforderungen an die Meldung von Vorfällen finden Sie hier).

Dazu sind klare Verfahren erforderlich, um Vorfälle zu erkennen, zu bewerten, weiterzuleiten und zu dokumentieren. Die Organisation muss in der Lage sein, die Schwere des Vorfalls einzuschätzen, relevante Informationen zu sammeln und eine rechtzeitige Meldung an die zuständigen Behörden sicherzustellen.

Nesp.ONE unterstützt bei der Erstellung von IT-Notfallplänen, Berichtsverfahren und Aktionskarten, damit das Unternehmen schnell reagieren, die Folgen begrenzen und die Bearbeitung des Vorfalls dokumentieren kann.

NIS2 verlangt von den betroffenen Organisationen, dass sie sich aktiv um die Sicherheit in der Lieferkette kümmern. Das bedeutet, dass die Organisation relevante Lieferanten bewerten, angemessene Sicherheitsanforderungen stellen und überprüfen muss, ob diese Anforderungen eingehalten werden.

Das Lieferantenmanagement umfasst unter anderem Risikobewertung, Vertragsanforderungen, Zugriff auf Systeme und Daten, Subunternehmer, Notfallplanung und die Dokumentation von Sicherheitsmaßnahmen. Für Lieferanten bedeutet NIS2 zudem, dass sie mit verschärften Anforderungen von NIS2-betroffenen Kunden konfrontiert werden können, auch wenn sie selbst nicht unbedingt direkt davon betroffen sind.

Nesp.ONE hilft dabei, einen Überblick über Lieferantenrisiken zu gewinnen, relevante Sicherheitsanforderungen festzulegen und einen praktischen Prozess für die Nachverfolgung und Dokumentation einzurichten.

Die Nichteinhaltung der NIS2-Vorschriften kann zu Aufsichtsmaßnahmen, Anordnungen und erheblichen Sanktionen führen. Für wesentliche Einrichtungen können Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen. Für wichtige Einrichtungen können Geldbußen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Das Gesamtrisiko geht jedoch über Sanktionen hinaus. Mangelnde Cybersicherheit kann auch zu Betriebsstörungen, Lieferverzögerungen, Datenverlusten, erhöhten Kosten, vertraglichen Konsequenzen und einem Vertrauensverlust bei Kunden, Bürgern und Kooperationspartnern führen.

Nesp.ONE unterstützt bei der Etablierung eines strukturierten und dokumentierten Ansatzes für NIS2, damit das Unternehmen das Risiko sowohl regulatorischer als auch betrieblicher Folgen verringern kann.