Unternehmen haben bei NIS-2 wenig Zeit, offene Fragen und viel Arbeit Countdown zur NIS-2-Richtline

Anbieter zum Thema

G DATA CyberDefense AG

Insider Research

cyberintelligence.institute GmbH

Viele Unternehmen und IT-Verantwortliche wünschen sich neben einer klaren Aussage nach deren Position im Geltungsbereich der NIS-2 eine klar umrissene Beschreibung der Maßnahmen, die sie umsetzen müssen. Aber auch im aktuellen Referenten-Entwurf steht viel Abstraktes und wenig Konkretes. Da fällt es schwer, den Überblick zu behalten.

Die NIS-2-Direktive verleiht der IT-Sicherheit eine gesetzliche Grundlage. Viele Unternehmen treiben zwei Fragen um: „Bin ich betroffen oder nicht?“ und „Was soll ich tun?“. Insofern sind die Änderungen zu begrüßen. Was sich viele Unternehmen und IT-Verantwortliche in der aktuellen Situation wünschen, ist neben einer klaren Aussage nach deren Position im Geltungsbereich der NIS-2 eine klar umrissene Beschreibung der Maßnahmen, die sie umsetzen müssen, um NIS-2-Compliance herzustellen. So funktioniert deutsches Recht aber nicht.

Der Teufel steckt im Detail

Der Grund dafür ist einfach: Als Artikelgesetz wird das deutsche NIS-2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetz (NIS2UmsuCG) nicht selbst die Vorschriften machen, sondern dazu viele andere Gesetze ändern und erweitern, wie etwa das Energiewirtschaftsgesetz (EnWG) oder das BSI-Gesetzt (BSIG). Erst hier wird vieles klarer werden. Denn viele gesetzliche Vorschriften sind eng an das angelehnt, was zum Beispiel die ISO-Norm 27001 vorschreibt. Mit dieser wiederum sind IT-Fachleute durchaus vertraut.

Antworten suchen

Der Weg zu einer Antwort auf die Frage „Gilt die NIS-2 für mein Unternehmen?“ führt unweigerlich einmal durch einen Paragrafendschungel und auf den Schreibtisch eines spezialisierten Juristen. Für die Bewertung der Gültigkeit muss nicht nur das NIS2UmsuCG herangezogen werden, sondern auch die Texte der referenzierten Gesetze wie auch die NIS-2 selbst. Das ist für IT-Verantwortliche naturgemäß schweres Geläuf. Benjamin Richter hat es in seinem Artikel auf den Punkt gebracht, in dem er sagt „Hier prallen zwei Welten aufeinander“.

Keinen Mut zur Lücke

Während vieles noch unklar ist, steht eine Sache bereits fest Der Tag, an dem das NIS2UmsuCG in Kraft treten wird. Am 17. Oktober 2024 soll es soweit sein, wenn es nach dem Willen der EU geht. Objektiv betrachtet wird Deutschland dieses Datum nicht halten können. Ein Inkrafttreten Anfang 2025 ist da realistischer. Wer erst jetzt das Thema für sich als relevant identifiziert hat, wird es nicht rechtzeitig zu diesem Stichtag schaffen, ganz gleich ob im Oktober dieses Jahres oder mit einem Aufschub auf Anfang 2025. Das ist Fakt. Grund genug, die Sache anzugehen ist es allemal. Daraus, dass ein Unternehmen möglicherweise noch nicht weiß, ob es betroffen ist, leiten Verantwortliche ab, dass kein Handlungsbedarf besteht. Der vielzitierte Fachkräftemangel sowie die Furcht vor Mehrkosten leisten den Verzögerungen weiteren Vorschub, der allerdings unangebracht ist.

Keine Gnadenfrist

Auch wenn bestimmte Unternehmen erst frühestens 2027 ihre Compliance nachweisen müssen, schützt das nicht vor Sanktionen. Falls nach dem 17. Oktober 2024 ein sicherheitsrelevanter Vorfall eintritt, dessen Auswirkungen eine Nichterfüllung der Compliance-Auflagen nahelegen, kann es für das betroffene Unternehmen theoretisch sehr unangenehm werden. Auf diesem Weg droht schlimmstenfalls ein Platz in den Lehrbüchern der deutschen und europäischen Rechtsgeschichte – eine zweifelhafte Ehre, auf die die allermeisten Unternehmen keinen gesteigerten Wert legen werden. Der bessere Weg: Sich externe Expertise suchen und so schnell wie möglich, aber ohne Hast, das Projekt „NIS-2“ voran zu treiben.

Vererbte Pflichten

Viele Unternehmen werden von der NIS-2 allerdings nicht direkt betroffen sein, sondern indirekt – etwa, weil sie ein Unternehmen aus einem der von der NIS-2 betroffenen Sektoren beliefern. Diese Unternehmen haben die Pflicht, ihre Lieferkette mit geeigneten Mitteln abzusichern. An dieser Stelle kommen Zulieferbetriebe ins Spiel. Die NIS-2 sieht nämlich vor, dass auch diese einen gewissen Sicherheitsstandard erfüllen müssen.

Insofern sind Unternehmen generell gut beraten, sich mit den Vorgaben der NIS-2 zu befassen, auch wenn sie nicht einem der 18 von der NIS-2 regulierten Sektoren angehören. Denn die NIS-2 enthält viel Potenzial für die Verbesserung von IT-Sicherheit, und die ist nicht nur in kritischen Geschäftsbereichen relevanter denn je.

Über den Autor: Andreas Lüning ist Gründer & Vorstandsmitglied bei G DATA CyberDefense.

(ID:50054013)