Die Richtlinie zur Netz- und Informationssicherheit (NIS2) ist ein wichtiges Regelwerk in der Europäischen Union. Sie zielt darauf ab, Netz- und Informationssysteme in allen Mitgliedsländern zu schützen. Diese Richtlinie schafft eine einheitliche Strategie zur Verbesserung der Cybersicherheit und der Widerstandsfähigkeit gegen digitale Bedrohungen. Anstatt nur Richtlinien vorzuschlagen, stellt sie sicher, dass alle Mitgliedsstaaten über starke Sicherheitsmaßnahmen verfügen.

Im Folgenden werden wir uns mit der NIS2-Richtlinie, ihrer Überwachung in den EU-Mitgliedstaaten und den zu überwachenden Bereichen befassen. Außerdem werden wir uns die NIS2-Sanktionen für die Nichteinhaltung der Richtlinie ansehen und wie Sie diese einhalten können (um Sanktionen zu vermeiden).

Was ist NIS2?

Die NIS2-Richtlinie ist ein aktualisiertes EU-Cybersicherheitsgesetz, das die ursprüngliche NIS-Richtlinie ersetzt. NIS2 zielt darauf ab, das allgemeine Niveau der Cybersicherheit in der EU zu verbessern, indem strengere Risikomanagement- und Meldepflichten für ein breiteres Spektrum öffentlicher und privater Einrichtungen festgelegt werden.

Die NIS2 stellt eine bedeutende Entwicklung in den Bemühungen der EU dar, die Widerstandsfähigkeit der Cybersicherheit zu stärken. Aufbauend auf ihrer Vorgängerin setzt diese Richtlinie einen klareren Fokus, der eine größere Bandbreite von Sektoren umfasst und gleichzeitig klarere, robustere regulatorische Erwartungen festlegt. Die NIS2 unterstreicht die zunehmende Dringlichkeit, die kritischen Infrastrukturen Europas vor den sich entwickelnden Cyber-Bedrohungen zu schützen, und stellt sicher, dass die Organisationen besser gerüstet sind, um Vorfälle zu verhindern, zu erkennen und darauf zu reagieren.

Die NIS2 betrifft ein breites Spektrum privater und öffentlicher Einrichtungen in der EU, die wesentliche oder wichtige Dienstleistungen erbringen. Sie erweitert den Anwendungsbereich im Vergleich zur ursprünglichen NIS-Richtlinie erheblich. Die meisten Organisationen mit mehr als 250 Mitarbeitern oder einem Umsatz von mehr als 50 Millionen Euro in den betroffenen Sektoren werden unter die NIS2 fallen. Allerdings können auch kleinere Organisationen einbezogen werden, wenn sie ein hohes Risiko darstellen oder für die Gesellschaft von entscheidender Bedeutung sind.

Weitere Informationen über NIS2 finden Sie in unserem Blog: Für wen gilt NIS2? Anwendungsbereich und erforderliche Sicherheitsmaßnahmen erklärt.

Aufsicht im Rahmen der NIS2

Gemäß der NIS2-Richtlinie ist jedes Land verpflichtet, eine zuständige Behörde zu benennen, die die Einhaltung der Bestimmungen überwacht und sicherstellt. Diese Behörde spielt eine entscheidende Rolle bei der Beaufsichtigung und Unterstützung von Organisationen, die sich in der Komplexität der Cybersicherheitsvorschriften zurechtfinden müssen. Ihre Aufgaben reichen von der Durchführung von Audits und Risikobewertungen bis hin zur Bereitstellung von Leitlinien für bewährte Verfahren.

Wer macht die NIS2-Überwachung?

Auf europäischer Ebene sind für die Überwachung und Koordinierung der NIS2-Richtlinie in erster Linie die folgenden Stellen zuständig:

1. Agentur der Europäischen Union für Cybersicherheit (ENISA): Die ENISA ist die zentrale EU-Agentur, die die Umsetzung von NIS2 unterstützt.
2. Kooperationsgruppe zwischen EU-Mitgliedern: Ein strategisches Gremium, das sich aus Vertretern aller EU-Mitgliedstaaten, der Europäischen Kommission und der ENISA zusammensetzt.
3. CSIRTs-Netzwerk: Ein Netzwerk nationaler Computer Security Incident Response Teams. Arbeitet an der Koordinierung der Behandlung von Vorfällen über die Grenzen hinweg

Jeder EU-Mitgliedstaat ernennt auch seine eigene zuständige nationale Behörde (NCA ), um die NIS2 auf lokaler Ebene zu überwachen und durchzusetzen, aber diese Einrichtungen arbeiten auf EU-Ebene über die oben genannten Strukturen zusammen.

Wie die Überwachung funktioniert:

Die NIS2-Richtlinie zielt darauf ab, die kollektive Widerstandsfähigkeit der EU im Bereich der Cybersicherheit durch eine ausgewogene Kombination aus proaktiven und reaktiven Aufsichtsmaßnahmen zu stärken. Im Gegensatz zu ihrer Vorgängerin legt die NIS2-Richtlinie größeren Wert darauf, Vorfälle zu verhindern, bevor sie eintreten, und wirksam zu reagieren, wenn sie eintreten.

Proaktive Formen der Überwachung:

Die NIS2-Aufsicht umfasst proaktive Überwachung, Audits, Überprüfungen von Vorfallsberichten und Durchsetzungsmaßnahmen. Ziel ist es, sicherzustellen, dass Organisationen ihre Anforderungen an das Risikomanagement im Bereich der Cybersicherheit und die Meldung von Vorfällen einhalten.

• Regelmäßige Audits und Bewertungen der Cybersicherheitspraktiken von Organisationen
• Überwachung der Einhaltung von Vorschriften durch Echtzeitverfolgung von Cybersicherheitsvorfällen
• Zusammenarbeit mit Organisationen, um Anleitung und Feedback zu Verbesserungen der Cybersicherheit zu geben
• Durchführung von Workshops und Schulungen zur Sensibilisierung und zum besseren Verständnis der NIS2-Anforderungen
• Erstellung von Meldeprotokollen, um die rechtzeitige Übermittlung von Vorfallsberichten zu gewährleisten
• Analyse von Vorfallsmustern zur Ermittlung potenzieller Schwachstellen und Empfehlung proaktiver Maßnahmen

Der proaktive Ansatz zielt darauf ab, Vorfälle zu verhindern und Schwachstellen zu reduzieren, bevor sie ausgenutzt werden.

Reaktives Vorgehen bei der Überwachung

Die reaktive Überwachung konzentriert sich auf die Meldung von Vorfällen, Untersuchungen und Durchsetzungsmaßnahmen, wenn Verstöße auftreten. Diese können sein:

• Analyse nach einem Vorfall, um die Ursachen zu verstehen und eine Wiederholung zu verhindern.
• Verhängung von Strafen und Sanktionen, wenn Verstöße gegen die Vorschriften festgestellt werden.
• Durchführung von Audits und Bewertungen nach Sicherheitsverletzungen oder Cyber-Vorfällen.
• Durchsetzung eines vorübergehenden Verbots der Wahrnehmung von Führungsaufgaben bei Nichteinhaltung der Vorschriften.
• Überprüfung und Überarbeitung von Sicherheitsprotokollen als Reaktion auf Verstöße gegen Vorschriften.
• Vorgabe von Berichten über Vorfälle und Aktionsplänen für die Aufsichtsbehörden nach einem Vorfall.

Der reaktive Ansatz stellt sicher, dass Vorfälle, wenn sie auftreten, effektiv behandelt und gründlich dokumentiert werden und zu Verbesserungen führen.

Darüber hinaus müssen Organisationen in der Lage sein, ihrer nationalen Aufsichtsbehörde auf Anfrage - oder bei Audits, Inspektionen oder nach einem Vorfall - die Einhaltung der Vorschriften nachzuweisen. Dabei geht es nicht nur darum, die Einhaltung der Vorschriften zu behaupten, sondern auch darum, sie mit Beweisen zu belegen. Zusammen bilden diese beiden Ansätze ein solides Rahmenwerk, das die Risiken minimiert, die Reaktionsfähigkeit auf Vorfälle verbessert und die kontinuierliche Verbesserung fördert.

Sanktionen für Verstöße in der NIS2

NIS 2 bietet 10 Millionen Gründe, die Vorschriften einzuhalten.  

Die Aufsichtsbehörden verfügen über eine Reihe von Durchsetzungsmaßnahmen, die sie bei nicht konformen Organisationen anwenden können. Diese Sanktionen sollen eine sinnvolle Rechenschaftspflicht und die Einhaltung von Cybersicherheitsstandards gewährleisten. Als Nächstes wollen wir uns diese Formen von Strafmaßnahmen ansehen.

Arten von Sanktionen:

Verbindliche Aufträge

Zu diesen Maßnahmen können Anordnungen gehören, den Betrieb in Übereinstimmung mit den Vorschriften zu bringen, was die Umsetzung spezifischer Sicherheitsmaßnahmen oder die Durchführung regelmäßiger Audits beinhalten kann. Mit solchen Abhilfemaßnahmen sollen Mängel behoben und künftige Verstöße verhindert werden. Dies können sein:

• Sicherheits-Upgrades: Sicherstellen, dass die richtigen technischen und organisatorischen Maßnahmen ergriffen werden, wie bessere Zugangskontrollen, Verschlüsselung und Systeme zur Erkennung von Bedrohungen.
• Überarbeitung von Richtlinien: Die Aktualisierung oder Verbesserung von Cybersicherheitsrichtlinien und -protokollen wird gefordert.
• Verbesserungen bei der Berichterstattung: Sicherstellung, dass die Systeme zur Erkennung und Meldung von Vorfällen gut und schnell funktionieren.
• Management von Drittanbietern: Behebung von Problemen im Umgang von Unternehmen mit Risiken in der Lieferkette.

Verbindliche Anordnungen sind direkte Befehle von Aufsichtsbehörden, die bestimmte Maßnahmen zur Behebung von Compliance-Verstößen verlangen. Die Nichtbeachtung dieser Anordnungen kann zu höheren Bußgeldern oder noch härteren Strafen führen, wie Einschränkungen oder Verbote der Geschäftstätigkeit.

Verwaltungsrechtliche Geldbußen

Verwaltungsstrafen sind die häufigste Art von Sanktionen bei Nichteinhaltung der Vorschriften.

• Fehler bei den Sicherheitsmaßnahmen: Es werden nicht die richtigen technischen und organisatorischen Schritte zum Schutz der Cybersicherheit unternommen.
• Verpasste Vorfallwarnungen: Das Versäumnis, größere Vorfälle schnell zu melden, in der Regel innerhalb von 24 Stunden, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden.
• Unzureichende Risikokontrollen: Keine regelmäßige Bewertung und Dokumentation von Cybersicherheitsrisiken.
• Versäumnisse bei der Überwachung der Lieferkette: Nicht sicherstellen, dass Lieferanten die Cybersicherheitsstandards erfüllen.

Die Geldbußen für Verstöße können beträchtlich sein: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Vorübergehende Verbote für verantwortliches Personal

Ja, NIS2 kann persönlich werden. Im Gegensatz zu früheren Richtlinien erkennt NIS2 die Bedeutung der individuellen Verantwortlichkeit an, indem es den Behörden erlaubt, vorübergehende Verbote gegen Führungskräfte oder andere verantwortliche Mitarbeiter zu verhängen. Die Behörden können bestimmten Personen vorübergehend untersagen, Führungs- oder Betriebsfunktionen innerhalb ihrer Organisation auszuüben. Diese Verbote werden jedoch nicht leichtfertig ausgesprochen, da sie ein relativ hohes Maß an Fahrlässigkeit erfordern:

• Grobe Fahrlässigkeit oder Missmanagement: Wenn die Handlungen (oder Untätigkeit) von Führungskräften direkt zu Sicherheitsverletzungen oder zur Nichteinhaltung von Vorschriften führen.
• Versäumnis, Abhilfemaßnahmen zu ergreifen: Wenn Führungskräfte bekannte Risiken ignorieren oder Anweisungen zur Beseitigung dieser Risiken nicht befolgen.
• Unzureichende Aufsicht über die Reaktion auf Vorfälle: Wenn Führungskräfte nicht sicherstellen, dass Vorfälle ordnungsgemäß gemeldet und Wiederherstellungsmaßnahmen ergriffen werden.

Wie man die Vorschriften einhält (und Strafen vermeidet)

Nachdem wir nun erläutert haben, wie die NIS2-Überwachung funktioniert und welche Strafen Ihnen bei Nichteinhaltung drohen, wäre es sicher schön, Tipps zu hören, wie diese Strafen vermieden werden können. Im Folgenden finden Sie einige wichtige Tipps, die Ihnen dabei helfen, die Vorschriften einzuhalten und auf lange Sicht zu wahren.

Risikobewertungen und Lückenanalyse

Um die NIS2-Vorschriften zu erfüllen, sollten Sie zunächst eine umfassende Risikobewertung durchführen, um mögliche Bedrohungen und Schwachstellen der Cybersicherheit zu ermitteln. Das bedeutet, dass Sie Ihre derzeitige Sicherheit überprüfen und herausfinden müssen, wo Sie sich verbessern müssen, um die NIS2-Standards zu erfüllen. Eine Lückenanalyse kann Aufschluss darüber geben, welche Maßnahmen Sie bereits ergriffen haben und was noch getan werden muss, um die Vorschriften einzuhalten.

Cyberday bietet ein kostenloses, 15-minütiges Bewertungstool an, um Ihre NIS2-Fähigkeit zu beurteilen. Wenn Sie neu bei Cyberday sind, können Sie Ihre NIS2-Konformität bewerten und einen verlängerten Testzeitraum starten und die Ergebnisse der Bewertung im Produkt verwenden. Wenn Sie ein Cyberday haben, können Sie die Konformität innerhalb des Produkts bewerten.

Bewusstsein des Personals

Investitionen in Mitarbeiterschulungen und Sensibilisierungsprogramme sind für die Einhaltung der Vorschriften von entscheidender Bedeutung. Unternehmen sollten ihre Mitarbeiter über bewährte Verfahren der Cybersicherheit und die spezifischen Anforderungen von NIS2 schulen. Regelmäßige Schulungen können den Mitarbeitern helfen, potenzielle Sicherheitsvorfälle zu erkennen und effektiv darauf zu reagieren.

Eine Möglichkeit, Richtlinien zur Informationssicherheit an die Mitarbeiter zu verteilen, ist ein ISMS wie Cyberday, bei dem Richtlinien mit Fallbeispielen und Kompetenztests erstellt und in das persönliche Guidebook der Mitarbeiter oder sogar direkt in MS Teams aufgenommen werden können.

Mit Dokumenten und Prüfungen auf dem Laufenden bleiben

Mit Hilfe der Dokumentation können Sie nachweisen, dass Sie die gesetzlichen Vorschriften einhalten. Indem Sie Ihre Prozesse, Verfahren und Schritte zur Einhaltung der Vorschriften sorgfältig dokumentieren, schaffen Sie eine klare Dokumentation, die Sie bei Audits oder Inspektionen vorlegen können. Es ist wichtig, diese Dokumentation auf dem neuesten Stand zu halten, damit sie den aktuellen Vorschriften und den Abläufen in Ihrem Unternehmen entspricht. Diese Dokumentationen können auf Anfrage auch als Nachweis für die Einhaltung der Vorschriften dienen.

Regelmäßige Überprüfungen, wie z. B. interne oder externe Audits, helfen Ihnen, auf die Einhaltung der Vorschriften vorbereitet zu sein und das Risiko von Strafen bei Nichteinhaltung zu verringern. Sie sollten interne Audits durchführen, um zu sehen, wie es um Ihre Cybersicherheit bestellt ist, und um Bereiche zu erkennen, die nicht dem Standard entsprechen. Die Hinzuziehung externer Experten für ein externes Audit kann Ihnen zusätzliche Sicherheit geben.

Mit der NIS2-Richtlinie, die in einem flexiblen ISMS wie Cyberday bearbeitet wird, können Sie die Dokumentation zur Einhaltung der Vorschriften mit einem Mausklick erhalten, ganz einfach und mit aktuellen Informationen. Interne und externe Audits werden mit einem ISMS ebenfalls erleichtert, da alle Informationen an einem Ort verfügbar sind.

Umsetzung bewährter Verfahren (z. B. ISO 27001)

Die Entwicklung einer soliden Cybersicherheitsstrategie ist unerlässlich. Diese Strategie sollte klare Richtlinien und Verfahren für die Erkennung von Vorfällen, die Reaktion darauf und die Wiederherstellung umfassen. Die Organisationen sollten sicherstellen, dass diese Richtlinien mit den NIS2-Anforderungen übereinstimmen und regelmäßig aktualisiert werden, um neuen Bedrohungen zu begegnen.

Das Problem ist jedoch, dass Rechtsvorschriften wie NIS2 keine direkten Umsetzungsmaßnahmen bieten. Daher werden freiwillige Normen wie ISO 27001 empfohlen, die Maßnahmen zur Einhaltung der Vorschriften vorsehen und mit den NIS2-Anforderungen Hand in Hand gehen, um die Einhaltung zu erreichen. ISO 27001 bietet außerdem bessere Dokumentationsmöglichkeiten für die nachweisliche Einhaltung der Vorschriften, und mit einer ISO 27001-Zertifizierung können Sie auch Ihre Übereinstimmung mit den NIS2-Anforderungen nachweisen. Wir haben auch einen Leitfaden dazu erstellt - und Sie können das Buch " NIS2 ready with ISO 27001 best practices " kostenlos herunterladen.  

Abschließende Gedanken

NIS2 ist nicht nur ein Leitfaden, sondern ein Gesetz. Eine proaktive Einhaltung der Vorschriften ist billiger (und einfacher) als die Verhängung von Strafen. Aber wenn wir es geschafft haben, Sie wegen der Strafen zu erschrecken, lassen Sie mich nur Folgendes sagen: Die NIS2-Richtlinie ist streng, aber fair und bietet Organisationen die Möglichkeit, Probleme zu beheben, bevor Strafmaßnahmen verhängt werden.

‍