Cybersicherheit als unternehmerische Verantwortung NIS2 wird zum Katalysator für die Cybersecurity

Anbieter zum Thema

PWC Deutsche Revision AG Wirtschaftsprüfungsges.

Fsas Technologies GmbH

FTAPI Software GmbH

Die überarbeitete Richtlinie zur Sicherheit von Netz- und In­for­ma­ti­ons­sys­tem­en (NIS2) hat in den letzten Monaten viele Diskussionen entfacht. An­ge­sichts der zunehmenden Zahl erfolgreicher Cyberangriffe auf kritische In­fra­struk­tur­en (KRITIS) und sogenannte Hochwertziele ist es unerlässlich, dass Or­ga­ni­sa­ti­on­en jeder Größe und Branche sich besser aufstellen. NIS2 ist ein wichti­ger Impuls, das allgemeine Sicherheitsniveau zu erhöhen und Resilienz aufzubauen.

NIS2, die überarbeitete Version der von der EU 2016 festgelegten Cybersecurity-Richtlinie NIS (Network and Information Security), bringt eine Reihe neuer Anforderungen mit sich, die insbesondere für kleine und mittlere Unternehmen eine Herausforderung darstellen. Dazu gehören die Ausweitung des Adressatenkreises auf acht neue Sektoren, die Einteilung der Sektoren in „Essential Services" (wesentliche Dienste) und „Important Services" (wichtige Dienste) sowie die Erfassung von Unternehmen und Organisationen mit 50 oder mehr Mitarbeitenden und einem Jahresumsatz von mindestens zehn Millionen Euro. Dieser „Patch“ soll dazu beitragen, dass sich mehr Unternehmen besser gegen Cyberangriffe wappnen. Allerdings birgt er auch einige Herausforderungen, insbesondere in Bezug auf die Umsetzung der geforderten Maßnahmen und die Suche nach Fachkräften.

Politik trifft auf Proaktivität

Die Bedrohung durch Cyberkriminelle wächst stetig, gleichzeitig ist gute IT-Sicherheit teuer. Ein Spannungsfeld, in dem das Handeln der Politik absolut sinnvoll ist. Entsprechende Regelungen und insbesondere NIS2 sind Schritte in die richtige Richtung, um Unternehmen zu verpflichten, ihre Cybersicherheit zu verbessern und damit auch die allgemeine Bedrohungslage zu reduzieren.

Das lohnt sich für Unternehmen auch aus eigenem Interesse: Denn nur, wer proaktiv handelt und die Herausforderungen, die die aktualisierte Richtlinie mit sich bringt, als Chance begreift, kann sich gegen zukünftige Bedrohungen schützen und so resilienter werden.

Umfangreiche Pflichten und strenge Meldefristen

Die Umsetzung der NIS2-Direktive in nationales Recht wird im Herbst 2023 erwartet und bringt viele neue Pflichten für die betroffenen Unternehmen und Einrichtungen mit sich. Sie müssen wirksame Richtlinien und Standards für die Informationssicherheit einführen, effektive Maßnahmen zur Prävention entwickeln, Cyberangriffe erkennen und abwehren sowie ein umfassendes Incident Management aufbauen. Darüber hinaus gilt es auch die Geschäftskontinuität sicherzustellen und Maßnahmen zum Schutz der Lieferketten zu ergreifen. Kurz: Schon der funktionale Anforderungskatalog ist umfangreich.

Gleichzeitig werden die neu geforderten technologischen und prozessualen Standards von strengen Vorgaben für das Meldewesen begleitet. Unternehmen haben künftig bei Sicherheitsvorfällen 24 Stunden Frühwarnzeit an Behörden und 72 Stunden, um eine detaillierte Beschreibung nachzureichen. Das ist eng bemessen, aber im Ernstfall zählt jede Sekunde.

Fachkräftemangel potenziert Probleme – wie üblich

Ein zentrales Problem bei der Umsetzung von NIS2 ist der Mangel an Fachkräften im Bereich der Cybersicherheit. Insbesondere kleinere Unternehmen könnten Schwierigkeiten haben, kompetente Mitarbeitende für ihre Sicherheitsteams zu finden – oft fehlt es an Reputation, Budget und Referenzen. Auf Behördenseite sieht es kaum besser auf: Denn auch für das erwartbar ansteigende Meldeaufkommen braucht es qualifiziertes Personal. Unternehmen und Behörden müssen also frühzeitig handeln und ihre Suche nach geeignetem Personal intensivieren. Doch das allein reicht nicht. Der knappe Arbeitsmarkt macht konsequentes Upskilling und klare Verantwortlichkeiten zum zentralen Erfolgsfaktor. Und auch externe Expertinnen und Experten können eine entscheidende initiale Hilfe sein, um belastbare Prozesse aufzubauen.

Kooperation stärken, Transparenz schaffen

Zwar stellt die angepasste Richtlinie viele einzelne Parteien vor Herausforderungen, dennoch hängt die erfolgreiche Umsetzung entscheidend davon ab, wie gut betroffene Unternehmen, zuständige Behörden und weitere Akteure – beispielsweise IT-Sicherheitsdienstleister – an einem Strang ziehen. Dafür braucht es zwei Arten der Transparenz: Einerseits können die Parteien durch den Austausch von Informationen, Erfahrungen und Best Practices voneinander lernen und gemeinsam Lösungen entwickeln. Auf der anderen Seite gilt es auch, interne IT-Sicherheitsmaßnahmen kontinuierlich zu überprüfen und anzupassen. Dafür braucht es klare Prozesse, eine proaktive Herangehensweise und die Bereitschaft, Probleme offen und frühzeitig zu adressieren. Erst dann laufen Investitionen in die IT-Sicherheit auch langfristig in die richtige Richtung.

Die Renaissance der Agilität

In der sich ständig verändernden Landschaft der Cybersicherheit ist es entscheidend, flexibel und anpassungsfähig zu sein. Unternehmen müssen in der Lage sein, auf neue Bedrohungen zu reagieren und ihre Sicherheitsstrategien entsprechend anzupassen. Dies erfordert nicht nur den Einsatz von modernen Sicherheitstechnologien, sondern auch ein Umdenken in Bezug auf die Organisationskultur und die Zusammenarbeit mit externen Partnern. Das Stichwort „Agilität“ mag in IT-Kreisen zwar längst überstrapaziert wirken, ist bezogen auf die Anforderungen an ein reaktionsschnelles und handlungsfähiges Sicherheitssetup aber aktueller denn je.

Cybersicherheit als unternehmerische Verantwortung

All das bedingt, dass die Umsetzung der NIS2-Richtlinie nicht als bloße Erfüllung regulatorischer Vorgaben betrachtet werden sollte. Sie ist vielmehr Teil einer umfassenden unternehmerischen Verantwortung. Cybersicherheit ist nicht nur für den Schutz des eigenen Unternehmens von entscheidender Bedeutung, sondern auch für die Sicherheit der Kunden, Partner und der gesamten Lieferkette. Unternehmen, die in ihre IT-Sicherheit investieren und den Schutz ihrer Netzwerke und Daten ernst nehmen, leisten einen wertvollen Beitrag zur Gesamtsicherheit im digitalen Raum. Und umgekehrt werden solche, die dies nicht tun, in den Augen von Partnern und Endkundinnen und -kunden schnell Vertrauen verlieren und im Wettbewerb zurückfallen. Damit bietet NIS2 neben all den mit der Richtlinie einhergehenden Herausforderungen vor allen Dingen eine Sache: die Chance, Cybersicherheit international auf eine neue Stufe zu heben – hoffentlich über die, auf der sich die Bedrohungsakteure bereits befinden.

Über den Autor: André Glenzer ist Partner im Bereich Cyber Security und Privacy und Leiter des KRITIS Center of Excellence bei PwC Deutschland.

(ID:49631511)