Mobile-Menu

Die Anforderungen des NIS2-Umsetzungsgesetzes Das bedeutet NIS 2 für Unternehmen

Ein Gastbeitrag von Thomas Kress 5 min Lesedauer

Anbieter zum Thema

TKUC GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

Die Cybersicherheitslandschaft verändert sich rasant, und mit der Einführung des NIS2-Umsetzungsgesetzes stehen Unternehmen vor neuen, umfassenden Anforderungen.

Das NIS2-Umsetzungsgesetz markiert einen Wendepunkt in der Cybersicherheitsstrategie. Denn für Unternehmen reicht es nicht mehr aus, sich nur auf die eigene IT-Sicherheit zu verlassen, sie müssen auch die Cybersicherheitsstandards ihrer Lieferanten und Partner kontinuierlich überwachen. (Bild: CROCOTHERY - stock.adobe.com)
Das NIS2-Umsetzungsgesetz markiert einen Wendepunkt in der Cybersicherheitsstrategie. Denn für Unternehmen reicht es nicht mehr aus, sich nur auf die eigene IT-Sicherheit zu verlassen, sie müssen auch die Cybersicherheitsstandards ihrer Lieferanten und Partner kontinuierlich überwachen.
(Bild: CROCOTHERY - stock.adobe.com)

Während die Bedrohung durch Cyberangriffe weiter zunimmt, reicht es längst nicht mehr aus, sich nur auf die eigene IT-Sicherheit zu verlassen. Das NIS2-Umsetzungsgesetz verlangt nicht nur die Sicherung der eigenen Infrastruktur, sondern zwingt Unternehmen dazu, auch ihre Lieferanten und Partner hinsichtlich ihrer Cybersicherheitsstandards kontinuierlich zu überwachen. In diesem Artikel erläutern wir die zentralen Maßnahmen des NIS2-Gesetzes und wie Unternehmen ihre Lieferketten nachhaltig schützen können.

Das NIS2-Gesetz, welches als Nachfolger der ursprünglichen NIS-Richtlinie (Netz- und Informationssicherheit) eingeführt wurde, verschärft die Anforderungen an Unternehmen in puncto Cybersicherheit. Neben der Verpflichtung zur Sicherstellung der eigenen IT-Systeme fordert es explizit, dass Unternehmen auch die Sicherheit ihrer Lieferanten und Dienstleister permanent überprüfen. Diese sogenannte „Sicherheit der Lieferkette“ muss in den täglichen Geschäftsprozess integriert werden, um mögliche Risiken zu minimieren. Doch wie können Unternehmen dieser Herausforderung gerecht werden?

Sicherheit der Lieferkette: Ein Angriffsziel für Cyberkriminelle

In der heutigen digitalen Welt werden Unternehmen zunehmend über ihre Lieferanten angegriffen. Cyberkriminelle nutzen dabei die Vertrauensstellung von Lieferanten, die Zugang zu sensiblen Daten oder Systemen haben, um gezielte Phishing-Kampagnen oder andere Angriffsvektoren zu starten. Diese Vorgehensweise zeigt, dass eine Lücke in der Lieferkette fatale Folgen für die Cybersicherheit eines Unternehmens haben kann. Genau hier setzt NIS2 an und fordert, dass Unternehmen ihre gesamten Geschäftspartner regelmäßig auf IT-Sicherheitsstandards prüfen und Schwachstellen sofort beheben.

Risikoanalyse: Fragebögen und technische Prüfungen

Viele Unternehmen greifen für die Prüfung ihrer Lieferanten auf Fragebögen zurück. Diese beinhalten grundlegende Fragen zu Sicherheitsmaßnahmen und Zertifizierungen. Doch dieser Ansatz hat seine Schwächen: Fragebögen sind eine einmalige Momentaufnahme und bieten keinen kontinuierlichen Schutz. Zudem werden die Antworten häufig nicht validiert, was mehr als die Hälfte der CISOs skeptisch macht. Hier setzt der Einsatz technischer Analysen an, die eine weitaus tiefere Einsicht in die Sicherheitslage eines Lieferanten gewähren können.

Technische Analysen greifen auf öffentlich zugängliche Informationen über den Lieferanten zurück und prüfen die IT-Sicherheit von außen. Dies umfasst etwa die Untersuchung von Domänen, Servern, Schwachstellen oder auch unsicheren Konfigurationen. Diese Analysen müssen jedoch regelmäßig durchgeführt werden, um wirksam zu sein – und genau das stellt viele Unternehmen vor Herausforderungen.

Digitalisierung und Automatisierung als Schlüssel

Um den hohen Anforderungen des NIS2-Gesetzes gerecht zu werden und den internen Aufwand zu minimieren, setzen immer mehr Unternehmen auf automatisierte digitale Lösungen. Der Prüfprozess der Lieferanten kann durch solche Systeme weitgehend automatisiert werden. Die Idee: Ein Lieferant wird in einem digitalen System angelegt, der Sicherheitsfragebogen wird automatisch verschickt, parallel wird eine OSINT-Analyse (Open Source Intelligence) durchgeführt, und die Ergebnisse werden in Echtzeit überwacht.

Die Digitalisierung bietet eine Reihe von Vorteilen. Beispielsweise können IT-Sicherheitsverantwortliche automatisch benachrichtigt werden, wenn sich der Sicherheitsstatus eines Lieferanten ändert. Auch Zertifikate wie ISO/IEC 27001 oder TISAX, die regelmäßig erneuert werden müssen, werden vom System überwacht und vor Ablauf der Gültigkeit rechtzeitig angefordert. So ist sichergestellt, dass die Sicherheitsvorgaben stets auf dem neuesten Stand bleiben und kein Lieferant unbemerkt durch Sicherheitslücken gefährdet wird.

Permanentes Monitoring und Eskalationsmechanismen

Ein automatisiertes System ist jedoch nur der erste Schritt. Unternehmen müssen sicherstellen, dass die Ergebnisse der Sicherheitsprüfungen regelmäßig überprüft werden. Änderungen im Sicherheitsstatus eines Lieferanten oder Partners müssen sofort erkannt und entsprechende Maßnahmen ergriffen werden. Hier kommen Eskalationsmechanismen ins Spiel: Wird ein Lieferant als unsicher eingestuft, muss automatisch eine Warnung an die Verantwortlichen im Unternehmen verschickt werden. Diese können dann Maßnahmen ergreifen, um potenzielle Gefahren abzuwehren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Darüber hinaus können solche Systeme genutzt werden, um im Falle einer Sicherheitslücke Notfallpläne zu aktivieren. So kann beispielsweise ein betroffener Lieferant vorübergehend gesperrt oder auf bestimmte Aufgabenbereiche beschränkt werden, bis die Sicherheitsprobleme behoben sind.

Der rechtliche Rahmen: Protokollierung und Dokumentation

Ein weiterer wesentlicher Bestandteil des NIS2-Gesetzes ist die lückenlose Protokollierung und Dokumentation aller Sicherheitsmaßnahmen. Unternehmen müssen jederzeit nachweisen können, welche Schritte sie unternommen haben, um die Sicherheit ihrer Lieferkette zu gewährleisten. Hier bietet die Digitalisierung ebenfalls Vorteile: Alle durchgeführten Prüfungen, Analysen und Eskalationen werden automatisch dokumentiert und stehen im Falle einer Prüfung sofort zur Verfügung.

Diese Protokollierung stellt sicher, dass Unternehmen nicht nur den gesetzlichen Anforderungen gerecht werden, sondern auch für potenzielle interne oder externe Audits gerüstet sind. Im Zweifelsfall kann so auch nachgewiesen werden, dass alle nötigen Schritte unternommen wurden, um die Cybersicherheit zu gewährleisten.

Fazit: Die Lieferkette als Sicherheitsfaktor

Das NIS2-Umsetzungsgesetz markiert einen Wendepunkt in der Cybersicherheitsstrategie von Unternehmen. Die Anforderungen an die Sicherheit der Lieferkette sind komplex und erfordern kontinuierliche Aufmerksamkeit. Unternehmen, die sich diesen Herausforderungen frühzeitig stellen und ihre Prüfprozesse durch Digitalisierung und Automatisierung optimieren, können jedoch nicht nur die Anforderungen des Gesetzes erfüllen, sondern auch ihre eigene Sicherheit signifikant stärken.

In einer Zeit, in der Cyberangriffe immer raffinierter werden, ist es unerlässlich, den Schutz der gesamten Lieferkette in den Fokus zu rücken und proaktive Maßnahmen zu ergreifen, um potenzielle Bedrohungen frühzeitig zu erkennen und abzuwehren. Der Schlüssel dazu liegt in der Kombination aus regelmäßiger Überprüfung, Automatisierung und einer durchgängigen Sicherheitsstrategie, die alle Partner und Dienstleister mit einbezieht. Nur so können Unternehmen den neuen Anforderungen des NIS2-Gesetzes gerecht werden und sich gegen zukünftige Bedrohungen wappnen.

Über den Autor: Thomas Kress ist IT-Sicherheitsexperte und Inhaber der TKUC Group mit den Marken TKUC und TheUnified. Nachdem er über 25 Jahren als IT-Consultant und Projektmanager für namhafte Unternehmen arbeitete, beschloss er, sich im Bereich IT-Sicherheit und Telekommunikation selbstständig zu machen. Seither betreut er u.a. Projekte für Konzerne wie die Deutsche Bank, Orange Business Services oder die Gothaer Versicherung, sowie eine Reihe Industrieunternehmen des deutschen Mittelstandes.

In zehn Schritten zur NIS-2-Konformität


Das ganze Security-Insider eBook „In zehn Schritten zur NIS-2-Konformität“ können Sie hier nach Registrierung kostenlos downloaden!

Aktuelles eBook

In zehn Schritten zur NIS-2-Konformität

eBook NIS2
eBook „In zehn Schritten zur NIS-2-Konformität“
(Bild: Security-Insider)

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Aber wie genau setzt man sie um? Dieses eBook erläutert die zehn Schritte auf dem Weg zur NIS-2-Konformität.

Die Highlights im Überblick:

  • NIS2: Anschnallpflicht für Unternehmen
  • Zehn wesentliche Schritte zur NIS-2-Konformität
  • Nicht über Regulierung schimpfen, sondern handeln!

eBook „In zehn Schritten zur NIS-2-Konformität“ kostenlos downloaden

(ID:50266892)

Weiterführende Inhalte