Umsetzung von NIS-2, CRA und Co. Fünf Tipps zur Cybersecurity-Compliance

Anbieter zum Thema

Reusch Rechtsanwälte

Fsas Technologies GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Mit NIS-2 und dem Cyber Resilience Act stehen Unternehmen vor den größten Umbrüchen im europäischen Cybersicherheitsrecht seit Jahren. Fünf konkrete Praxistipps zeigen, wie Unternehmen die neuen Pflichten rechtssicher und zukunftsorientiert umsetzen können.

Die NIS-2-Richtlinie und der Cyber Resilience Act (CRA) bilden die neuen Grundpfeiler des europäischen Cybersicherheitsrechts. Während NIS-2 die Sicherheit von Netzwerken und Informationssystemen in wichtigen und besonders wichtigen Einrichtungen adressiert, regelt der CRA die Cybersicherheit von Produkten mit digitalen Elementen über deren gesamten Lebenszyklus. Beide Regime greifen ineinander und führen zu erheblichen Compliance-Pflichten für Unternehmen.

NIS-2-Umsetzung in Deutschland mit Haftung und Meldepflicht im Fokus

NIS 2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

NIS-2-Richtlinie: Neue Anforderungen und Haftungsrisiken

Die NIS-2-Richtlinie erfasst mittlere und große Unternehmen in 18 Sektoren, darunter Energie, Transport, Finanzwesen, Gesundheit, digitale Infrastrukturen und das verarbeitende Gewerbe. Durch den weiten Anwendungsbereich werden erstmals als auch viele bislang unregulierte Unternehmen erfasst. Betroffene Unternehmen müssen Risiken für die Cybersicherheit managen und geeignete technische und organisatorische Schutzmaßnahmen umsetzen. Die NIS-2-Richtlinie nennt insgesamt zehn Handlungsbereiche in denen Unternehmen aktiv werden müssen. Darunter sind unter anderem die Bewältigung von Sicherheitsvorfällen, Krisenmanagement, die Sicherheit des Personals und – für viele Unternehmen neu – Cybersicherheit der Lieferkette. Darüber hinaus nimmt die NIS-2-Richtlinie Vorstände und Geschäftsführer in den Fokus. Sie müssen die Umsetzung der Schutzmaßnahmen überwachen und haften bei Verletzung ihrer Pflicht zur Governance persönlich. Wichtige und besonders wichtige Einrichtungen müssen sich zudem bei der nationalen Aufsichtsbehörde registrieren und erhebliche IT-Sicherheitsvorfälle melden. Die Meldepflicht ist abgestuft ausgestaltet (24 Stunden: Erstmeldung, 72 Stunden: Detailmeldung, Ggfs. Fortschrittsbericht, 1 Monat nach Behandlung: Abschlussbericht). In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Aufsichtsbehörde. Verstöße können harte Maßnahmen der Aufsichtsbehörden und im schlimmsten Fall Geldbußen in Millionenhöhe nach sich ziehen.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Cyber Resilience Act: Cybersicherheit als Produkteigenschaft

Der CRA erfasst nahezu alle Hardware- und Softwareprodukte, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können – von Smart-Home-Applikationen bis hin zu industriellen Steuerungssystemen. Hersteller, Importeure und Händler dürfen solche Produkte nur dann im EU-Binnenmarkt bereitstellen, wenn sie die verbindlichen Cybersicherheitsanforderungen des CRA erfüllen. Diese umfassen insbesondere „Security by Design“ und „Security by Default“, die Durchführung einer systematischen Risikobewertung, die Erstellung einer technischen Dokumentation, ein kontinuierliches Schwachstellenmanagement sowie die fristgerechte Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Sicherheitsupdates sind für die gesamte Lebensdauer eines Produkts kostenfrei bereitzustellen. Die CE-Kennzeichnung dient als Nachweis der Konformität mit den CRA-Vorgaben und ist Voraussetzung für das Inverkehrbringen. Bei Verstößen drohen erhebliche Sanktionen, darunter Bußgelder von bis zu 2,5 Prozent des weltweiten Jahresumsatzes sowie behördliche Maßnahmen wie Vertriebsbeschränkungen, Rückrufe oder Marktverbote.

Cyber-Resilienz, die Tür zum EU-Markt

Was Hersteller jetzt über CRA und Produktsicherheit wissen müssen

Auswirkungen auf Compliance und Unternehmenspraxis

Durch die neuen regulatorischen Anforderungen wird Cybersicherheit wird zu einem zentralen Bestandteil von Governance und Compliance. Geschäftsleitungen sind verpflichtet, Cyberrisiken aktiv zu steuern, Verantwortlichkeiten eindeutig zuzuweisen und ausreichende personelle wie finanzielle Ressourcen bereitzustellen. Die Einrichtung eines eigenständigen Verantwortlichen für die Cybersicherheitsstrategie, wie z.B eines Chief Information Security Officer (CISO) – wird daher zunehmend Teil einer guter Unternehmenspraxis.

Praktisch extrem relevant und in der Umsetzung herausfordernd ist die Absicherung der gesamten Wertschöpfungskette. Unternehmen müssen Cyberrisiken bei Zulieferern und Dienstleistern strukturiert identifizieren, bewerten und steuern. Dies umfasst eine methodische Risikoanalyse und klare vertragliche Regelungen gegenüber Lieferanten und Dienstleistern. Zudem müssen Informationsaustausch und Incident-Response nicht nur in das unternehmensweite Krisenmanagement eingebettet werden, sondern auch im Austausch mit Dritten funktionieren.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Fünf Praxistipps für Unternehmen

Die folgenden fünf Praxistipps zeigen, wie Unternehmen die neuen Compliance-Anforderungen effizient umsetzen können:

• 1. Frühzeitige Compliance-Gap-Analyse
  Prüfen Sie Ihre Betroffenheit von NIS-2 und CRA und vergleichen Sie Ihre bestehenden Cybersecurity-Maßnahmen mit den gesetzlichen Anforderungen. Erstellen Sie auf dieser Basis einen Maßnahmenplan.

• 2. Vertragsgestaltung entlang der Lieferkette
  Verankern Sie Mindeststandards zur Cybersicherheit und spezifische Maßnahmen wie den Umgang mit Schwachstellen, Nachweise und Audits in Verträgen mit Zulieferern und Partnern.

• 3. Schulungen
  Führen Sie regelmäßige Schulungen für alle Mitarbeitenden im Unternehmen durch, um das Bewusstsein für Cybersicherheit und Cyberrisiken zu stärken.

• 4. Kontinuierliche Verbesserung
  Setzen Sie eine Gruppe aus internen und externen Experten ein, um den Reifegrad Ihres Unternehmen zu überwachen. Behalten Sie die Bedrohungslage, aber auch regulatorische Änderungen im Blick und Best Practices zu entwickeln.

• 5. Unternehmenskultur
  Verankern Sie Cybersicherheit als integralen Bestandteil der Unternehmensstrategie und -kultur und denken Sie daran: Cybersicherheit ist eine Leitungsaufgabe.

Ausblick

NIS-2 und der CRA markieren einen Paradigmenwechsel im europäischen Cyber­sicher­heits­recht. Cybersicherheit in Unternehmen sowie in Dienstleistungen und Produkten wird durch die neuen gesetzlichen Anforderungen von einem eher technischen Thema zu einer knallharten Compliance-Pflicht wird. Unternehmen sind deshalb gefordert, Cybersicherheit als strategisches Governance-Thema zu begreifen und Cybersecurity-Compliance als kontinuierlichen Prozess zu etablieren. Die Umsetzung erfordert erhebliche Investitionen, bietet aber die Chance, die eigene Resilienz und das Vertrauen bei Stakeholdern zu stärken.

Über den Autor: Rechtsanwalt Stefan Hessel, LL.M. ist Partner und Head of Digital Business bei der Kanzlei reuschlaw in Saarbrücken. Er berät Unternehmen und die öffentliche Hand zu komplexen Fragestellungen in den Bereichen IT-Recht, Cybersicherheit sowie Datenschutz.

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

(ID:50765132)