Sie sind hier: Home » Markt » Hinweise & Tipps

NIS-2-Umsetzung in Deutschland


Die NIS-2-Richtlinie bringt einen deutlichen Paradigmenwechsel für die Cybersicherheit in Deutschland
Einführung von persönlichen Haftungsrisiken für Geschäftsführer. Dies geht weit über die bisher üblichen Compliance-Vorgaben hinaus



Mit dem neuen für NIS-2-Gesetz kommen auf viele Unternehmen strengere Cybersicherheitsanforderungen zu – doch es gibt noch offene Fragen und neue Entwicklungen, die bisher wenig Beachtung gefunden haben. Jetzt ist die Zeit zum Handeln. Seit der Verabschiedung der NIS-2-Richtlinie durch die EU im Jahr 2022 war die Umsetzung in den Mitgliedstaaten ein komplexer Prozess. In Deutschland führte dies zu intensiven Diskussionen, insbesondere in Bezug auf die Harmonisierung mit bestehenden Gesetzen wie dem IT-Sicherheitsgesetz 2.0. Erst im Juli 2024 konnte die Bundesregierung das "Gesetz zur Umsetzung von EU NIS2 und zur Stärkung der Cybersicherheit" verabschieden, das nun die Grundlage für die zukünftige Cybersicherheit in Deutschland bildet.

Das unterschätzte Risiko der Nachweispflichten:
Während sich viele Diskussionen um die umfangreichen neuen Sicherheitsmaßnahmen drehen, bleibt ein Aspekt oft unbeachtet: Die erheblich ausgeweiteten Nachweispflichten. Unternehmen müssen zukünftig nicht nur umfassend dokumentieren, welche Sicherheitsmaßnahmen sie umgesetzt haben, sondern auch nachweisen, dass diese Maßnahmen wirksam sind. Dies wird insbesondere für mittelständische Unternehmen, die bisher keine umfangreichen Compliance-Strukturen haben, eine große Herausforderung darstellen. Kleine und mittelständische Unternehmen verfügen häufig nicht über die notwendigen Ressourcen, die für eine detaillierte Dokumentation und kontinuierliche Überwachung von Sicherheitsmaßnahmen erforderlich ist. Begrenztes Personal, knappe IT-Budgets und komplexe regulatorische Anforderungen führen dazu, dass interne Prozesse grundlegend angepasst werden müssen.

Neue EU-weite Standards im Fokus:
Interessant und bisher wenig diskutiert ist die Rolle der neuen EU-weiten Standards, die durch die NIS-2-Richtlinie etabliert werden sollen. Die EU-Kommission hat angekündigt, bis Oktober 2024 einen spezifischen Implementierungsakt zu verabschieden, der verbindliche technische Anforderungen für verschiedene Sektoren festlegt. Dazu zählen Cloud-Dienste, soziale Netzwerke und Betreiber von Online-Marktplätzen. Diese europaweit einheitlichen Standards könnten in einigen Fällen die nationalen Anforderungen überlagern und werden daher eine entscheidende Rolle für die betroffenen Unternehmen spielen.

Besonders für die Geschäftsführung wird es ernst:
Ein Aspekt, der ebenfalls noch nicht flächendeckend thematisiert wurde, ist die Einführung von persönlichen Haftungsrisiken für Geschäftsführer. Dies geht weit über die bisher üblichen Compliance-Vorgaben hinaus. Sollte ein Unternehmen die neuen Anforderungen nicht erfüllen, drohen nicht nur dem Unternehmen selbst, sondern auch den Geschäftsverantwortlichen empfindliche Strafen. Die NIS-2-Richtlinie sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist.

"Die NIS-2-Richtlinie bringt einen deutlichen Paradigmenwechsel für die Cybersicherheit in Deutschland”, sagt Ari Albertini, CEO bei Ftapi. "Insbesondere die neuen Haftungsregeln und die erweiterten Nachweispflichten stellen Unternehmen vor große Herausforderungen. Es ist entscheidend, dass Unternehmen jetzt handeln und ihre Sicherheitsstrategien anpassen. Sie sollen dabei nicht nur gesetzeskonform agieren, sondern sich auch in Zeiten wachsender Cyberbedrohungen zukunftssicher aufstellen."

Handlungsempfehlungen für Unternehmen:

1. Überprüfung und Aktualisierung von Cybersicherheitsstrategien:
Unternehmen sollten ihre bestehenden Sicherheitskonzepte jetzt auf die neuen Anforderungen der NIS-2-Richtlinie hin überprüfen und aktualisieren. Insbesondere die Vorgaben zur Risikoanalyse, Incident Response und Dokumentation müssen an die neuen Standards angepasst werden.

2. Schulung und Sensibilisierung der Geschäftsführung: Angesichts der neuen Haftungsrisiken ist es unerlässlich, dass die Geschäftsführung umfassend über ihre Pflichten und Verantwortlichkeiten informiert ist. Schulungen zu den rechtlichen Anforderungen und zu den konkreten Sicherheitsmaßnahmen sind dringend zu empfehlen.

3. Implementierung von Compliance- und Reporting-Tools: Die erweiterten Nachweispflichten erfordern den Einsatz von spezialisierten Tools, die eine lückenlose Dokumentation und Berichterstattung ermöglichen. Unternehmen sollten geeignete Softwarelösungen implementieren, um diese Anforderungen effizient zu erfüllen.

4. Zusammenarbeit mit externen Experten: Gerade für mittelständische Unternehmen, die möglicherweise nicht über die internen Ressourcen verfügen, kann die Zusammenarbeit mit externen Cybersicherheits- und Compliance-Experten entscheidend sein. Diese können helfen, die neuen Vorgaben in die Praxis umzusetzen und Risiken zu minimieren. (Ftapi: ra)

eingetragen: 12.09.24
Newsletterlauf: 29.11.24

Ftapi Software: Kontakt & Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Compliance, die gelebt wird

    Trotz strikterer Cybersecurity- und Compliance-Vorgaben behandeln viele KMU die Dokumentation ihrer IT-Infrastruktur noch stiefmütterlich. Dabei birgt fehlende oder unvollständige Dokumentation das Risiko von ineffizientem Troubleshooting und teuren Fehlentscheidungen. Ohne verlässliche Informationen zu Netzstrukturen, Systemabhängigkeiten oder Rechten wird jeder Incident zur Blackbox.

  • Echtzeitüberweisungen gemäß IPR

    Zahlungsdienstleister stehen unter Druck: Bis Oktober dieses Jahres müssen sie die Verification of Payee (VOP) umgesetzt haben und die Versendung von Echtzeitüberweisungen (Instant Payments) möglich machen. NTT Data erklärt die größten Hürden - und wie sie bis zur Deadline überwunden werden können.

  • PCI-DSS und Sichtbarkeit

    Als anerkanntes Security Framework ist der Payment-Card-Industry-Data-Security-Standard (kurz: PCI-DSS) für Anbieter von Kreditkartentransaktionen ein absolutes Compliance-Muss. Tiho Saric, Senior Sales Director bei Gigamon, verrät, wie die Einhaltung des Sicherheitsstandards dank Netzwerksichtbarkeit zum Kinderspiel wird.

  • Resilienz kritischer Infrastrukturen stärken

    Mit dem neuen KRITIS-Dachgesetz steht die deutsche Wirtschaft vor einer sicherheitspolitischen Zäsur. Ziel des juristischen Rahmenwerks ist es, die Resilienz kritischer Infrastrukturen zu stärken - und das über alle Sektoren hinweg: von Energie, Wasser und Telekommunikation über Gesundheit und Ernährung bis hin zum Transportwesen. Neben Konzernen geraten nun zunehmend auch mittelständische Betreiber in den Fokus.

  • E-Mails mit geschäftskritischen Inhalten

    Unternehmen, die ein falsches Bild von der grundsätzlichen Aufbewahrung von E-Mails mit geschäftskritischen Inhalten haben, laufen Gefahr, gesetzliche Vorgaben der GoBD oder DSGVO zu missachten. Folglich müssen sie dann mit juristischen und finanziellen Konsequenzen rechnen. Umso erstaunlicher ist es, dass zahlreiche Unternehmen ihrem Schutz noch immer nur wenig Bedeutung beimessen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen