Cybersecurity im Fokus Countdown zur NIS2-Umsetzung

Anbieter zum Thema

FTAPI Software GmbH

cyberintelligence.institute GmbH

Bis zu 40.000 deutsche Unternehmen sind von der NIS2-Richtlinie betroffen: Strengere Cybersecurity-Anforderungen, Meldepflichten und hohe Bußgelder. Erfahren Sie, wie ISO 27001 bei der Umsetzung unterstützt und warum schnelles Handeln jetzt entscheidend ist.

Die Europäische Union (EU) hat 2022 die Richtlinie (EU) 2022/2555 zur Netzwerk- und Informationssicherheit (NIS2-Richtlinie) verabschiedet, um die Cybersicherheit in der EU zu verbessern. Nun hat das Bundeskabinett seinen Entwurf zum Umsetzungsgesetz (UmsuCG-E) am 22. Juli 2024 vorgelegt (Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informations­sicherheits­managements in der Bundesverwaltung, Regierungsentwurf). Jetzt beschäftigen sich Bundestag und Bundesrat mit dem Regierungsentwurf. Worauf können sich Unternehmen nun gefasst machen?

Von NIS1 zu NIS2

Die Vorgängerrichtlinie stellte 2016 den ersten Schritt zur Stärkung der Cybersicherheit kritischer Sektoren dar. Aufgrund zunehmender Digitalisierung und sektorenübergreifender Verflechtung stieg die Verwundbarkeit von Cyber-Systemen. Die NIS2-Richtlinie soll die erkannten Sicherheitslücken schließen. Der Branchenverband der deutschen Informations- und Telekommunikationsunternehmen (Bitkom e.V.) schätzt, dass Cyberangriffe für Unternehmen in Deutschland jährlich Schäden von rund 210,7 Milliarden Euro verursachen (Regierungsentwurf, S. 3)

Wer ist betroffen?

Neben kritischen Infrastrukturen (KRITIS) wie Energie, Gesundheit und Verkehr, erweitert sich der Anwendungsbereich um die Gruppen „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“.

„Besonders wichtige Einrichtungen“ nach § 28 BSIG-E (Art. 1 UmsuCG-E) umfassen etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter. Zudem sind Anbieter öffentlicher Telekommunikationsdienste mit mind. 50 Mitarbeitern oder Jahresumsatz und -bilanzsumme von je mind. 10 Millionen Euro sowie Anbieter von Waren und Dienstleistungen bestimmter Sektoren nach Anlage 1 des BSIG-E mit mind. 250 Mitarbeitern bzw. Jahresumsatz von mind. 50 Millionen und -bilanzsumme von mind. 43 Millionen Euro erfasst. Während Regularien zur Cybersicherheit bereits seit NIS1 für die Sektoren Energie, Bankwesen, Trinkwasser, Verkehr, Gesundheit sowie digitale Dienste und Infrastrukturen galten, sind nun auch die Sektoren Weltraum, Post- und Kurierdienste, Verwalter von IKT-Diensten, Anbieter öffentlicher Netze und Kommunikationsdienste sowie die öffentliche Verwaltung eingeschlossen.

Sonstige Vertrauensdiensteanbieter, Anbieter und Betreiber öffentlicher Telekommunikationsdienste mit unter 50 Mitarbeitern und Jahresumsatz und -bilanzsumme von je mind. 10 Millionen Euro und Anbieter von Waren und Dienstleistungen nach Anlage 1 und 2 BSIG-E mit mind. 50 Mitarbeitern und Jahresumsatz und -bilanzsumme von je mind. 10 Millionen Euro gehören zu den „wichtigen Einrichtungen“. Neben den genannten Sektoren sind hier die Bereiche Forschung, Abfall und Abwasser, sowie Produktion und Verarbeitung von diversen Gütern (bspw. Lebensmittel, Medizin, chemische Stoffe) erfasst.

Bis zu 40.000 Unternehmen in Deutschland sind von den neuen Regelungen betroffen. Das Bundesamt für Sicherheit in der Informationstechnik (BMI) bietet eine auf dem aktuellen Stand befindliche, rechtlich aber unverbindliche, Betroffenheitsprüfung für Unternehmen an. Dieses Tool kann Unternehmen bei der Betroffenheitsermittlung als Orientierungshilfe dienen. Um aber insbesondere komplexe Konstellationen, wie etwa eine Konzerneinbindung, rechtssicher einordnen zu können, bedarf es stets einer konkreten Einzelfallprüfung.

Deutsches Gesetz zur NIS2-Richtlinie verabschiedet

Das Warten auf NIS 2 hat (fast) ein Ende

Welche Pflichten kommen auf Unternehmen zu?

Im Vordergrund steht die Pflicht zur Einrichtung von Risikomanagementsystemen (§ 30 BSIG-E), die Verfügbarkeit, Integrität und Vertraulichkeit der Informationstechnik (IT) sicherstellen. Unternehmen haben Konzepte zur Risikoanalyse und Sicherheit der IT, wie Verschlüsselungen, diverse Passwort-Authentifizierungslösungen und Regulierung von Zugriffsberechtigungen, zu entwickeln. Die Maßnahmen müssen die Aufrechterhaltung des Betriebs gewährleisten sowie zu Krisenmanagement und zur Bewältigung von Sicherheitsvorfällen fähig sein. Dabei ist die Cybersicherheit in Lieferketten einzuschließen. Das BSIG-E hat also auch Einfluss auf die Cybersicherheitsarchitektur der Unternehmen, die lediglich Teil einer Lieferkette eines unmittelbar betroffenen Unternehmens sind, das auch dann haftet, wenn eine Nichtumsetzung innerhalb der Lieferkette erfolgt.

Nach § 38 BSIG-E ist das Risikomanagement von der Geschäftsleitung zu überwachen, die hierzu erforderliche Kenntnisse über regelmäßige Schulungen erwerben muss.

Alle Maßnahmen müssen dem Stand der Technik entsprechen, wobei im Rahmen der Verhältnismäßigkeit das Risikomaß für Gesellschaft und Wirtschaft sowie Einrichtungsgröße und Kosten berücksichtigt werden. Für Betreiber kritischer Anlagen, die das BMI per Verordnung nach § 58 Abs. 4 BSIG-E bestimmt, gelten nach § 31 BSIG-E weitreichendere Maßnahmen als verhältnismäßig.

Unternehmen sind nach §§ 33, 34 BSIG-E verpflichtet, sich unter Nennung des Sektors beim BMI zu registrieren. Betreiber kritischer Anlagen müssen zudem regelmäßig die Erfüllung der Anforderungen des Risikomanagementsystems nachweisen.

Besteht der Verdacht auf einen „erheblichen Sicherheitsvorfall“, also dass durch schwerwiegende Betriebsstörungen finanzielle Verluste für die Einrichtung oder andere Schäden außerhalb der Einrichtung drohen, begründet dies nach § 32 BSIG-E eine Meldepflicht innerhalb von 24 Stunden nach Kenntniserlangung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Die Erstmeldung ist innerhalb von 72 Stunden mit einer Bewertung zu aktualisieren. Nach einem Monat sind detaillierte Angaben zum Umgang mit dem Sicherheitsvorfall vorzulegen. Dabei kann es nach § 35 BSIG-E auch zu Unterrichtungspflichten gegenüber Dienste-Empfängern kommen.

Was ist für Unternehmen jetzt zu tun?

Bei Pflichtverletzungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Dabei kann die Geschäftsleitung eine Binnenhaftung treffen, wenn diese ihre Überwachungs- und Schulungspflichten nach § 38 BSIG-E verletzt.

Die EU setzte eine Umsetzungsfrist bis zum 17. Oktober 2024 – das Bundesministerium für Inneres und Heimat rechnet aber nach einem am 18. September 2024 veröffentlichten unverbindlichen Zeitplan erst zum März 2025 mit einem Inkrafttreten. Der vorliegende Regierungsentwurf sieht jedenfalls keine Übergangsfristen vor – die Regelungen sollen mit Verkündung in Kraft treten, denn „die für die Verpflichtungen […] maßgeblichen Inhalte der NIS-2-Richtlinie [seien] bereits seit dem Kommissionsentwurf vom Dezember 2020 bekannt“ (Regierungsentwurf, S. 208).

Bereits heute bleibt Unternehmen also nicht viel Zeit die zu erwartenden Anforderungen zu erfüllen. Dass der Entwurf noch durch das parlamentarische Verfahren muss, bedeutet für Unternehmen aktuell nur, dass sie für Vorbereitungen auf die Pflichten auf die NIS2-Richtlinie und die aktuelle Entwurfsfassung verwiesen sind.

Wie können die Normen ISO 27001 und ISO 27002 bei der Einhaltung der Pflichten aus der NIS2-Richtlinie helfen?

Eine Handlungsoption wäre die Einrichtung von zertifizierten Risikomanagementsystemen nach den internationalen Normen ISO/IEC 27001 und ISO/IEC 27002. ISO/IEC 27001 definiert die Anforderungen für die Implementierung, Aufrechterhaltung und Weiterentwicklung eines Informations­sicherheits­management­systems (ISMS). Die Implementierung eines solchen ISMS erfolgt dabei auch durch die Anwendung unterschiedlicher Sicherheitsmaßnahmen (sogenannter Controls) aus dem normativen Anhang A der ISO 27001. Die ISO 27002 gibt weiterführende Hinweise und Implementierungsdetails für die Umsetzung dieser Controls.

Vergleicht man insbesondere die Anforderungen an ein Risikomanagementsystem nach § 30 BSIG-E mit den Vorgaben zu Struktur und Methodik eines ISMS nach ISO 27001 und den Controls der ISO 27002 lässt sich feststellen, dass ein ISMS nach ISO-Normen die Anforderungen der NIS2 grundsätzlich erfüllt. Damit bietet die Zertifizierung nach ISO 27001 einen ersten Indikator für die konforme Umsetzung der Anforderungen aus der NIS2 und kann gegebenenfalls sogar als Nachweis dafür dienen. Dabei ist zu beachten, dass der Anwendungsbereich des zertifizierten ISMS die Geschäftstätigkeiten umfasst, die das Unternehmen als „wichtige“ bzw. „besonders wichtige“ Einrichtung qualifizieren.

Hinsichtlich der Anforderungen zur Melde-, Registrierungs-, Überwachungs- und Schulungspflichten gehen die Pflichten aus der NIS2 über die der ISO 27001 hinaus. Die ISO 27001 verlangt aber ausdrücklich die Berücksichtigung externer gesetzlicher Vorgaben und bietet notwendige Prozesse und Controls, um diese besonderen Anforderungen der NIS2 leicht in das ISMS zu integrieren.

Ein bewährtes und empfohlenes Vorgehen aus der Praxis ist es daher die Anforderungen aus der NIS2 auf das ISMS nach ISO 27001 abzubilden und aufzunehmen. Dadurch wird der Regelungsumfang der NIS2 vollständig in das bestehende ISMS integriert und ist zukünftig auch Bestandteil der regelmäßigen externen Auditierung. Dieses Vorgehen ermöglicht es ISO 27001 zertifizierten Unternehmen mit sehr geringem Aufwand die Umsetzung der Anforderungen aus der NIS2 zu überprüfen und nachzuweisen.

Aussicht

Unternehmen müssen sich nun auf eine striktere Cyber­sicherheits­regulierung einstellen. Mit Blick auf Bußgelder und Haftungsfragen, sollten Unternehmen schnell reagieren und Maßnahmen zur Erfüllung der Anforderungen implementieren und mögliche Änderungen und Konkretisierungen im Gesetzgebungsverfahren genau verfolgen. Dies bedeutet aber kein Abwarten bis zum Inkrafttreten, denn Unternehmen die frühzeitig handeln, sind besser gerüstet, die finalen Vorgaben fristgerecht umzusetzen und die eigene Cyberinfrastruktur nachhaltig zu stärken.

Die Autoren

(ID:50199827)