NIS2-Anforderungen: Was bedeuten sie konkret?

NIS2-Anforderungen: Was bedeuten sie konkret? Bild: MS-KI

Beitrag teilen

NIS2 schreibt Unternehmen eine umfassende Überarbeitung ihrer Cyber-Sicherheitspraktiken vor und zwingt sie, ihre Schutzmaßnahmen in der Lieferkette zu bewerten und zu verbessern. Die Richtlinie betrifft mehr als 160.000 in der EU tätige Unternehmen. Hier ein genauerer Blick auf die neuen Anforderungen.

Die NIS2-Richtlinie baut auf der Grundlage der Vorgängerrichtlinie aus dem Jahr 2016 auf und ist eine Reaktion auf die zunehmenden Angriffe auf Lieferketten und den Bedarf an robusteren Meldeverfahren in ganz Europa. Diese Richtlinie betrifft mehr als 160.000 in der EU tätige Unternehmen, insbesondere diejenigen, die in 15 Schlüsselsektoren als „wesentliche“ und „wichtige“ Unternehmen eingestuft sind.

Anzeige

Geprüfte Cyber-Sicherheitspraktiken

NIS2 schreibt diesen Unternehmen eine umfassende Überarbeitung ihrer Cyber-Sicherheitspraktiken vor und zwingt sie, ihre Schutzmaßnahmen in der Lieferkette und ihre Meldepflichten neu zu bewerten und zu verbessern. Da die Frist für die Einhaltung der Vorschriften im Oktober 2024 abläuft, beginnt für die Unternehmen ein Wettlauf mit der Zeit, um die strengen Anforderungen von NIS2 zu erfüllen.

Ein Blick auf die neuen Anforderungen

NIS2 führt vier Hauptbereiche ein, die jeweils spezifische Mandate umfassen, die darauf abzielen, die Cybersicherheitsstandards in allen Bereichen zu erhöhen:

  • Risikomanagement: Die Unternehmen müssen einen vielschichtigen Ansatz zur Minimierung von Cyberrisiken umsetzen. Dazu gehören die Einführung fortschrittlicher Protokolle für das Management von Vorfällen, die Stärkung der Sicherheit der Lieferkette, die Verbesserung der Sicherheit von Netzwerken, die Verbesserung der Zugangskontrolle und der Einsatz von Verschlüsselungstechnologien.
  • Verantwortlichkeit der Unternehmen: Die Richtlinie unterstreicht die Notwendigkeit der Überwachung und Schulung von Maßnahmen zur Cybersicherheit durch die Unternehmensleitung. Sie führt Sanktionen, auch finanzieller Art, für Verstöße ein, die auf fahrlässiges Verhalten von Führungskräften zurückzuführen sind.
  • Berichtspflichten: Organisationen müssen Verfahren für die unverzügliche Meldung von Cybervorfällen einrichten, die die Bereitstellung von Diensten oder Datenempfängern erheblich beeinträchtigen, und dabei die festgelegten Meldefristen einhalten.
  • Geschäftskontinuität: Die Unternehmen müssen solide Pläne entwickeln, um die Betriebskontinuität nach größeren Cybervorfällen zu gewährleisten. Dazu gehören Strategien zur Systemwiederherstellung, Notfallverfahren und die Bildung von Krisenreaktionsteams.

Die 10 Mindestanforderungen von NIS2

NIS2 definiert neben den allgemeinen Verpflichtungen zehn grundlegende Anforderungen, die das Fundament der Cybersicherheit in der EU bilden sollen:

  • Risikobewertungen und Formulierung von Sicherheitsrichtlinien für Informationssysteme
  • Evaluierung der Wirksamkeit von Sicherheitsmaßnahmen durch festgelegte Richtlinien und Verfahren
  • Anwendung von Kryptographie und Verschlüsselung
  • Effiziente Bewältigung von Sicherheitsvorfällen
  • Sichere Systembeschaffung, -entwicklung und -betrieb, einschließlich Protokollen zur Meldung von Sicherheitslücken
  • Durchführung von Schulungen zur Cybersicherheit und Einhaltung grundlegender Praktiken der Cyberhygiene
  • Sicherheitsverfahren für Mitarbeiter, die auf sensible Daten zugreifen
  • Notfallpläne zur Aufrechterhaltung des Geschäftsbetriebs während und nach Cybervorfällen
  • Multi-Faktor-Authentifizierung und Verschlüsselung für Sprach-, Video- und Textkommunikation
  • Stärkung der Sicherheit in der Lieferkette – Anpassung der Sicherheitsmaßnahmen an die Schwachstellen der einzelnen direkten Zulieferer

Die Nichteinhaltung dieser umfassenden Anforderungen könnte erhebliche Geldbußen nach sich ziehen, die sich für „wesentliche Unternehmen“ auf 10 Mio. € oder 2 % des weltweiten Jahresumsatzes und für „wichtige Unternehmen“ auf 7 Mio. € oder 1,4 % belaufen.

Vorbereitung auf NIS2: ein strategischer Imperativ

Für Unternehmen, die in der EU tätig sind, bedeutet die Vorbereitung auf NIS2 eine Reihe strategischer Schritte, darunter die Feststellung der Anwendbarkeit, die Bewertung bestehender Sicherheitsmaßnahmen, die Überarbeitung der Sicherheitsrichtlinien und die Einbeziehung neuer Sicherheits- und Meldemaßnahmen in ihr Lieferkettenmanagement.

Glücklicherweise können aktuelle Cybersicherheitsrahmenwerke, wie das NIST Cyber Security Framework (CSF) oder ISO27001 eine solide Grundlage bilden, die den Übergang für Unternehmen erleichtern können. Da die Frist im Oktober 2024 immer näher rückt, ist die Botschaft klar: Die Zeit zum Handeln ist jetzt gekommen. Die NIS2-Richtlinie der EU legt nicht nur die Messlatte für die Cybersicherheit höher, sondern unterstreicht auch die Bedeutung eines einheitlichen und proaktiven Ansatzes zum Schutz der digitalen Landschaft vor neuen Bedrohungen. Unternehmen müssen diese Veränderungen mit Sorgfalt und Weitsicht angehen.

Mehr bei Bluevoyant.com

 


Über BlueVoyant

BlueVoyant kombiniert interne und externe Cyberabwehrfunktionen zu einer ergebnisorientierten, cloudbasierten Cybersicherheitslösung, die Netzwerke, Endpunkte, Angriffsflächen und Lieferketten sowie das Clear, Deep und Dark Web kontinuierlich auf Bedrohungen überwacht. Die umfassenden Produkte und Services zur Cyberverteidigung beleuchten, prüfen und beheben Bedrohungen schnell, um Unternehmen zu schützen.


 

Passende Artikel zum Thema

Sicherheit in der Industrie: Fünf Prognosen für 2025

Die Industrie wird auch in 2025 mit Cyberbedrohungen zu kämpfen haben. Sie wird mit einem wachsenden Bedarf konfrontiert werden, neue ➡ Weiterlesen

SIEM: Schnell und effizient auf Cyberbedrohungen reagieren

Cyberbedrohungen nehmen ständig zu und werden immer komplexer. Um gegen diese Gefahren gewappnet zu sein, brauchen Unternehmen SIEM-Lösungen, die sich ➡ Weiterlesen

ASPM-Lösungen decken Schwachstellen im Tool-Wildwuchs auf

Sicherheitslücken in Software sind keine Seltenheit. Dafür gibt es viele Ursachen wie zum Beispiel Security-Tool-Wildwuchs, Abhängigkeiten zwischen den Anwendungen und ➡ Weiterlesen

Wireshark-Alternative für die Cloud

Ein Anbieter von Echtzeit-Sicherheitslösungen für die Cloud gab die Veröffentlichung von Stratoshark bekannt, einem Open-Source-Tool, das die granulare Netzwerktransparenz von ➡ Weiterlesen

E-Mail-Schutz vor komplexen Cyberangriffen

Ein Cybersicherheitsunternehmen für umfassenden E-Mail-Schutz vor komplexen Bedrohungen stellt Weiterentwicklungen vor. Die Updates umfassen unter anderem flexible Bereitstellungsoptionen und verbesserte ➡ Weiterlesen

Zero Trust für RISE with SAP

Ein SAP-Partner bietet Kunden ab sofort einen Zero Trust Network Access (ZTNA) Service an, der nativ in „RISE with SAP“ ➡ Weiterlesen

Duale Authentifizierung ist eine Herausforderung

Viele Unternehmen betreiben eine hybride Authentifizierung mit Passkeys und Passwörtern, um der dauerhaft hohen Gefahr des Phishings zu begegnen. Der ➡ Weiterlesen

Datenwiederherstellung in hybriden IT-Umgebungen

Acht von zehn Unternehmen wurden schon durch Ransomware attackiert. Deshalb ist eine anpassungsfähige Datenwiederherstellung gerade für hybride IT-Landschaften essentiell notwendig, ➡ Weiterlesen