Sind Sie ready für die NIS-2-Richtlinie?

Die NIS-2-Richtlinie stellt den EU-weiten Standard für Cybersicherheit dar und hat einen erweiterten Anwendungsbereich im Vergleich zur ursprünglichen NIS-Richtlinie. Das bedeutet, dass nun mehr Einrichtungen und Sektoren als zuvor den Anforderungen des Risikomanagements und der Meldung von Sicherheitsvorfällen unterliegen.

Betroffene Organisationen müssen geeignete technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Sicherheitsrisiken ihrer Netz- und Informationssysteme zu beherrschen, die für ihren Betrieb oder ihre Dienstleistungen genutzt werden. Zudem müssen sie Maßnahmen ergreifen, um die Auswirkungen von Vorfällen auf die Nutzer ihrer Dienste und auf andere verbundene Dienste zu verhindern oder zu minimieren.

Die NIS-2-Richtlinie betrifft Einrichtungen aus 18 Sektoren, die in Anhang I und II aufgeführt sind. Sie werden in „sehr kritische Sektoren“ und „kritische Sektoren“ klassifiziert. Zudem spielen die Anzahl der Mitarbeiter (>50) und der Jahresumsatz, bzw. Bilanzsumme eine Rolle bei der Ermittlung der Betroffenheit.

Um den NIS-2-Anforderungen gerecht zu werden, müssen betroffene Unternehmen verschiedene Maßnahmen zur Verbesserung ihrer Cybersicherheit ergreifen. Nach Kapitel IV, Artikel 21 der NIS-2-Richtlinie umfassen die wesentlichen Anforderungen:

• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
• grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
• Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung