IT-Systeme sichern und Risiken managen Was NIS2 für Internetknoten und ihre Kunden bedeutet

Anbieter zum Thema

DE-CIX Management GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die NIS2-Richtlinie soll die digitale Wirtschaft Europas widerstandsfähiger machen. Wir zeigen wie resiliente Infrastrukturen Eigeninteressen zur Basis des Gemeinwohls machen, was hat NIS2 mit der Straßenverkehrsordnung gemein und welche Rolle spielen die neuen Vorgaben der Europäischen Union für Internetknoten und ihre Kunden spielen.

Mary Ward war eine Pionierin. Sie galt als Zeichentalent, erforschte Insekten und schrieb mehrere Bücher über Mikroskopie, die sie zu einer der prominentesten Wissenschaftlerinnen der britischen Inseln machten – für eine Frau seinerzeit ein Novum. Ebenfalls ein Novum war ihr Dampfwagen, mit dem sie durch Irland rollte. 1869 brachte ihr das Gefährt traurige Berühmtheit ein: Ward gilt als das erste Opfer im Straßenverkehr. In einer Kurve rutschte die 42-Jährige von der Sitzbank, fiel vor den Karren, der sie daraufhin überrollte. Anschnallgurte, wie sie das Leben der achtfachen Mutter vermeintlich gerettet hätten, waren damals nicht vorgeschrieben. Erst um 1900 entstanden Regeln für den Verkehr, wie wir sie heute kennen, um Schaden abzuwenden und das Zusammenspiel aller für alle sicherer zu machen. Nicht anders NIS2: Mit dem Ziel, Europa besser vor Cybergefahren zu schützen, hat die Europäische Union (EU) die Richtlinie herausgegeben.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

NIS2: Verkehrsordnung für mehr Cybersicherheit in Europa

Egal, ob Energie, Wasser, der Banken- und Finanzsektor oder die Gesundheitsbranche – NIS2 möchte gewissermaßen als Verkehrsordnung für die digitalisierte Wirtschaft eine Kultur der Sicherheit etablieren. Und das in allen privaten und öffentlichen Bereichen, die ökonomisch und gesellschaftlich von entscheidender Bedeutung und im besonderen Maße von Informations- und Kommunikationstechnologien abhängig sind. Die Leitplanken, die die EU setzt, gehen aus der 2016 eingeführten Cybersicherheitsvorschrift (NIS1) hervor. Die Idee des Staatenbundes: Den bestehenden Rechtsrahmen mit NIS2 zu modernisieren und auf die sich verschärfende Bedrohungslage anzupassen. Denn zwar schafft mehr Digitalisierung auch mehr Chancen für Wertschöpfung. Aber jede weitere digitale Chance öffnet zudem potenzielle Einfallstore für Dritte mit unlauteren Absichten.

Von Hackern über Botnetze bis hin zu Pannen und Unfällen: NIS2 erweitert den Kreis der Betriebe und öffentlichen Einrichtungen, die ihre IT-Landschaft resilienter ausrichten müssen. Und das zum einen direkt, indem die Regeln für mehr Institutionen gelten und zum anderen indirekt, indem sie sich auf viele auswirken, die Teil einer Lieferkette sind – von Softwareentwicklern über Cloud-Anbieter bis hin zu Wartungsfirmen und Transportdienstleistern. Beispiel Crowdstrike: Am 19. Juli 2024 lieferte der Cybersicherheitsanbieter ein fehlerhaftes Update aus, das Computersysteme rund um den Globus ausfallen ließ. Rund 8,5 Millionen Windows-Geräte etwa bei Fluggesellschaften, Krankenhäusern und Einzelhändlern waren betroffen. Eine eigentlich einfache Panne, die sich jedoch in einer digital durchgängig vernetzten Wirtschaft zum beispiellosen Problem auswuchs. Millionen-Schäden und tagelanges Chaos nicht nur bei deutschen Unternehmen waren die Folge.

Über 8,5 Millionen Windows-Geräte betroffen

Vom Crowdstrike-Ausfall betroffen? Was jetzt zu tun ist!

Keine Compliance-Übung: IT-Risiken aus wirtschaftlichem Eigeninteresse abwägen

Digital widerstandsfähiger, resilienter und reaktionsschneller im Geschäft: Genau darauf zielt NIS2 ab. Und genau vor diesem Hintergrund müssen Unternehmer die Regulierung und sich selbst – als Unternehmen – betrachten. Heißt konkret: Firmen müssen mögliche Risiken und Folgen für die IT bereits aus reinem wirtschaftlichem Eigeninteresse heraus abwägen. NIS2 ist keine Compliance- und Checklisten-Fingerübung, sondern ein Wettbewerbsvorteil, wie ein Resilienz-Whitepaper von PWC festhält.

Die EU teilt Firmen, auf die NIS2 zutrifft, in zwei Kategorien ein: Wesentliche Unternehmen stellen wichtige Services bereit, die notwendig sind, damit öffentliche Dienste etwa im Verkehr, der Energieversorgung oder in der Bankenbranche überhaupt funktionieren können. Da bei Ausfällen weitreichende Folgen für die Gesellschaft drohen, unterliegen Firmen aus diesem Kreis strengeren Anforderungen. Anders das Schutzniveau bei den wichtigen Unternehmen: Hier definieren Schwellenwerte wie beispielsweise der Jahresumsatz oder die Mitarbeiteranzahl, ob und welche Maßnahmen umzusetzen sind. Maßnahmen, die zudem weniger streng sind, aber die NIS2 mit Blick auf die eigene IT deutlich konkreter, feingliedriger und vielschichtiger vorschreibt als NIS1. So brauchen beispielsweise die rund 30.000 von NIS2 in Deutschland betroffenen Unternehmen ab sofort ein Information Security Management System (ISMS), um Gefahren zu erkennen, Risiken strukturiert auszuschließen und IT-Landschaften abzusichern. Zudem sind IT-Systeme stets zu aktualisieren, Security Standards einzuhalten und zu dokumentieren sowie Meldepflichten zu beachten, falls es zu Vorfällen kommt.

In zehn Schritten zur NIS-2-Konformität, Teil 3

Das kleine Einmaleins von NIS 2

Internetknoten und NIS2: Mehr Widerstandsfähigkeit für jeden und alle

Beispiel Telekommunikation: Netze sind widerstandsfähig, wenn alle Ebenen wechselseitig sicher sind – vom Seekabel über Internetknoten bis hin zu Rechenzentren. Heißt praktisch: Jede Infrastruktur ist so resilient, wie die einzelnen Elemente, aus der sie besteht. Wenn also alle die Komponenten, die sie für andere bereitstellen, redundant und diversifiziert auslegen, wird das Gesamtsystem für jeden widerstandsfähiger – und das für Provider und ihre Kundschaft. Telekommunikationsanbieter gehen in dem Punkt mit gutem Beispiel voran. Im Unterschied zu vielen anderen Branchen verfügen 38 Prozent der Firmen bereits über einen vollständig integrierten Resilienzansatz wie ein ISMS, was Zahlen von PWC zeigen. Nicht anders Interconnection-Provider: Mit Blick auf NIS2 müssen einige Betreiber etwa beim Identity- und Access-Management nachschärfen. Grundsätzlich aber gehörten Zusammen­schaltungs­dienste schon nach NIS1 zur kritischen Infrastruktur. Zudem sind Internetknoten wie DE-CIX nach dem IT-Grundschutz vom Bundesamt für Sicherheit in der Informationstechnik und ISO27001 zertifiziert. Beides sind anerkannte Frameworks und Standards für die IT- und Informationssicherheit, die NIS2 einfordert.

IT-Anbieter, die einen professionellen und sicheren Betrieb für sich und ihre Kundschaft gewährleisten wollen, waren schon immer gut beraten, sich an Vorgaben und Standards zu orientieren, wie sie NIS2 vorschreibt. Und das losgelöst davon, in welchem Umfang die eigene Firma betroffen ist. Beispiel Automobilproduktion: Die Hersteller haben ISO 27001 um Sektoren-spezifische Anforderungen erweitert und auf der Basis einen eigenen, branchenspezifischen Standard für die Informationssicherheit – TISAX – entwickelt. Security Operation Center (SOC) schirmen IT-Infrastrukturen in Büros und Fabriken ab, halten Produktionsanlagen sicher verfügbar und schützen vertrauliche Datenflüsse für die Prototypen­entwicklung.

Mangelndes Bewusstsein und fehlende Maßnahmen

Viele Unternehmen ignorieren NIS2 aktuell noch

Gefühlssache NIS2: Online Fakten schaffen und Betroffenheit ermitteln

Schulungen, Meldesysteme sowie Backup- und Recovery-Strategien – wenn sich Unternehmen mit NIS2 jetzt überfordert sehen, wie eine Umfrage des eco – Verbands der Internetwirtschaft aus dem Sommer 2024 nahelegt, dann drückt sich darin eher Unsicherheit aus. Ein Gefühl, das entstanden ist, weil NIS2 nach den Vorstellungen der EU auch in Deutschland längst Gesetz sein sollte. Aber solange hierzulande zwar Referentenentwürfe kursieren, jedoch nationale Umsetzungsgesetze fehlen, üben sich Firmen in Zurückhaltung. Das die Regulierung nach NIS2 weitergeht, steht bereits fest. Weil digitale Dienste im Leben immer wichtiger werden, treibt die EU die Gesetzgebung mit dem Cyber Resilience Act im Jahr 2027 voran. Und egal ob auf der Datenautobahn oder im Straßenverkehr: Seit ihrem Inkrafttreten im Jahr 1934 hat Deutschland allein seine Straßenverkehrsordnung mehr als 30-mal novelliert – von Tempolimits über Fahrbahnmarkierungen bis hin zur allgemeinen Anschnallpflicht, ganz im Sinne einer Mary Ward. Unternehmen, die ermitteln möchten, ob NIS2 für sie gilt, können das per Selbsttest auf der BSI-Website herausfinden.

Über den Autor: Dr. Thomas King ist seit 2018 Chief Technology Officer (CTO) bei DE-CIX und seit 2022 Vorstandsmitglied der DE-CIX Group AG. Zuvor war King seit 2016 Chief Innovation Officer (CIO) bei DE-CIX. Zu Thomas Kings Kernprojekten bei DE-CIX gehören die technologische Weiterentwicklung des Unternehmens zum weltweit führenden Cloud Exchange Betreiber, sowie die Automatisierung der IX-Plattform.

(ID:50320910)