Die Bedrohungslage im Cyberraum hat sich in den vergangenen Jahren drastisch verändert. Ransomware-Angriffe legen Unternehmen lahm, Daten werden gestohlen, Lieferketten kompromittiert und selbst öffentliche Verwaltungen geraten zunehmend ins Visier professioneller Hackergruppen. Längst sind nicht mehr nur große Konzerne betroffen – auch mittelständische Unternehmen, Kommunen und Betreiber wichtiger Dienstleistungen stehen regelmäßig unter Beschuss.

Mit der NIS-2-Richtlinie hat die Europäische Union auf diese Entwicklung reagiert und die Anforderungen an die Informations- und Cybersicherheit deutlich verschärft. Viele Organisationen müssen künftig umfangreiche organisatorische und technische Maßnahmen umsetzen, um ihre IT-Systeme besser gegen Angriffe zu schützen.

In diesem ersten Teil unserer Serie lernen Sie die Grundlagen kennen: Was genau ist NIS-2? Warum wurde die Richtlinie eingeführt? Wer ist betroffen? Und was erwartet Sie in den kommenden Teilen dieser Blogserie?

Was bedeutet NIS-2?

Die Abkürzung NIS steht für Network and Information Security, also Netzwerk- und Informationssicherheit.

NIS-2 ist die zweite Version der europäischen Richtlinie zur Verbesserung der Cybersicherheit innerhalb der Europäischen Union. Offiziell trägt sie den Namen:

Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union.

Das Ziel ist einfach formuliert:

Die Europäische Union möchte erreichen, dass wichtige Unternehmen und öffentliche Einrichtungen besser gegen Cyberangriffe geschützt sind und Sicherheitsvorfälle schneller erkennen, melden und bewältigen können.

Dabei geht es längst nicht mehr nur um Firewalls oder Virenscanner. Vielmehr fordert NIS-2 ein ganzheitliches Sicherheitsmanagement, das Technik, Organisation und Prozesse gleichermaßen berücksichtigt.

Warum beschäftigt sich die EU überhaupt mit Cybersicherheit?

Unsere Gesellschaft ist heute stärker denn je von digitalen Systemen abhängig.

Beispiele sind:

• Energieversorgung
• Wasserversorgung
• Gesundheitswesen
• Verkehr
• Banken
• Telekommunikation
• Rechenzentren
• Cloud-Anbieter
• Öffentliche Verwaltungen
• Lebensmittelversorgung
• Logistik
• Industrie

Fällt eines dieser Systeme durch einen Cyberangriff aus, können die Auswirkungen erheblich sein:

• Produktionsstillstände
• Lieferengpässe
• Ausfälle öffentlicher Dienstleistungen
• Datenverluste
• Erpressung durch Ransomware
• Hohe finanzielle Schäden
• Vertrauensverlust bei Kunden und Bürgern

Die vergangenen Jahre haben eindrucksvoll gezeigt, dass Cyberangriffe längst zu den größten Risiken für Unternehmen und Staaten gehören.

Die Entstehung der NIS-2-Richtlinie

Bereits im Jahr 2016 verabschiedete die Europäische Union die erste NIS-Richtlinie.

Damals standen vor allem Betreiber kritischer Infrastrukturen im Mittelpunkt, beispielsweise:

• Stromversorger
• Wasserwerke
• Krankenhäuser
• Telekommunikationsunternehmen

Die erste Richtlinie war ein wichtiger Schritt, offenbarte jedoch im Laufe der Jahre einige Schwächen:

• Unterschiedliche Umsetzung in den Mitgliedstaaten
• Uneinheitliche Sicherheitsstandards
• Zu kleiner Kreis betroffener Unternehmen
• Fehlende Anforderungen an Lieferketten
• Unterschiedliche Meldepflichten

Hinzu kam die massive Zunahme professioneller Cyberangriffe.

Spätestens nach zahlreichen Ransomware-Wellen und Angriffen auf Krankenhäuser, Behörden und Industrieunternehmen wurde deutlich:

Die ursprüngliche Richtlinie reicht nicht mehr aus.

Deshalb verabschiedete die EU Ende 2022 die deutlich umfassendere NIS-2-Richtlinie.

Die Ziele der Europäischen Union

Mit NIS-2 verfolgt die Europäische Union mehrere zentrale Ziele.

Einheitliche Sicherheitsstandards

Alle Mitgliedstaaten sollen vergleichbare Mindeststandards für die Cybersicherheit anwenden.

Dadurch entstehen europaweit ähnliche Anforderungen an Unternehmen und Behörden.

Mehr Unternehmen schützen

Während NIS-1 nur einen relativ kleinen Kreis verpflichtete, erweitert NIS-2 den Anwendungsbereich erheblich.

Schätzungen gehen davon aus, dass europaweit mehrere zehntausend zusätzliche Organisationen betroffen sind.

Höhere Widerstandsfähigkeit

Organisationen sollen Cyberangriffe nicht nur verhindern, sondern auch:

• frühzeitig erkennen
• professionell darauf reagieren
• Schäden begrenzen
• den Betrieb schnell wiederherstellen

Verbesserte Zusammenarbeit

Cyberkriminalität macht nicht an Landesgrenzen halt.

NIS-2 soll deshalb den Informationsaustausch zwischen Unternehmen, Behörden und den EU-Mitgliedstaaten verbessern.

Mehr Verantwortung der Unternehmensleitung

Ein besonders wichtiger Punkt:

Geschäftsführungen, Vorstände und Behördenleitungen tragen künftig deutlich mehr Verantwortung für die Informationssicherheit.

Cybersicherheit ist damit keine reine Aufgabe der IT-Abteilung mehr, sondern eine Führungsaufgabe.

Was unterscheidet NIS-2 von der ersten Richtlinie?

Die zweite Richtlinie erweitert den bisherigen Ansatz erheblich.

Zu den wichtigsten Neuerungen gehören:

Deutlich mehr betroffene Organisationen

Nicht mehr nur klassische Kritische Infrastrukturen stehen im Fokus.

Auch viele mittelständische Unternehmen sowie öffentliche Einrichtungen fallen künftig unter die Regelungen.

Höhere Anforderungen

Gefordert werden unter anderem:

• Risikomanagement
• Sicherheitskonzepte
• Incident Response
• Backup-Strategien
• Lieferkettensicherheit
• Zugangskontrollen
• Verschlüsselung
• Mitarbeiterschulungen
• Notfallplanung

Einheitlichere Regeln

Die Mitgliedstaaten erhalten weniger Spielraum bei der Umsetzung.

Dadurch sollen europaweit vergleichbare Sicherheitsniveaus entstehen.

Strengere Aufsicht

Die zuständigen Behörden erhalten umfangreichere Kontrollmöglichkeiten.

Dazu gehören beispielsweise:

• Audits
• Nachweispflichten
• Sicherheitsprüfungen
• Anordnungen
• Sanktionen

Höhere Bußgelder

Bei erheblichen Verstößen können empfindliche Bußgelder verhängt werden.

Dadurch erhält die Richtlinie deutlich mehr Gewicht.

Warum war NIS-2 notwendig?

Cyberangriffe haben sich in den vergangenen Jahren grundlegend verändert.

Früher waren Angriffe häufig das Werk einzelner Hacker.

Heute stehen dahinter oftmals:

• organisierte Cyberkriminalität
• wirtschaftlich motivierte Gruppen
• staatlich unterstützte Angreifer
• professionelle Ransomware-Netzwerke

Moderne Angriffe sind hochgradig organisiert.

Häufig werden zunächst Sicherheitslücken ausgenutzt, anschließend Administratorrechte erlangt und schließlich Daten verschlüsselt oder gestohlen.

Besonders problematisch sind sogenannte Lieferkettenangriffe.

Dabei wird nicht das eigentliche Zielunternehmen angegriffen, sondern ein Dienstleister oder Softwarehersteller, über den anschließend zahlreiche weitere Organisationen kompromittiert werden können.

Diese Entwicklungen machten deutlich, dass klassische IT-Sicherheitsmaßnahmen allein nicht mehr ausreichen.

Wer ist von NIS-2 betroffen?

Eine der häufigsten Fragen lautet:

"Betrifft uns NIS-2 überhaupt?"

Die Antwort lautet häufig:

Ja – deutlich häufiger als viele Unternehmen zunächst vermuten.

Grundsätzlich richtet sich NIS-2 an sogenannte wesentliche Einrichtungen und wichtige Einrichtungen.

Dazu gehören unter anderem Organisationen aus den Bereichen:

• Energie
• Wasser
• Gesundheitswesen
• Transport
• Digitale Infrastruktur
• Cloud-Dienste
• Rechenzentren
• Öffentliche Verwaltung
• Lebensmittelproduktion
• Chemische Industrie
• Abfallwirtschaft
• Post- und Kurierdienste
• Hersteller kritischer Produkte
• Forschungseinrichtungen
• Raumfahrt

Ob eine Organisation tatsächlich unter NIS-2 fällt, hängt neben der Branche auch von ihrer Größe und ihrer Bedeutung ab.

Die genaue Einordnung sowie Ausnahmen und Sonderregelungen betrachten wir ausführlich im nächsten Teil dieser Serie.

NIS-2 ist weit mehr als IT-Sicherheit

Ein häufiger Irrtum besteht darin, NIS-2 ausschließlich als IT-Projekt zu betrachten.

Tatsächlich betrifft die Richtlinie nahezu alle Bereiche einer Organisation:

• Geschäftsführung
• Informationssicherheit
• IT-Abteilung
• Personalwesen
• Einkauf
• Datenschutz
• Compliance
• Revision
• Fachabteilungen
• Notfallmanagement

Cybersicherheit wird damit zu einer unternehmensweiten Aufgabe.

Was Sie in dieser Blogserie erwartet

In den kommenden Teilen dieser Serie begleiten wir Sie Schritt für Schritt bei der Umsetzung der Anforderungen.

Unter anderem behandeln wir:

• Wer tatsächlich unter NIS-2 fällt
• Welche technischen Maßnahmen erforderlich sind
• Risikomanagement verständlich erklärt
• Asset-Management aufbauen
• Benutzer- und Rechteverwaltung
• Netzwerksicherheit
• Server-Härtung
• Backup- und Notfallkonzepte
• Schwachstellenmanagement
• Incident Response
• Meldepflichten
• Lieferkettensicherheit
• Mitarbeiterschulungen
• Dokumentation für Audits
• Umsetzung mit Open-Source-Werkzeugen
• Praxisbeispiele für Unternehmen und Kommunen
• Typische Fehler bei der Einführung
• Eine vollständige Roadmap zur erfolgreichen Umsetzung

Dabei legen wir besonderen Wert auf praxisnahe Beispiele unter Linux und Open-Source-Lösungen, sodass die Inhalte direkt in der täglichen Administration umgesetzt werden können.

NIS-2 ist weit mehr als eine weitere gesetzliche Vorgabe. Die Richtlinie soll dazu beitragen, Unternehmen, Behörden und andere wichtige Einrichtungen widerstandsfähiger gegen Cyberangriffe zu machen. Im Mittelpunkt stehen dabei nicht einzelne technische Lösungen, sondern ein ganzheitlicher Ansatz aus Risikomanagement, organisatorischen Maßnahmen und moderner IT-Sicherheit.

Für viele Organisationen bedeutet dies einen erheblichen Handlungsbedarf – gleichzeitig bietet NIS-2 aber auch die Chance, bestehende Sicherheitsprozesse zu überprüfen und nachhaltig zu verbessern. Wer sich frühzeitig mit den Anforderungen auseinandersetzt, schafft nicht nur die Grundlage für die Einhaltung gesetzlicher Vorgaben, sondern erhöht auch die eigene Resilienz gegenüber einer ständig wachsenden Bedrohungslage.

Im nächsten Teil der Serie klären wir die entscheidende Frage: Wer ist von NIS-2 betroffen? Dabei zeigen wir, welche Branchen und Unternehmensgrößen unter die Richtlinie fallen und wie Sie schnell einschätzen können, ob Ihre Organisation zu den wesentlichen oder wichtigen Einrichtungen gehört.