Aktuelle NIS2-Compliance bewerten
Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
NIS2: Tech-Experten kommentieren die neue EU-Richtlinie
Mit der am 16.01.2023 in Kraft getretenen NIS2-Richtlinie ("Network and Information Security") wurden die Anforderungen hinsichtlich Cybersicherheit für Unternehmen in verschiedenen Sektoren noch einmal verschärft – genau wie die Sanktionen bei Nichteinhaltung. Bis Oktober 2024 müssen die EU-Mitgliedsstaaten die Richtlinie in nationales Recht überführen, dann wird es für die betroffenen Unternehmen "ernst".
Deshalb hat Schwartz Public Relations aus ihrem Kundenportfolio eine Reihe an Tech-Experten gefragt, was für Unternehmen, die sich aktuell auf NIS2 vorbereiten, jetzt wichtig wird und wie sie die Richtlinie und ihre Auswirkungen einschätzen.
Ein mittelgroßes Unternehmen mit niedrigem Schutzniveau muss für die Umsetzung von NIS2 mit Investitionen von mehr als einer Million Euro rechnen
"Die Umsetzung von NIS2 ist ein komplexer Prozess, der Zeit und Ressourcen erfordert, um die Anforderungen zu erfüllen. Unternehmen sollten jetzt unbedingt den Stand ihrer aktuellen NIS2-Compliance bewerten, einen Plan zur Umsetzung der Richtlinie erstellen und in Ressourcen und Technologien investieren.
Für ein mittelgroßes Unternehmen mit einem niedrigen Schutzniveau und Reifegrad könnte das Aufholen von Rückständen eine Investition von mehr als einer Million Euro bedeuten. Allerdings fangen nicht alle Organisationen bei null an.
Wenn ein Unternehmen bereits 15 bis 20 Prozent seines IT-Budgets für Cybersicherheit aufwendet und klug eingesetzt hat, dürfte das erforderliche zusätzliche Budget nicht sehr hoch sein. Hat ein Unternehmen aber in den letzten fünf Jahren beispielsweise nur zehn Prozent des IT-Budgets für Cybersicherheit aufgewendet, muss es nun aufgrund von NIS2 seine jährlichen Cybersecurity-Ausgaben verdoppeln und gleichzeitig einmalig eine größere Summe investieren, um den Rückstand aus fünf Jahren aufzuholen. Daher sollten Unternehmen jetzt prüfen, welche Investitionen in diesem Jahr auf sie zukommen."
Matthias Röhr, VP Sales & Business Development (DACH) bei aDvens
NIS2 hebt unter dem Schlagwort Cyberhygiene die Wichtigkeit von Zero-Trust-Grundsätzen und Netzwerksegmentierung hervor
"NIS2 weitet die Anforderungen an die IT-Sicherheit von Einrichtungen und Unternehmen deutlich aus. Gleichzeitig fallen durch die Gesetzesnovelle mehr Bereiche unter die Regelungen als zuvor. Ein wichtiges Stichwort der Richtlinie ist die Cyberhygiene, zu der Einrichtungen verpflichtet werden.
Neben regelmäßigen Software-Updates und Schulungen für Mitarbeiter gegen Cyberbedrohungen wie Phishing und Social Engineering unterstreicht die Richtlinie die Wichtigkeit von Identitäts- und Zugriffsmanagement, Zero-Trust-Grundsätzen und Netzwerksegmentierung.
Gerade die Mikro-Segmentierung von Netzwerken kann die immer größer werdende Gefahr eines Ransomware-Angriffs durch restriktive Filterrichtlinien effektiv eindämmen, wenn Angreifer daran gehindert werden, sich auf ein benachbartes Segment auszubreiten. Sie leistet damit einen nicht zu unterschätzenden Beitrag für die Cyberhygiene eines Unternehmens."
Elmar Albinger, Regional Sales Director bei AlgoSec
Mit NIS2 muss sowohl Cyber- als auch physische Sicherheit neu gedacht werden – und zwar als intelligent vernetztes System
"Verantwortliche, die vor dem Hintergrund von NIS2 Sicherheitslösungen planen, umsetzen und betreiben, müssen sicherstellen, dass diese nicht nur den heutigen Anforderungen an physische und Cybersicherheit entsprechen, sondern sich auch an zukünftige Herausforderungen anpassen lassen.
Konkret bedeutet dies, dass sie die Lösung als Teil eines komplexen, vernetzten Systems verstehen müssen, nicht als eine Einzellösung neben anderen Einzellösungen. Denn selbst wenn eine bestimmte Komponente eines Systems, beispielsweise Netzwerk-Kameras, nicht als für das System kritisch eingestuft wird, kann diese dennoch eine Schwachstelle enthalten, über die ein Angreifer einen Angriff auf andere, kritische Komponenten starten kann.
Dies bedeutet, dass auch Technologien für die physische Sicherheit im Rahmen der NIS2-Richtlinie gründlich evaluiert und neu bewertet werden müssen, um mögliche Risiken aufzuzeigen."
Jochen Sauer, Architect & Engineering Manager bei Axis Communications
Die Anforderungen von NIS2 lassen sich nur durch sicheres Gerätemanagement vollständig erfüllen
"Mit der NIS2-Richtlinie schärft die EU den Anforderungskatalog an Unternehmen hinsichtlich IT-Sicherheit signifikant. Die Sicherheit und der Schutz von Endgeräten stellen dabei oftmals einen blinden Fleck dar, da die Prioritäten der Verantwortlichen typischerweise primär auf Systemen und Software liegen.
Ohne bestmöglich abgesicherte Endgeräte sind jedoch auch diese geschäftskritischen Systeme weiterhin gefährdet, da Angreifer über die ungesicherten Endgeräte die übrigen Schutzmaßnahmen umgehen können. Viele der Anforderungen, die mit der NIS2-Richtlinie auf Unternehmen zukommen, lassen sich also nur dann realistisch erfüllen, wenn die Sicherheitsverantwortlichen zu jeder Zeit den vollen Überblick darüber haben, was auf ihren Geräten und in ihren Systemen passiert.
Das bedeutet, dass Lösungen für die sichere Bereitstellung, den kontinuierlichen Schutz sowie die umfassende Verwaltung von Geräteflotten in Zukunft noch wichtiger werden, um ein entsprechendes Level an Transparenz zu gewährleisten und die NIS2-Anforderungen zu erfüllen."
Henrik Nitsche, Security Solution Manager bei Jamf
NIS2 muss mit den Entwicklungen der Cybersicherheitslandschaft Schritt halten
"Die NIS2-Richtlinie legt einen verbindlichen Mindeststandard fest, welche Organisationen und Entitäten als essenziell gelten sollen. Dies ist grundsätzlich eine positive Entwicklung, da auf diese Weise der Schutz dieser gezielter und damit effektiver gestaltet werden kann.
Wie bei allen Gesetzen und Regulationen besteht jedoch auch in diesem Fall die Gefahr, dass sie schon bald nicht mehr den neuesten Stand der Cybersicherheitsforschung abbildet. Die Cybersicherheitslandschaft verändert sich durch große Sprachmodelle und andere Formen der künstlichen Intelligenz aktuell rapide. Dementsprechend ist es wichtig, dass Forschung, Verteidigung und Regulation damit Schritt halten.
Es ist also nicht damit getan, die Richtlinie zu verabschieden und zu implementieren, sie muss auch kontinuierlich evaluiert und aktualisiert werden."
Pieter Arntz, Malware Intelligence Researcher bei Malwarebytes
Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
"Cybersicherheit in Unternehmen ist wie ein Frachtnetz: Es reicht nicht, dass das Netz selbst mehrere Tonnen absichern kann, auch die Bolzen, mit denen es befestigt ist, müssen dieses Gewicht aushalten können. Genauso erfordert die Einhaltung der NIS2-Richtlinie, dass alle Mitarbeiter im Erkennen von und Umgang mit Cyber-Risiken geschult sind, nicht nur die entsprechenden Verantwortlichen. Dafür müssen entsprechende Schulungsprogramme zeitnah auf- und umgesetzt werden.
Mit einer einmaligen Schulung oder einer Rund-Mail kurz vor dem NIS2-Stichtag ist es nicht getan, da sich die Cybersicherheitslandschaft – und welche Standards als Best Practice gelten – auch in Zukunft weiterhin wandeln werden. Dies bedeutet, dass die Formate, mit denen die Mitarbeiter geschult werden sollen, diese auch auf lange Sicht erreichen müssen, um Engagement mit dem Thema Cybersicherheit und damit Compliance mit NIS2 sicherzustellen.
Dies wird langfristig gedachte Kommunikationsstrategien und innovative Formate erfordern, beispielsweise in Form von kurzen Video-Tutorials, die konkrete Handlungsempfehlungen für den Arbeitsalltag aufzeigen, statt das Thema Cybersicherheit als großes Ganzes zu erklären versuchen."
Troy Stein, General Manager der TechSmith GmbH
(Schwartz Public Relations: ra)
eingetragen: 18.04.24
Newsletterlauf: 27.06.24
Schwartz Public Relations: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.