Aktuelle NIS2-Compliance bewerten


Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
NIS2: Tech-Experten kommentieren die neue EU-Richtlinie



Mit der am 16.01.2023 in Kraft getretenen NIS2-Richtlinie ("Network and Information Security") wurden die Anforderungen hinsichtlich Cybersicherheit für Unternehmen in verschiedenen Sektoren noch einmal verschärft – genau wie die Sanktionen bei Nichteinhaltung. Bis Oktober 2024 müssen die EU-Mitgliedsstaaten die Richtlinie in nationales Recht überführen, dann wird es für die betroffenen Unternehmen "ernst".

Deshalb hat Schwartz Public Relations aus ihrem Kundenportfolio eine Reihe an Tech-Experten gefragt, was für Unternehmen, die sich aktuell auf NIS2 vorbereiten, jetzt wichtig wird und wie sie die Richtlinie und ihre Auswirkungen einschätzen.

Ein mittelgroßes Unternehmen mit niedrigem Schutzniveau muss für die Umsetzung von NIS2 mit Investitionen von mehr als einer Million Euro rechnen
"Die Umsetzung von NIS2 ist ein komplexer Prozess, der Zeit und Ressourcen erfordert, um die Anforderungen zu erfüllen. Unternehmen sollten jetzt unbedingt den Stand ihrer aktuellen NIS2-Compliance bewerten, einen Plan zur Umsetzung der Richtlinie erstellen und in Ressourcen und Technologien investieren.

Für ein mittelgroßes Unternehmen mit einem niedrigen Schutzniveau und Reifegrad könnte das Aufholen von Rückständen eine Investition von mehr als einer Million Euro bedeuten. Allerdings fangen nicht alle Organisationen bei null an.

Wenn ein Unternehmen bereits 15 bis 20 Prozent seines IT-Budgets für Cybersicherheit aufwendet und klug eingesetzt hat, dürfte das erforderliche zusätzliche Budget nicht sehr hoch sein. Hat ein Unternehmen aber in den letzten fünf Jahren beispielsweise nur zehn Prozent des IT-Budgets für Cybersicherheit aufgewendet, muss es nun aufgrund von NIS2 seine jährlichen Cybersecurity-Ausgaben verdoppeln und gleichzeitig einmalig eine größere Summe investieren, um den Rückstand aus fünf Jahren aufzuholen. Daher sollten Unternehmen jetzt prüfen, welche Investitionen in diesem Jahr auf sie zukommen."
Matthias Röhr, VP Sales & Business Development (DACH) bei aDvens

NIS2 hebt unter dem Schlagwort Cyberhygiene die Wichtigkeit von Zero-Trust-Grundsätzen und Netzwerksegmentierung hervor
"NIS2 weitet die Anforderungen an die IT-Sicherheit von Einrichtungen und Unternehmen deutlich aus. Gleichzeitig fallen durch die Gesetzesnovelle mehr Bereiche unter die Regelungen als zuvor. Ein wichtiges Stichwort der Richtlinie ist die Cyberhygiene, zu der Einrichtungen verpflichtet werden.

Neben regelmäßigen Software-Updates und Schulungen für Mitarbeiter gegen Cyberbedrohungen wie Phishing und Social Engineering unterstreicht die Richtlinie die Wichtigkeit von Identitäts- und Zugriffsmanagement, Zero-Trust-Grundsätzen und Netzwerksegmentierung.

Gerade die Mikro-Segmentierung von Netzwerken kann die immer größer werdende Gefahr eines Ransomware-Angriffs durch restriktive Filterrichtlinien effektiv eindämmen, wenn Angreifer daran gehindert werden, sich auf ein benachbartes Segment auszubreiten. Sie leistet damit einen nicht zu unterschätzenden Beitrag für die Cyberhygiene eines Unternehmens."
Elmar Albinger, Regional Sales Director bei AlgoSec

Mit NIS2 muss sowohl Cyber- als auch physische Sicherheit neu gedacht werden – und zwar als intelligent vernetztes System
"Verantwortliche, die vor dem Hintergrund von NIS2 Sicherheitslösungen planen, umsetzen und betreiben, müssen sicherstellen, dass diese nicht nur den heutigen Anforderungen an physische und Cybersicherheit entsprechen, sondern sich auch an zukünftige Herausforderungen anpassen lassen.

Konkret bedeutet dies, dass sie die Lösung als Teil eines komplexen, vernetzten Systems verstehen müssen, nicht als eine Einzellösung neben anderen Einzellösungen. Denn selbst wenn eine bestimmte Komponente eines Systems, beispielsweise Netzwerk-Kameras, nicht als für das System kritisch eingestuft wird, kann diese dennoch eine Schwachstelle enthalten, über die ein Angreifer einen Angriff auf andere, kritische Komponenten starten kann.

Dies bedeutet, dass auch Technologien für die physische Sicherheit im Rahmen der NIS2-Richtlinie gründlich evaluiert und neu bewertet werden müssen, um mögliche Risiken aufzuzeigen."
Jochen Sauer, Architect & Engineering Manager bei Axis Communications

Die Anforderungen von NIS2 lassen sich nur durch sicheres Gerätemanagement vollständig erfüllen
"Mit der NIS2-Richtlinie schärft die EU den Anforderungskatalog an Unternehmen hinsichtlich IT-Sicherheit signifikant. Die Sicherheit und der Schutz von Endgeräten stellen dabei oftmals einen blinden Fleck dar, da die Prioritäten der Verantwortlichen typischerweise primär auf Systemen und Software liegen.

Ohne bestmöglich abgesicherte Endgeräte sind jedoch auch diese geschäftskritischen Systeme weiterhin gefährdet, da Angreifer über die ungesicherten Endgeräte die übrigen Schutzmaßnahmen umgehen können. Viele der Anforderungen, die mit der NIS2-Richtlinie auf Unternehmen zukommen, lassen sich also nur dann realistisch erfüllen, wenn die Sicherheitsverantwortlichen zu jeder Zeit den vollen Überblick darüber haben, was auf ihren Geräten und in ihren Systemen passiert.

Das bedeutet, dass Lösungen für die sichere Bereitstellung, den kontinuierlichen Schutz sowie die umfassende Verwaltung von Geräteflotten in Zukunft noch wichtiger werden, um ein entsprechendes Level an Transparenz zu gewährleisten und die NIS2-Anforderungen zu erfüllen."
Henrik Nitsche, Security Solution Manager bei Jamf

NIS2 muss mit den Entwicklungen der Cybersicherheitslandschaft Schritt halten
"Die NIS2-Richtlinie legt einen verbindlichen Mindeststandard fest, welche Organisationen und Entitäten als essenziell gelten sollen. Dies ist grundsätzlich eine positive Entwicklung, da auf diese Weise der Schutz dieser gezielter und damit effektiver gestaltet werden kann.

Wie bei allen Gesetzen und Regulationen besteht jedoch auch in diesem Fall die Gefahr, dass sie schon bald nicht mehr den neuesten Stand der Cybersicherheitsforschung abbildet. Die Cybersicherheitslandschaft verändert sich durch große Sprachmodelle und andere Formen der künstlichen Intelligenz aktuell rapide. Dementsprechend ist es wichtig, dass Forschung, Verteidigung und Regulation damit Schritt halten.

Es ist also nicht damit getan, die Richtlinie zu verabschieden und zu implementieren, sie muss auch kontinuierlich evaluiert und aktualisiert werden."
Pieter Arntz, Malware Intelligence Researcher bei Malwarebytes

Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
"Cybersicherheit in Unternehmen ist wie ein Frachtnetz: Es reicht nicht, dass das Netz selbst mehrere Tonnen absichern kann, auch die Bolzen, mit denen es befestigt ist, müssen dieses Gewicht aushalten können. Genauso erfordert die Einhaltung der NIS2-Richtlinie, dass alle Mitarbeiter im Erkennen von und Umgang mit Cyber-Risiken geschult sind, nicht nur die entsprechenden Verantwortlichen. Dafür müssen entsprechende Schulungsprogramme zeitnah auf- und umgesetzt werden.

Mit einer einmaligen Schulung oder einer Rund-Mail kurz vor dem NIS2-Stichtag ist es nicht getan, da sich die Cybersicherheitslandschaft – und welche Standards als Best Practice gelten – auch in Zukunft weiterhin wandeln werden. Dies bedeutet, dass die Formate, mit denen die Mitarbeiter geschult werden sollen, diese auch auf lange Sicht erreichen müssen, um Engagement mit dem Thema Cybersicherheit und damit Compliance mit NIS2 sicherzustellen.

Dies wird langfristig gedachte Kommunikationsstrategien und innovative Formate erfordern, beispielsweise in Form von kurzen Video-Tutorials, die konkrete Handlungsempfehlungen für den Arbeitsalltag aufzeigen, statt das Thema Cybersicherheit als großes Ganzes zu erklären versuchen."
Troy Stein, General Manager der TechSmith GmbH
(Schwartz Public Relations: ra)

eingetragen: 18.04.24
Newsletterlauf: 27.06.24

Schwartz Public Relations: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Kommentare und Meinungen

  • Reduktion bürokratischer Hürden war überfällig

    Die Deutsche Kreditwirtschaft (DK) begrüßt, dass die EU-Kommission die Bedeutung des europäischen Verbriefungsmarktes erkannt und konkrete Reformvorschläge vorgelegt hat. Die geplanten Entlastungen bei Sorgfaltspflichten, Reporting und aufsichtlichen Prozessen sind ein Schritt in die richtige Richtung.

  • Haftungsübernahme der Banken & Betrugsproblem

    Die Europäische Union will Betrug eindämmen, bei dem Kundinnen und Kunden von Kriminellen getäuscht und zu Zahlungen verleitet werden. Der Rat hat sich nun auf seine Position zur Änderung des Zahlungsrechts verständigt. Heiner Herkenhoff, Hauptgeschäftsführer des Bankenverbandes und diesjähriger DK-Federführer, betont: "Betrug kann nur wirksam bekämpft werden, wenn alle Beteiligten - Kreditinstitute, Telekommunikationsanbieter und Internetplattformen - ihren Beitrag leisten. Das muss auch der gesetzliche Rahmen widerspiegeln." Denn die Kriminellen entwickelten ihre Betrugsmaschen ständig weiter und nutzen neue Einfallstore über Social Media und andere digitale Kommunikationsmittel. Unerlässlich ist aber auch die Wachsamkeit der Kundinnen und Kunden. "Ohne ihre Mithilfe kann das Problem nicht gelöst werden", so Herkenhoff weiter.

  • Neue EU-Labels zu Langlebigkeit

    Am 20. Juni 2025 trat die neue EU-Ökodesignverordnung in Kraft.?Zugleich gibt es neue EU-Labels zu Langlebigkeit und Reparierbarkeit. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Die neuen Regelungen zum Ökodesign und entsprechenden Kennzeichen sind ein wichtiger Schritt für mehr Nachhaltigkeit in der digitalen Welt."

  • Finanzsektor muss mitgedacht werden

    Die Deutsche Kreditwirtschaft (DK) sieht Fortschritte, da sich die EU-Mitgliedsstaaten auf eine allgemeine Ausrichtung zur Omnibus Initiative geeinigt haben. Die ursprünglich von der Europäischen Kommission geplanten Vereinfachungen bei Berichtspflichten im Bereich Sustainable Finance sind ein wichtiger Schritt, um Unternehmen von Bürokratie zu entlasten und Nachhaltigkeit in der Praxis wirksamer zu gestalten.

  • Krisenmanagement & Einlagensicherung

    Die Deutsche Kreditwirtschaft (DK) begrüßt den politischen Kompromiss zur Reform des europäischen Rahmens für Krisenmanagement und Einlagensicherung (CMDI). "Der Kompromiss ist ein Schritt in die richtige Richtung. Die Einlagensicherung kann modernisiert, das europäische Abwicklungsregime gestärkt werden. Doch zentrale Fragen zur Rolle und finanziellen Belastung nationaler Sicherungssysteme bleiben offen", sagt Heiner Herkenhoff, Hauptgeschäftsführer des diesjährigen DK-Federführers Bundesverband deutscher Banken."

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen