Neue NIS2-Richtlinie: Neue Regeln für mehr Cybersicherheit

Cyberangriffe nehmen immer weiter zu und werden zunehmend ausgefeilter. Die Angriffe von 2022 machten deutlich, dass Cyberbedrohungen wie Ransomware, Phishing und Präsidentschaftsbetrug nicht zwischen kleinen, mittleren und großen Unternehmen unterscheiden. Dieser Trend hin zu “Lieferkettenangriffen”, bei denen Subunternehmer die Netzwerke ihrer Kunden ins Visier nehmen, hat zugenommen, wie bemerkenswerte Fälle wie der von SolarWinds belegen. Im Jahr 2020 gab SolarWinds, ein auf Netzwerkmanagement- und IT-Sicherheitssoftware spezialisiertes Unternehmen, bekannt, dass es von Cyberkriminellen infiltriert worden war, die seine Orion-Software kompromittiert hatten. Dieser Angriff ermöglichte es den Angreifern, schädliche Updates für diese Software an zahlreiche Kundenorganisationen zu verteilen. Die Angreifer schafften es, Schadcode in Updates für die SolarWinds-Orion-Software einzuschleusen, was zur Kompromittierung der Netzwerke vieler Unternehmen und Regierungsbehörden führte, die die Software nutzten. Dieser Vorfall erregte großes Aufsehen und sorgte für großes Aufsehen. Der Angriff wurde als “Lieferkettenangriff“ bezeichnet. Der SolarWinds-Angriff wurde als ”Angriff“ bezeichnet, da er das Vertrauen der Nutzer in Software-Updates einer vertrauenswürdigen Quelle ausnutzte. Der Angriff hatte weitreichende Folgen und legte potenzielle Schwachstellen in der Software-Lieferkette offen, was viele Unternehmen veranlasste, ihre Sicherheitsmaßnahmen zum Schutz vor solchen Angriffen zu verstärken. Unternehmen wählen direkt aus Cyberkriminelle nutzen zunehmend Subunternehmer, um leichter in die Netzwerke ihrer Kunden einzudringen. Alle Unternehmen sind heutzutage anfällig für Cyberangriffe. Kleine und mittlere Unternehmen sind 4,5-mal häufiger von folgenden Problemen betroffen: Cyberangriffe als größere Unternehmen zusammen. Sie werden gezielt mit Schadsoftware angegriffen, die ihre Informationssysteme verschlüsseln und ihre Backups zerstören kann. Diese Vorgehensweise hat sich in schwerwiegendsten Fällen als äußerst gefährlich erwiesen und kann zu Geschäftsausfällen führen. Dies unterstreicht, wie wichtig es ist, dass alle Unternehmen auf jegliche Angriffe vorbereitet sind.

Vor diesem Hintergrund stellt die NIS2-Richtlinie (Richtlinie zur Sicherheit von Netz- und Informationssystemen) eine wichtige Weiterentwicklung zur Stärkung des Schutzes digitaler Infrastrukturen in Europa dar. Die NIS2-Richtlinie, Nachfolgerin der NIS1-Richtlinie, ist eine von mehreren wichtigen Initiativen zur Schaffung eines robusteren und harmonisierten Rahmens für die Sicherheit von Netz- und Informationssystemen. Viele Unternehmen diskutieren und hinterfragen diese neue Richtlinie eingehend. Welche Auswirkungen und welche Bedeutung wird sie für Unternehmen und Behörden in der EU haben?

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Netzwerk- und Informationssicherheit, Version 2) ist eine Europäische Regulierung Die NIS2-Richtlinie dient der Harmonisierung und Stärkung der Cybersicherheit in der EU. Sie ist die Nachfolgerichtlinie der NIS-1-Richtlinie und führt neue Maßnahmen ein, um ein hohes Sicherheitsniveau für Netzwerk- und Informationssysteme zu gewährleisten. Die NIS2-Richtlinie wurde im Januar 2023 verabschiedet. Die EU-Mitgliedstaaten haben eine Frist, um diese Richtlinie in nationales Recht umzusetzen.

Wer ist von NIS2 betroffen?

Die NIS2-Richtlinie deckt ein breites Spektrum an Wirtschaftssektoren ab. Sie richtet sich an private Unternehmen, öffentliche Verwaltungen und andere in der EU tätige Einrichtungen.
Eines der strategischen Ziele von NIS2 ist die Erweiterung des Anwendungsbereichs von NIS NIS2 umfasst Betreiber wesentlicher Dienstleistungen und Anbieter digitaler Dienste in Sektoren, die als “kritisch für Wirtschaft und Gesellschaft” gelten. NIS2 deckt Anbieter öffentlicher elektronischer Kommunikationsdienste, digitaler Dienste (einschließlich sozialer Netzwerkplattformen und Rechenzentrumsdienste) und Gesundheitsdienstleistungen ab, darunter auch Unternehmen aus den Bereichen Medizinprodukte und Biowissenschaften, insbesondere der pharmazeutischen Forschung und Entwicklung., und Hersteller von Medizinprodukten.

Die NIS-2-Richtlinie betrifft hauptsächlich zwei Kategorien von Einrichtungen:

Betreiber von lebenswichtigen Dienstleistungen (OSE): Systemrelevante Einrichtungen (SE) waren bereits in der ersten Fassung der NIS1-Richtlinie enthalten. Systemrelevante Einrichtungen sind Einrichtungen, die Dienstleistungen erbringen, die für Gesellschaft und Wirtschaft unerlässlich sind. Dazu gehören Sektoren wie Energie, Verkehr, Gesundheitswesen, Banken und Finanzdienstleistungen, Wasserversorgung, digitale Infrastruktur und digitale Dienstleistungen.

Digitale Dienstanbieter (DSP): Wichtige Akteure. Digitale Serviceanbieter (DSPs) und Internetanbieter (IEs) sind Unternehmen oder Organisationen, die digitale Dienste wie Cloud-Dienste, Online-Plattformen, Suchmaschinen, E-Commerce-Dienste und ähnliche Dienste anbieten. Sie fallen unter die Richtlinie, wenn sie bestimmte Schwellenwerte hinsichtlich der Nutzerzahl oder des wirtschaftlichen Werts der angebotenen Dienste erreichen.

Gemäß der NIS-2-Richtlinie gilt ein Unternehmen als wesentlich oder bedeutend, wenn es zwei Kriterien erfüllt:

• Unternehmensgröße (Anzahl der Beschäftigten, Umsatz, Jahresbilanz);
• Geschäftskritik: Um welche Art von Einheit handelt es sich bei den von der Einheit durchgeführten Aktivitäten?

Was sind die wichtigsten Änderungen im Vergleich zu NIS1?

Die NIS-2-Richtlinie führt im Vergleich zur NIS-1-Richtlinie mehrere wichtige Änderungen ein, darunter:

Erweiterung des Anwendungsbereichs: NIS2 erweitert den Anwendungsbereich der Richtlinie auf ein breiteres Spektrum von Wirtschaftssektoren und Anbietern digitaler Dienste, was bedeutet, dass neue Kategorien von Unternehmen Cybersicherheitsverpflichtungen unterliegen könnten.
Verbesserte Sicherheitsanforderungen: Die Richtlinie sieht erhöhte Sicherheitsanforderungen vor, darunter strengere Maßnahmen zur Notfallvorsorge und zum Vorfallmanagement sowie strengere Meldepflichten für Vorfälle.
Sicherheitsbewertung: NIS 2 führt ein Sicherheitsbewertungssystem ein, um die Widerstandsfähigkeit von Sicherheitsdienstleistern und Sicherheitsorganisationen zu beurteilen. Dies ermöglicht es den zuständigen Behörden, Akteure mit einem höheren Sicherheitsniveau zu identifizieren.

Die NIS-2-Richtlinie führt mehrere neue Verpflichtungen für die betroffenen Einrichtungen ein. Für wichtige und kritische Einrichtungen müssen neue technische, organisatorische und betriebliche Maßnahmen ergriffen werden:

1. Vertragliche Verpflichtung zur Gewährleistung der Sicherheit in der Lieferkette. Unternehmen müssen sicherstellen, dass die Informationssicherheit entlang der gesamten Lieferkette gewährleistet ist. Dies bedeutet, dass auch Lieferanten, Subunternehmer und andere Partner angemessene Sicherheitsstandards einhalten müssen.
2. Meldepflicht. Die Richtlinie schreibt vor, dass Sicherheitsvorfälle, die erhebliche Auswirkungen auf die Aufrechterhaltung wesentlicher Dienstleistungen haben, den zuständigen Behörden innerhalb einer bestimmten Frist gemeldet werden müssen.
3. Managementverantwortung. Das Management ist dafür verantwortlich, dass Sicherheitsrichtlinien und -verfahren implementiert, aufrechterhalten und regelmäßig überprüft werden.

Welche Maßnahmen müssen Unternehmen und lokale Behörden ergreifen, um die NIS2-Richtlinie einzuhalten?

Unternehmen und lokale Behörden müssen ihre Sicherheitsstandards erhöhen, Mechanismen zur Meldung von Vorfällen einrichten und gegebenenfalls Risikobewertungen und Sicherheitsaudits durchführen. Sie müssen außerdem eng mit den zuständigen nationalen Behörden zusammenarbeiten.

Umsetzung spezifischer Cybersicherheitsmaßnahmen:

• Umsetzung von Risikoanalysen und Sicherheitsrichtlinien für Informationssysteme. Jede Organisation muss daher ihre Struktur überprüfen, um das Cyberrisiko zu bewerten.,
• Vorfallmanagement,
• Erstellen Sie Notfallpläne (Business Continuity Plans, BCP) und Wiederherstellungspläne (Disaster Recovery Plans, DRP). Maßnahmen zur Sicherstellung der Betriebskontinuität im Falle eines Vorfalls. Dazu gehören beispielsweise die ordnungsgemäße Verwaltung von Datensicherungen und Krisenmanagementmaßnahmen.
• Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen,
• Bewertung von Maßnahmen zum Management von Cyberrisiken,
• die Anwendung kryptografischer Richtlinien und Verfahren sowie der Einsatz kryptografischer Techniken zur Verschlüsselung von Informationen zum besseren Schutz,
• Richtlinien für Anlagenverwaltung und Zugangskontrolle: vorbildliche Zugangskontrolle, um unbefugtes Eindringen zu vermeiden und von robuster Sicherheit zu profitieren,
• Schulung der Mitarbeiter in guter Cyberhygiene, einschließlich bewährter Verfahren, die im gesamten Unternehmen systematisiert werden sollen.,
• Implementierung von Multi-Faktor-Authentifizierungslösungen. Multi-Faktor-Authentifizierung (MFA) und starke Authentifizierung sollten zur Erhöhung der Sicherheit bevorzugt werden.
• die Verpflichtung für Unternehmen, ANSSI innerhalb von 24 Stunden eine erste Warnung zukommen zu lassen Ereignis eines Sicherheitsvorfalls.

Welchen Risiken ist ein Unternehmen ausgesetzt, wenn es diese Richtlinie nicht einhält?

Unternehmen, die die NIS-2-Richtlinie nicht einhalten, müssen mit finanziellen Strafen rechnen. NIS 2 führt ein System von Bußgeldern bei Nichteinhaltung ein. Die maximalen Bußgelder für “wesentliche” Unternehmen betragen entweder 10 Millionen Euro oder 2,1 Billionen Billionen des weltweiten Jahresumsatzes bzw. 7 Millionen Euro oder 1,4 Billionen Billionen des weltweiten Jahresumsatzes. Insbesondere wenn die Nichteinhaltung von NIS 2 auch zu einer Verletzung des Schutzes personenbezogener Daten führen könnte, werden nach den EU-Systemen von NIS 2 und DSGVO keine Bußgelder verhängt, sofern die Verletzung auf denselben Sicherheitsvorfall zurückzuführen ist. Darüber hinaus können Unternehmen im Falle eines Sicherheitsvorfalls, der auf Nichteinhaltung zurückzuführen ist, für alle betrieblichen oder finanziellen Schäden haftbar gemacht werden. Jeder Mitgliedstaat hat eigene Regelungen. Zu Oktober 2024 Spätestens müssen die Länder die NIS2-Richtlinie in nationales Recht umsetzen. Es ist denkbar, dass einige Länder diesen Prozess beschleunigen werden, da die nationalen Fassungen der NIS2 auf den bestehenden nationalen Fassungen der NIS1 basieren.

Verantwortung für das Topmanagement

Die NIS-2-Richtlinie unterstreicht die Verantwortung des Topmanagements in Organisationen. Dieses muss eine aktive Rolle im Bereich Cybersicherheit übernehmen und sicherstellen, dass geeignete Maßnahmen zum Schutz von Netzwerken und Informationssystemen getroffen werden.

Sensibilisierung der Teams und des Managements

Cybersicherheitsbewusstsein ist entscheidend für die Einhaltung der NIS2-Richtlinie. Unternehmen müssen in die Schulung ihrer Mitarbeiter investieren, damit diese Cyberbedrohungen erkennen und ihnen vorbeugen können. Auch das Management muss sich der Bedeutung von Cybersicherheit und der Einhaltung der Richtlinie bewusst sein.

Die NIS-2-Richtlinie stellt einen wichtigen Meilenstein für die Stärkung der Cybersicherheit in Europa dar. Unternehmen und lokale Behörden müssen unverzüglich Maßnahmen ergreifen, um diese Regeln einzuhalten, ihre Widerstandsfähigkeit gegen Cyberangriffe zu stärken und Sicherheitsvorfälle zu verhindern. Die Einhaltung der Richtlinie ist unerlässlich, um erhebliche finanzielle Strafen zu vermeiden und den Ruf und das Vertrauen in Ihr Unternehmen zu schützen. Zahlreiche Ressourcen stehen Unternehmen zur Verfügung, um die NIS-2-Richtlinie umzusetzen, beispielsweise die Leitfäden und Empfehlungen der französischen ANSSI (Agence nationale de la sécurité des systèmes d’information). Alternativ können Sie spezialisierte Cybersicherheitsdienstleister hinzuziehen, um Ihr Unternehmen bei seinen Bemühungen zu unterstützen.

Die Lösungen von Altospam unterstützen Unternehmen bei der teilweisen Einhaltung der NIS2-Richtlinie, indem sie die Sicherheit ihrer E-Mails (dem primären Angriffsvektor) stärken und ihre Informationssysteme vor Cyberbedrohungen schützen. Altospam Mailsafe bietet fortschrittlichen Schutz vor Bedrohungen wie Phishing-Angriffen, Ransomware und Malware. Die Anti-Spam-, Anti-Phishing-, Anti-Ransomware- und Anti-Malware-Filter der Lösung blockieren schädliche E-Mails, bevor diese die Postfächer der Nutzer erreichen. Die Lösungen von Altospam können ein wichtiger Bestandteil der Gesamtsicherheitsstrategie eines Unternehmens zur Erfüllung der NIS2-Anforderungen sein. Für die vollständige Einhaltung ist jedoch ein ganzheitlicher Ansatz für Informationssicherheit und Risikomanagement erforderlich.