Die neue Cybersicherheitsrichtlinie NIS2 – Anforderungen und Praxis

Viele Unternehmen unterschätzen die anstehenden Aufgaben. Laut einer Zscaler Studie sind zwar 80 Prozent der IT-Führungskräfte zuversichtlich, dass ihre Organisation Compliance-Anforderungen bis zum Stichtag (17.10.24) erfüllen wird. Nur 14 Prozent geben an, dass sie diese bereits erfüllt haben. Lediglich etwas mehr als die Hälfte der IT-Führungskräfte ist der Ansicht, dass ihre Teams die Anforderungen vollständig verstehen. Noch weniger glauben, dass dies bei der Unternehmensleitung der Fall ist. Ergo: Nur wenige Unternehmen in Deutschland sind wirklich auf NIS2 vorbereitet.

Mit dem Gesetzentwurf sollen die Vorgaben der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie) im Wesentlichen in Form einer Novelle des BSI-Gesetzes umgesetzt werden.

Dazu gehört die Einführung der Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“, die mit einer erheblichen Ausweitung des bisher auf Betreiber Kritischer Infrastrukturen und Unternehmen im besonderen öffentlichen Interesse beschränkten Anwendungsbereichs einhergeht.

Die bislang einstufige Meldepflicht bei Cybersicherheitsvorfällen an das BSI wird durch das dreistufige Meldesystem der NIS-2-Richtlinie ersetzt. Vorgesehen ist eine Erstmeldung binnen 24 Stunden, ein Update binnen 72 Stunden und ein Abschlussbericht, der binnen eines Monats zu übermitteln ist. Ein besonders wichtiger Aspekt sind die Anforderungen an einen Lieferkettenschutz  – die daraus resultierenden Aufgaben werden für die meisten Organisationen ebenfalls neu sein.

Zusammenfassend: Die Umsetzung von NIS2 darf nicht in der Priorität abgestuft oder außer Acht gelassen werden, vielmehr müssen nun umfangreiche Anstrengungen unternommen und die Cybersicherheit deutlich erweitert werden. Die Zeit läuft!

Agenda