NIS-2 kommt: Wir machen ihr Unternehmen fit für IT-Sicherheit

FAQ zur NIS-2-Compliance

• Was ist die NIS-2 Richtlinie?

  Die NIS-2-Richtlinie erweitert die Sicherheitsanforderungen für eine Vielzahl von Unternehmen. Betroffene Unternehmen müssen verstärkte Maßnahmen zur Cybersicherheit einführen, wie z. B. Risikomanagement, BCM und Meldepflichten bei Sicherheitsvorfällen. Zudem wird eine regelmäßige Überprüfung der Sicherheitsprozesse vorgeschrieben. Die Nichteinhaltung kann zu hohen Strafen führen.

• Wie beeinflusst NIS-2 die IT-Sicherheitsstrategie meines Unternehmens?

  NIS-2 zwingt Unternehmen, ihre IT-Sicherheitsstrategie zu überdenken und an neue Vorgaben auszurichten. Es sind umfassendere Maßnahmen zur Risikominimierung nötig, einschließlich einer besseren Überwachung und Berichterstattung von Vorfällen. Die Richtlinie fördert zudem die Einführung von Notfallplänen und Sicherheitsprüfungen. Unternehmen müssen daher verstärkt in IT-Sicherheit investieren.

• Welche Rolle spielt das Management in der Umsetzung von NIS-2?

  Das Management trägt die Verantwortung für die Umsetzung der NIS-2-Richtlinie. Angemessene Sicherheitsvorkehrungen müssen getroffen werden, um das Unternehmen auf potenzielle Cyberangriffe vorzubereiten. Zudem sind regelmäßige Schulungen für Mitarbeiter und Geschäftsleitung erforderlich. Fehlendes Engagement des Managements kann zu rechtlichen Konsequenzen führen.

• Wie wirkt sich NIS-2 auf die Zusammenarbeit mit Partnern und Lieferanten aus?

  Unternehmen sind im Rahmen der NIS-2-Richtlinie verpflichtet Sicherheitsstandards ihrer Partner und Lieferanten zu überprüfen. Eine schwache Sicherheitsinfrastruktur eines Geschäftspartners kann erhebliche Risiken für das eigene Unternehmen darstellen. Deshalb müssen auch Partnernetzwerke striktere Cybersicherheitsmaßnahmen einhalten. Dies erfordert oft neue Verträge und engere Überwachung der Lieferketten.

• Was muss ich machen wenn ich bereits ein ISMS habe um NIS-2 Compliance herzustellen?

  Wenn Ihr Unternehmen bereits ein Informationssicherheitsmanagementsystem (ISMS) implementiert hat, haben Sie einen Großteil der NIS-2 Anforderungen bereits umgesetzt. Die NIS-2 Vorgaben erweitern ein ISMS nach ISO27001 in einigen Bereichen, wie bspw.: Meldepflicht, Registrierungspflicht, etc.). Diese Spezifika gilt es in das ISMS zu integrieren. Sie sollten daher einen Compliance Check mit den NIS-2 Anforderungen durchführen.

• Welche Besonderheiten sind in Deutschland zu berücksichtigen?

  In Deutschland gibt es eine Reihe technischer Normen und Zertifizierungen, die für Unternehmen einen Beitrag leisten können, die Anforderungen der NIS-2-Richtlinie zu erfüllen. Beispiele hierfür sind die ISO 27001-Zertifizierung für Informationssicherheitsmanagementsysteme und das BSI-Kompendium des Bundesamts für Sicherheit in der Informationstechnik.

  Unternehmen, die bereits der Kritisverordnung (KRITIS) bzw. dem Sicherheitsgesetz 2.0 des Bundesamts für Sicherheit in der Informationstechnik unterliegen, haben schon in der Vergangenheit ein hohes Sicherheitsniveau aufgebaut. Trotzdem empfiehlt es sich auch hier, mit einer Gap-Analyse mögliche Lücken für NIS-2 ausfindig zu machen.

  Ein Rechtsnachfolger für die Umsetzung der NIS-2-Richtlinie ist noch offen, spätestens im Oktober 2024 sollte dies aber erfolgt sein.

• Wie wird NIS-2 in Österreich angewendet?

  In Österreich wurde die alte EU-NIS-Richtlinie über die österreichische NIS-Verordnung (BGBI. II Nr. 215/2019) und das österreichische NIS-Gesetz (BGBI. I Nr. 111/2018) umgesetzt. Ein Rechtsnachfolger für die NIS-2-Richtlinie ist noch offen, möglicherweise wird das NIS-Gesetz für die neuen Anforderungen novelliert.

  In Österreich gibt es eine Reihe technischer Normen und Zertifizierungen, die für Unternehmen einen Beitrag leisten können, die Anforderungen der NIS-2-Richtlinie zu erfüllen. Beispiele sind die ISO 27001-Zertifizierung für Informationssicherheitsmanagementsysteme und das Österreichische Informationssicherheitshandbuch.

• Welche Spezifika gelten für die Schweiz?

  Die Schweiz ist kein Mitglied der Europäischen Union und daher nicht direkt an die NIS-2-Richtlinie gebunden. Allerdings hat die Schweiz ähnliche Bestimmungen zur Cyber Security und die Anforderungen an Betreiber kritischer Infrastrukturen und Diensteanbieter sind ähnlich wie in der NIS-2-Richtlinie festgelegt.

  In der Schweiz ist das Nationale Zentrum für Cybersicherheit (NCSC) für die Koordinierung und Umsetzung von Cyber Security-Maßnahmen zuständig. Das NCSC arbeitet eng mit Betreibern kritischer Infrastrukturen und anderen relevanten Partnern zusammen, um die Sicherheit des Schweizer Cyberraums zu gewährleisten.

• Wann sollte ich mich mit NIS-2 auseinandersetzen?

  Als Unternehmen oder Organisation sollten Sie sich so früh wie möglich mit der NIS-2-Richtlinie auseinandersetzen, insbesondere wenn Sie als Betreiber kritischer Infrastrukturen oder als digitaler Diensteanbieter tätig sind.

  Wenn Sie in den Geltungsbereich von NIS-2 fallen, müssen Sie, zeitnah nachdem Ihre Branche in den Anwendungsbereich der NIS-2-Richtlinie aufgenommen wurde, geeignete Maßnahmen ergreifen, um hohe Strafen zu vermeiden.

  Auch wenn Ihr Unternehmen nicht direkt von der NIS-2-Richtlinie betroffen ist, kann es dennoch von den Vorschriften profitieren, indem es seine Cyber Security-Maßnahmen verbessert und sich besser gegen Cyberangriffe schützt. Wir können Ihnen dabei helfen, geeignete Maßnahmen zur Verbesserung Ihrer Cyber Security zu ergreifen und Ihre Geschäftsprozesse sicherer zu gestalten.