Aktuelle NIS2-Compliance bewerten


Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
NIS2: Tech-Experten kommentieren die neue EU-Richtlinie



Mit der am 16.01.2023 in Kraft getretenen NIS2-Richtlinie ("Network and Information Security") wurden die Anforderungen hinsichtlich Cybersicherheit für Unternehmen in verschiedenen Sektoren noch einmal verschärft – genau wie die Sanktionen bei Nichteinhaltung. Bis Oktober 2024 müssen die EU-Mitgliedsstaaten die Richtlinie in nationales Recht überführen, dann wird es für die betroffenen Unternehmen "ernst".

Deshalb hat Schwartz Public Relations aus ihrem Kundenportfolio eine Reihe an Tech-Experten gefragt, was für Unternehmen, die sich aktuell auf NIS2 vorbereiten, jetzt wichtig wird und wie sie die Richtlinie und ihre Auswirkungen einschätzen.

Ein mittelgroßes Unternehmen mit niedrigem Schutzniveau muss für die Umsetzung von NIS2 mit Investitionen von mehr als einer Million Euro rechnen
"Die Umsetzung von NIS2 ist ein komplexer Prozess, der Zeit und Ressourcen erfordert, um die Anforderungen zu erfüllen. Unternehmen sollten jetzt unbedingt den Stand ihrer aktuellen NIS2-Compliance bewerten, einen Plan zur Umsetzung der Richtlinie erstellen und in Ressourcen und Technologien investieren.

Für ein mittelgroßes Unternehmen mit einem niedrigen Schutzniveau und Reifegrad könnte das Aufholen von Rückständen eine Investition von mehr als einer Million Euro bedeuten. Allerdings fangen nicht alle Organisationen bei null an.

Wenn ein Unternehmen bereits 15 bis 20 Prozent seines IT-Budgets für Cybersicherheit aufwendet und klug eingesetzt hat, dürfte das erforderliche zusätzliche Budget nicht sehr hoch sein. Hat ein Unternehmen aber in den letzten fünf Jahren beispielsweise nur zehn Prozent des IT-Budgets für Cybersicherheit aufgewendet, muss es nun aufgrund von NIS2 seine jährlichen Cybersecurity-Ausgaben verdoppeln und gleichzeitig einmalig eine größere Summe investieren, um den Rückstand aus fünf Jahren aufzuholen. Daher sollten Unternehmen jetzt prüfen, welche Investitionen in diesem Jahr auf sie zukommen."
Matthias Röhr, VP Sales & Business Development (DACH) bei aDvens

NIS2 hebt unter dem Schlagwort Cyberhygiene die Wichtigkeit von Zero-Trust-Grundsätzen und Netzwerksegmentierung hervor
"NIS2 weitet die Anforderungen an die IT-Sicherheit von Einrichtungen und Unternehmen deutlich aus. Gleichzeitig fallen durch die Gesetzesnovelle mehr Bereiche unter die Regelungen als zuvor. Ein wichtiges Stichwort der Richtlinie ist die Cyberhygiene, zu der Einrichtungen verpflichtet werden.

Neben regelmäßigen Software-Updates und Schulungen für Mitarbeiter gegen Cyberbedrohungen wie Phishing und Social Engineering unterstreicht die Richtlinie die Wichtigkeit von Identitäts- und Zugriffsmanagement, Zero-Trust-Grundsätzen und Netzwerksegmentierung.

Gerade die Mikro-Segmentierung von Netzwerken kann die immer größer werdende Gefahr eines Ransomware-Angriffs durch restriktive Filterrichtlinien effektiv eindämmen, wenn Angreifer daran gehindert werden, sich auf ein benachbartes Segment auszubreiten. Sie leistet damit einen nicht zu unterschätzenden Beitrag für die Cyberhygiene eines Unternehmens."
Elmar Albinger, Regional Sales Director bei AlgoSec

Mit NIS2 muss sowohl Cyber- als auch physische Sicherheit neu gedacht werden – und zwar als intelligent vernetztes System
"Verantwortliche, die vor dem Hintergrund von NIS2 Sicherheitslösungen planen, umsetzen und betreiben, müssen sicherstellen, dass diese nicht nur den heutigen Anforderungen an physische und Cybersicherheit entsprechen, sondern sich auch an zukünftige Herausforderungen anpassen lassen.

Konkret bedeutet dies, dass sie die Lösung als Teil eines komplexen, vernetzten Systems verstehen müssen, nicht als eine Einzellösung neben anderen Einzellösungen. Denn selbst wenn eine bestimmte Komponente eines Systems, beispielsweise Netzwerk-Kameras, nicht als für das System kritisch eingestuft wird, kann diese dennoch eine Schwachstelle enthalten, über die ein Angreifer einen Angriff auf andere, kritische Komponenten starten kann.

Dies bedeutet, dass auch Technologien für die physische Sicherheit im Rahmen der NIS2-Richtlinie gründlich evaluiert und neu bewertet werden müssen, um mögliche Risiken aufzuzeigen."
Jochen Sauer, Architect & Engineering Manager bei Axis Communications

Die Anforderungen von NIS2 lassen sich nur durch sicheres Gerätemanagement vollständig erfüllen
"Mit der NIS2-Richtlinie schärft die EU den Anforderungskatalog an Unternehmen hinsichtlich IT-Sicherheit signifikant. Die Sicherheit und der Schutz von Endgeräten stellen dabei oftmals einen blinden Fleck dar, da die Prioritäten der Verantwortlichen typischerweise primär auf Systemen und Software liegen.

Ohne bestmöglich abgesicherte Endgeräte sind jedoch auch diese geschäftskritischen Systeme weiterhin gefährdet, da Angreifer über die ungesicherten Endgeräte die übrigen Schutzmaßnahmen umgehen können. Viele der Anforderungen, die mit der NIS2-Richtlinie auf Unternehmen zukommen, lassen sich also nur dann realistisch erfüllen, wenn die Sicherheitsverantwortlichen zu jeder Zeit den vollen Überblick darüber haben, was auf ihren Geräten und in ihren Systemen passiert.

Das bedeutet, dass Lösungen für die sichere Bereitstellung, den kontinuierlichen Schutz sowie die umfassende Verwaltung von Geräteflotten in Zukunft noch wichtiger werden, um ein entsprechendes Level an Transparenz zu gewährleisten und die NIS2-Anforderungen zu erfüllen."
Henrik Nitsche, Security Solution Manager bei Jamf

NIS2 muss mit den Entwicklungen der Cybersicherheitslandschaft Schritt halten
"Die NIS2-Richtlinie legt einen verbindlichen Mindeststandard fest, welche Organisationen und Entitäten als essenziell gelten sollen. Dies ist grundsätzlich eine positive Entwicklung, da auf diese Weise der Schutz dieser gezielter und damit effektiver gestaltet werden kann.

Wie bei allen Gesetzen und Regulationen besteht jedoch auch in diesem Fall die Gefahr, dass sie schon bald nicht mehr den neuesten Stand der Cybersicherheitsforschung abbildet. Die Cybersicherheitslandschaft verändert sich durch große Sprachmodelle und andere Formen der künstlichen Intelligenz aktuell rapide. Dementsprechend ist es wichtig, dass Forschung, Verteidigung und Regulation damit Schritt halten.

Es ist also nicht damit getan, die Richtlinie zu verabschieden und zu implementieren, sie muss auch kontinuierlich evaluiert und aktualisiert werden."
Pieter Arntz, Malware Intelligence Researcher bei Malwarebytes

Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
"Cybersicherheit in Unternehmen ist wie ein Frachtnetz: Es reicht nicht, dass das Netz selbst mehrere Tonnen absichern kann, auch die Bolzen, mit denen es befestigt ist, müssen dieses Gewicht aushalten können. Genauso erfordert die Einhaltung der NIS2-Richtlinie, dass alle Mitarbeiter im Erkennen von und Umgang mit Cyber-Risiken geschult sind, nicht nur die entsprechenden Verantwortlichen. Dafür müssen entsprechende Schulungsprogramme zeitnah auf- und umgesetzt werden.

Mit einer einmaligen Schulung oder einer Rund-Mail kurz vor dem NIS2-Stichtag ist es nicht getan, da sich die Cybersicherheitslandschaft – und welche Standards als Best Practice gelten – auch in Zukunft weiterhin wandeln werden. Dies bedeutet, dass die Formate, mit denen die Mitarbeiter geschult werden sollen, diese auch auf lange Sicht erreichen müssen, um Engagement mit dem Thema Cybersicherheit und damit Compliance mit NIS2 sicherzustellen.

Dies wird langfristig gedachte Kommunikationsstrategien und innovative Formate erfordern, beispielsweise in Form von kurzen Video-Tutorials, die konkrete Handlungsempfehlungen für den Arbeitsalltag aufzeigen, statt das Thema Cybersicherheit als großes Ganzes zu erklären versuchen."
Troy Stein, General Manager der TechSmith GmbH
(Schwartz Public Relations: ra)

eingetragen: 18.04.24
Newsletterlauf: 27.06.24

Schwartz Public Relations: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • "Recht auf schnelles Internet"

    Der Digitalausschuss des Bundestages hat über die Anhebung der Mindestversorgung mit Telekommunikationsdiensten entschieden. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Statt neue Verpflichtungen für die Netzbetreiber aufzubauen, sollte die Bundesregierung die bürokratischen Hürden für den Netzausbau abbauen. Alle Menschen und Unternehmen brauchen einen schnellen Zugang ins Internet. Damit dieses Ziel in Deutschland erreicht wird, haben die Netzbetreiber den Gigabit-Ausbau massiv beschleunigt und investieren bis 2025 rund 50 Milliarden Euro in den Ausbau von Glasfasernetzen."

  • Bitkom zum Recht auf Reparatur

    Am 23. April 2024 stimmte das EU-Parlament über das Recht auf Reparatur ab. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Länger nutzen ist oft umweltfreundlicher - das gilt auch für Smartphones, Tablets und andere digitale Geräte. Bitkom begrüßt daher, dass sich die EU dieses Themas mit der Einführung eines Rechts auf Reparatur annimmt. Positiv sticht bei der neuen EU-Richtlinie heraus, dass defekte IT-Geräte durch gebrauchte und professionell wiederaufbereitete Geräte - sogenannte Refurbished-IT - ersetzt werden können."

  • AI Act nahm letzte Hürde

    Die Mitgliedsstaaten der EU beschlossen am 21. Mai 2024 im Ministerrat den AI Act. Nach der Veröffentlichung könnte der AI Act bereits Ende Juni oder Anfang Juli in Kraft treten. Unternehmen müssen bereits sechs Monate später erste Regeln befolgen. Dazu erklärt Bitkom-Präsident Dr. Ralf Wintergerst,

  • Sechs Jahre DSGVO

    Am 25. Mai wurde die Datenschutz-Grundverordnung (DSGVO) sechs Jahre alt. Seit ihrer Anwendbarkeit verhängten europäische Datenschutzbehörden in mehr als 2.200 öffentlich bekannten Fällen Bußgelder in Höhe von insgesamt rund 4,5 Milliarden Euro. Insbesondere Big-Tech-Unternehmen sind anfällig für hohe Bußgelder.

  • Sicherheit des Bankensektors in Europa

    Das Europäische Parlament hat am 24. April 2024 seine Position zu den Gesetzesvorschlägen der EU-Kommission für eine Änderung des Rahmenwerks für die Bankenabwicklung und Einlagensicherung (CMDI-Review) verabschiedet. Aus Sicht der Deutschen Kreditwirtschaft werden dadurch bewährte Sicherungssysteme gefährdet und Finanzierungsmöglichkeiten für die Wirtschaft beeinträchtigt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen