Was Sie zur NIS-2-Richtlinie wissen sollten

Tim Berghoff: Interessant sind speziell die Maßnahmen aus Artikel 21. Diese schreiben unter anderem vor, dass Unternehmen sowohl Meldeprozesse für Sicherheitsvorfälle vorhalten müssen als auch ein tragfähiges Business-Continuity-Management. Dazu gehört sowohl eine ausführliche Risikobewertung als auch eine Strategie für Incident-Response. Wer zum Beispiel Software für kritische Anwendungen entwickelt, muss ein Meldeprogramm für Schwachstellen haben.

Besonderes Augenmerk legt die NIS-2-Direktive auch auf die Überwachung von Aktivitäten im Netzwerk des Unternehmens. Und nicht zuletzt sind Cybersicherheitstrainings für die Belegschaft expliziter Bestandteil der geforderten Maßnahmen.

Berghoff: Es sind insgesamt 16 Industriesektoren benannt. Das sind allerdings bei weitem nicht nur Unternehmen und Einrichtungen, bei denen dies erwartbar gewesen wäre, wie die Energieversorgung, Krankenhäuser oder Wasserversorgung.

Wichtig ist: Die Anlagenbindung entfällt. Das bedeutet: Ein Wasserversorgungsunternehmen muss beispielsweise nicht nur die Aufbereitungsanlagen gegen Angriffe absichern, sondern das gesamte Netzwerk des Unternehmens.

Berghoff: Nach aktuellem Stand ist es so, dass die Vorgaben der NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umgesetzt sein müssen. Das dafür vorgesehene Gesetz geht gerade noch seinen Weg durch die Instanzen; bisher liegt lediglich ein Referentenentwurf vor.

Fest steht aber bereits jetzt, dass Verstöße teuer werden. Wer die Vorgaben der Direktive nicht einhält, muss mindestens mit einer Strafe in zweistelliger Millionenhöhe rechnen. Wirkliche Übergangsfristen wird es vermutlich nicht geben. Allerdings haben einige Unternehmen maximal vier Jahre Zeit, einen ersten Nachweis über die eigene Sicherheitsstrategie an das BSI zu senden.

Berghoff: Die Prüfung der Unternehmen obliegt dem Bundesamt für Sicherheit in der Informationstechnik, dem BSI. Bis zum 17. Januar 2025 – also drei Monate nach Inkrafttreten – müssen betroffene Unternehmen sich beim BSI registriert haben und unter anderem Ansprechpartner, aktuelle Telefonnummern und E-Mail-Adressen sowie auch IP-Adressbereiche benennen. Dem BSI muss mindestens alle zwei Jahre auch ein aktueller Nachweis über die Umsetzung der Vorgaben der NIS-2-Richtlinie übermittelt werden.

Ist das BSI der Ansicht, dass ein potenzieller KRITIS-Betreiber seiner Pflicht zur Registrierung nicht nachgekommen ist, kann das Bundesamt diese Registrierung auch selbst vornehmen – und betroffenen Unternehmen so die sprichwörtliche Pistole auf die Brust setzen.

Berghoff: NIS-2 gießt eigentlich nur das in ein Gesetz, was seit Langem selbstverständlich sein sollte – und was IT-Sicherheitsfachleute auch seit Jahren immer wieder fordern. Natürlich sollte jedem Unternehmen, ob Teil der KRITIS oder nicht, daran gelegen sein, die eigene Sicherheit höher auf der Prioritätenliste anzusiedeln als dies der Fall ist.

Für Unternehmen, die bisher auch schon unter die KRITIS-Gesetzgebung fielen, wird sich nicht allzu viel ändern. Aber gerade Unternehmen, die bisher nicht von den Regelungen betroffen waren, bietet die neue Gesetzeslage sicherlich einen Anreiz. Dass dies möglicherweise von Einzelnen als Bevormundung wahrgenommen wird, unterstreicht eigentlich nur die Dringlichkeit der Sache. Die Verantwortlichen in vielen Unternehmen schätzen ihr eigenes Bedrohungsmodell noch immer falsch ein. Sie müssen – leider – per Gesetz auf den richtigen Pfad gelotst werden.

Berghoff: Bei der Forderung weiterer Maßnahmen wäre ich im Moment vorsichtig. Das Umsetzungsgesetz ist ja noch nicht finalisiert. Und selbst wenn es eines Tages in finaler Form vorliegt, wird es noch immer Gerichtsprozesse und damit auch Urteile geben, um entweder einzelne Aspekte final zu klären oder Streitigkeiten über Details beizulegen. Gerade ein so vielschichtiges Thema wie IT-Sicherheit lässt sich nicht in der allerersten Iteration eines neuen Gesetzes festhalten.

Berghoff: Es gelten eigentlich dieselben Aussagen, die seit Jahren ein ewiger Dauerbrenner in Sachen Sicherheit sind: Ungepatchte Sicherheitslücken in exponierten Systemen sowie geschicktes Social Engineering sind noch immer die Achillesferse vieler Unternehmen. Und viele dieser Unternehmen machen noch immer denselben Fehler: Sie unterschätzen ihr eigenes Gefährdungsprofil und das ihrer Kunden. Doch die NIS-2-Richtlinie hat auch zum Ziel, die Liefer- und Wertschöpfungsketten europaweit widerstandsfähiger gegenüber Angriffen zu machen.