Die Motivation der NIS2 Richtlinie fußt auf einer Professionalisierung der Cyberkriminalität. Mit zusätzlich zunehmender Technologisierung und Komplexität von IT-Infrastrukturen, ergeben sich vermehrt hohe IT-Sicherheitsrisiken, die in der Vergangenheit von Cyberkriminellen teilweise massiv ausgenutzt wurden. Die betroffenen Branchen sind dabei sehr unterschiedlich.
Ziel der NIS2-Richtlinie ist die EU-weite Stärkung der Cyberresilienz. NIS2 bedeutet “Network and Information Security“. Sie definiert einen neuen Mindeststandard für IT-Sicherheit. Dieser Mindeststandard soll durch die Umsetzung von Anforderungen in vorgegebenen Anforderungsgruppen der IT-Sicherheit erreicht werden.
Dadurch soll die Wirksamkeit des IT-Sicherheitsschutzes erhöht und das Risiko – von einem solchen Cyberangriff betroffen zu sein – reduziert werden.
Die NIS-2-Richtlinie wurde am 27.12.2022 im Amtsblatt L333 der Europäischen Union veröffentlicht. Sie trat am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft. Die Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach ihrem Inkrafttreten in nationales Recht umsetzen. Das bedeutet für Deutschland, dass bis zum 17. Oktober 2024 die Inhalte der NIS2-Richtlinie in nationales Recht umgesetzt werden müssen.
Von dieser Richtlinie sind mindestens 30.000 Unternehmen in Deutschland betroffen, abhängig von verschiedenen Faktoren:
Die Definition, was ein Sektor mit hoher oder sonstiger Kritikalität ist bzw. was eine wesentliche und wichtige Einrichtung ist, wird im Anhang der NIS2-Richtlinie näher definiert.
Hierbei gibt es aktuell einen Dialog mit diversen Branchenverbänden, was die Definition in einigen Teilen noch schärfen oder lockern kann.
Aktuell liegt ein Referentenentwurf (Stand Mai 2024), der noch weiter ausgearbeitet wird.
Genaue Maßnahmen zur Umsetzung der Anforderungen sind nicht klar definiert, da Unternehmen zu individuell in Ihrer Komplexität und Struktur sind. Daher können unterschiedliche Maßnahmen zum gleichen Ergebnis führen.
Es gibt keine Zertifizierungsmöglichkeit für eine offizielle NIS2 Konformität. Es gibt jedoch IT-Sicherheitsstandards, wie die VdS 10000, DIN ISO 27001, TISAX usw., welche die Erfüllung von NIS2 Anforderungen bestätigen können.
Zwar liegt noch kein ausgearbeitetes Gesetz vor, jedoch können bereits vorab Maßnahmen umgesetzt werden, welche die Erfüllung der Anforderungen in Zukunft vereinfachen oder sogar vorgreifen.
Dazu zählen beispielsweise:
Aus diesen Analysen lassen sich bereits vorab Anforderungen, die in der NIS2-Richtlinie – und teilweise auch bereits in der EU DSGVO – festgelegt sind, umsetzen und eine entsprechende Konformität ermöglichen. Als Ergebnis erhalten Sie nicht nur die einzelnen Ergebnisse der Analyse und Bewertung, sondern ebenfalls einen empfohlenen Maßnahmenplan, aus dem sich ein Umsetzungskonzept ableiten lässt.
VdS – Die NIS2-Richtlinie verstehen und anwenden
OpenKRITIS – Die neue EU NIS2 Direktive für Cyber Security in KRITIS
Auch wenn noch kein ausgearbeitetes Gesetz vorliegt, können Unternehmen bereits vorab Maßnahmen umsetzen, welche die Erfüllung der Anforderungen in Zukunft vereinfachen.
Gerne unterstützen wir Sie auf diesem Weg und freuen uns über Ihre Kontaktaufnahme für ein unverbindliches Erstgespräch.
Ihr Ansprechpartner:
Marcel Vollheit
IT-Consultant
Tel: 030-34 789-236
Mail: anfrage@ehrig.de
