NIS2-Umsetzungsfrist rückt näher So bereiten sich Mittelständler auf NIS2 vor

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Vogel IT-Akademie

Fsas Technologies GmbH

Ab dem 17. Oktober müssen rund 30.000 kleine und mittelständische Unternehmen in Deutschland die Vorgaben der NIS2-Richtlinie erfüllen. Viele Betriebe fürchten jedoch die Komplexität, die Kosten und den Personalaufwand, den das Thema mit sich bringt. Wie bereiten sich IT-Abteilungen unter Berücksichtigung dieser Aspekte optimal auf die NIS2-Umsetzung vor?

In seinem Bericht zur Lage der IT-Sicherheit in Deutschland beleuchtet das BSI jährlich die Bedrohungen im Cyberraum. Der Report für 2023 zeigt: Cyberattacken beschränken sich längst nicht mehr auf Kritische Infrastrukturen, die öffentliche Verwaltung und große Konzerne. Auch KMU geraten immer häufiger ins Visier von Cyberkriminellen. Sie werden sogar überproportional häufig angegriffen. Ein Hauptgrund ist laut Bericht die Tatsache, dass Angreifer gerade im Umfeld kleiner und mittlerer Unternehmen häufig kaum auf Widerstand stoßen. 51 Prozent der KMU sehen sich gemäß der Unterlage beim Thema IT-Sicherheit vor allem durch den Aufwand und die Kosten für den laufenden technischen Betrieb, Aktualisierungen und Anpassungen gebremst. Für 28 Prozent ist der Initialaufwand ein Hindernis.

Neues eBook von Security-Insider

Neue Regulierung für Datenschutz und IT-Sicherheit

Diese und einige weitere Zahlen belegen, dass der Mittelstand schon heute Schwierigkeiten mit der Umsetzung von Cybersicherheitsstrategien hat. Erschwerend kommt mit NIS2 nun eine neue Richtlinie aus Brüssel, die im Oktober 2024 nationale Gültigkeit erlangt. Das entsprechende „NIS2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetz“ zielt im Wesentlichen auf eine frühzeitige Erkennung von Cyberattacken und die Herstellung einer schnellen Reaktionsfähigkeit ab. In diesem Kontext kommt einiges an Arbeit auf IT-Teams, OT-Abteilungen, Compliance-Verantwortliche und Personalabteilungen zu. Unter anderem müssen sie organisatorische und technische Sicherheitsmaßnahmen einführen und einen zuverlässigen Betrieb der implementierten Technologien gewährleisten. Weiterhin sind Notfallpläne für die Aufrechterhaltung des Geschäftsbetriebs gefordert. Gleiches gilt für eine Schwachstellen-Analyse, welche die gesamte Hard- und Software des Unternehmens umfassen muss. Ebenso kommen Schulungspflichten für verschiedene Abteilungen hinzu, welche bei Smart Buildings bis hin zum Reinigungspersonal reichen.

So wird die Komplexität beherrschbar

Investiere ich in neue Technologien zur Digitalisierung des Kerngeschäfts oder in den Schutz der IT-Infrastruktur? Vor dieser vermeintlichen Entscheidung stehen Geschäftsführer im Mittelstand regelmäßig. Das Problem besteht darin, dass die Frage aufgrund der zunehmenden Cyberbedrohungslage im Grunde unzulässig ist. Denn keine Investition in Zukunftstechnologien ergibt Sinn, wenn sie nicht in ausreichendem Maße geschützt ist. Doch bewegen wir uns in Zeiten, die von hoher Inflation und einer ganzen Reihe von Krisen geprägt ist. Daher müssen finanzielle Entscheidungen genau durchdacht und klug getroffen werden – auch mit Blick auf NIS2. Dabei ist es zudem wichtig, die Komplexität der Thematik möglichst weit zu reduzieren. Was heißt das konkret?

Fakt ist: IT-Umgebungen sind heute hoch komplex, Fachkräfte rar, die Gehälter für Security-Spezialisten hoch und der Markt für Security-Lösungen unübersichtlich. Daher liegt es nahe, die Direktive im anspruchsvollen Umfeld von Netzwerk und Sicherheit an externe Spezialisten zu übertragen. Denn professionelle Dienstleister sind in der Lage, mit ganzheitlichen Ansätzen selbst in komplexen IT-Landschaften für ein angemessenes Security-Level zu sorgen. Die finanziellen Aufwände für solche Services sind überschaubar, auch bedingt durch den technologischen Fortschritt. Ein Beispiel ist Artificial Intelligence for IT Operations, kurz AIOps. Systeme dieser Art sind KI-gestützt. Sie identifizieren ungewöhnliche Muster im Nutzerverhalten vollautomatisch und in Echtzeit. Bei Auffälligkeiten werden menschliche Security-Spezialisten umgehend informiert und können so deutlich früher Maßnahmen einleiten. Damit ist im Übrigen eine Kernanforderung der NIS2-Richtlinie erfüllt. Künstliche Intelligenz ist bei Cybersecurity-Anbietern mittlerweile auch in einigen anderen Bereichen im Einsatz. Aufgaben, die früher mehrere Stunden dauerten, können dadurch jetzt in wenigen Minuten erledigt werden. Natürlich wirkt sich dies positiv auf das Kosten-Nutzen-Verhältnis aus.

Cybersicherheit wird zur Chefsache

Persönliche Haftungsrisiken aus der EU-Richtlinie NIS2

Praxisbeispiel: das schlanke Managed SOC

Ein konkretes Beispiel dafür, wie Unternehmen die NIS2-Vorgaben auch ohne zusätzliche Fachkräfte und hohe Investitionen erfüllen können, ist das Konzept des Managed SOC (Security Operations Center), auch SOC-as-a-Service genannt. Ein professionelles SOC verfügt über robuste Prozesse und vor allem über ein SIEM (Security Information and Event Management), welches im Zuge von NIS2 quasi zur Pflicht wird. Durch SOC-as-a-Service lassen sich wichtige Forderungen der Richtlinie wie Prävention, kontinuierliche Überwachung der Wirksamkeit und die Dokumentation verdächtiger sowie gefährlicher Events erfüllen.

Für ein externes Managed SOC spricht nicht nur die bevorstehende NIS2-Regulatorik. Es ist davon auszugehen, dass Unternehmen auch in Zukunft fortlaufend mit neuen Vorschriften und Anforderungen der EU konfrontiert werden. Hier jedes Mal erneut eigenes Know-how aufzubauen, neue Zertifizierungen zu erfüllen und zusätzlich in Hard- oder Software zu investieren, können sich gerade Mittelständler auf Dauer nicht leisten. Insofern lohnt sich das Outsourcing auch mit Blick auf die nächsten Jahre, wenn dadurch neben NIS2 alle derzeitigen und künftigen Compliance-Richtlinien fast automatisch erfüllt werden.

Weitere Vorteile eines externen SOC sind:

• Entlastung des eigenen IT-Teams, frei werdende Personalressourcen für wertschöpfende Themen

• Planbare, regelmäßige und überschaubare IT-Security-Kosten

• Vermeidung der Folgekosten und Imageschäden durch Cyberattacken

• Schutz sensibler Informationen wie Mitarbeiterdaten, Kundendaten und Know-how

Fazit

Beim Thema Cybersecurity gar nicht zu handeln, war schon immer fahrlässig. Spätestens durch die bevorstehende NIS2-Richtlinie ist Nichtstun nun endgültig keine Option mehr. Außerdem ist klar, dass ein erfolgreicher Cyberangriff am Ende meist weitaus teurer wird als sinnvolle Prävention. Insofern ist nun der richtige Zeitpunkt, in einen umfassenden Schutz der Unternehmens-IT zu investieren. Wer die internen personellen und finanziellen Ressourcen hierbei nicht überstrapazieren möchte, kann auf Outsourcing-Dienstleister zurückgreifen. Wichtig ist hierbei natürlich, dass der Anbieter NIS2-Konformität besitzt und auch die Anforderungen anderer einschlägiger Regularien erfüllen kann.

Über den Autor: Hannes Wierer ist seit März 2023 Geschäftsführer von Nomios Germany, einem Anbieter von Lösungen und Dienstleistungen für Cybersecurity sowie für sichere Netzwerke.

(ID:49930086)