Manche Unternehmerinnen und Unternehmer meinen, sie flögen unter dem Radar von Cyberkriminellen, wähnen ihre Firmen als zu klein, um ins Visier von Gangstern zu geraten. Ein Trugschluss: 81 Prozent der deutschen Unternehmen waren in den vergangenen zwölf Monaten vom Diebstahl von Daten und IT-Geräten sowie von digitaler und analoger Industriespionage oder Sabotage betroffen, erbrachte eine Studie im Auftrag des Digitalverbands Bitkom, für die mehr als 1.000 Unternehmen befragt wurden. Wie der Bitkom Ende August meldete, entstand daraus ein Schaden von knapp 267 Milliarden Euro.
Viel mehr Unternehmen im Fokus
Etliche Firmenchefinnen- und -chefs dürften sich jetzt aber zur Vorsorge in Sachen Cybersicherheit gezwungen sehen. „Mitte Oktober trat die neue EU-Richtlinie NIS-2 mit erhöhten Anforderungen an die Cyberresilienz von Unternehmen in Kraft und bringt wesentliche Änderungen mit sich“, sagt Tobias Mielke, Lead Expert für Informationssicherheit und Datenschutz bei TÜVIT, der auf Cybersicherheit fokussierten Tochter der TÜV Nord Group. Der Kreis der betroffenen Unternehmen wird gegenüber der NIS-Richtlinie aus dem Jahr 2016 deutlich erweitert. Ging es bei Letzterer noch um Mindestsicherheitsanforderungen und Meldepflichten für kritische Infrastrukturen (KRITIS) sowie für bestimmte Anbieter digitaler Dienste, „fallen unter NIS-2 auch größere und kleinere Unternehmen aus verschiedenen Sektoren, die mehr als 50 Mitarbeitende beschäftigen und einen Jahresumsatz von über zehn Millionen Euro erzielen“, so Mielke, „im NIS-2-Betroffenheitscheck von TÜVIT ist festzustellen, welche“ (siehe Link).
Unter anderem müssen die Unternehmen neben einem effektiven Risikomanagement auch Schulungen in Cybersicherheit sowie Cyberhygiene durchführen und nachweisen. Zudem müssen Maßnahmen für ein effizientes Management zur Datensicherung sowie zur Wiederherstellung implementiert werden. Auch die Lieferkette muss in all diesen und weiteren zu implementierenden Maßnahmen berücksichtigt werden.
Notwendig sind vor allem eine effiziente Überwachung und ein proaktives Risikomanagement. Zudem müssen Sicherheitsvorfälle und Risiken schneller als bisher an die Behörden gemeldet werden. Obendrein drohen bei Missachtung der Vorschriften hohe Bußgelder von bis zu zwei Prozent des weltweiten Jahresumsatzes. Rasches Handeln ist deshalb angesagt.
