NIS 2 Anforderungen – Diese Vorgaben müssen Unternehmen erfüllen

Vorgeschriebene IT-Sicherheitsmaßnahmen

Innerhalb von NIS 2 werden vielfältige Maßnahmen genannt.

So sind betroffene Unternehmen verpflichtet, geeignete technische, operative und organisatorische Maßnahmen zu ergreifen, um Sicherheitsrisiken zu beherrschen und die Auswirkungen von IT-Vorfällen zu minimieren. In der Richtlinie sind mehrere Schwerpunkte genannt, die mindestens abgedeckt werden müssen. Dazu zählen unter anderem Konzepte für Risikoanalysen und IT-Sicherheit, klare Verfahren zur Bewältigung von Sicherheitsvorfällen, Maßnahmen zur Aufrechterhaltung des Betriebs (etwa Notfallpläne, Datensicherungen) sowie die Sicherheit der Lieferkette und von Dienstleistern / Subunternehmern. NIS 2 verlangt außerdem Sicherheitsvorkehrungen bei der Beschaffung und Entwicklung von IT-Systemen (z.B. konsequentes Schwachstellen-Management), kontinuierliche Bewertung der Wirksamkeit aller Schutzmaßnahmen sowie grundlegende Cyberhygiene in Form von regelmäßigen Updates und Patches.

Die Information and Security Directive 2 schreibt eine Reihe von IT-Sicherheitsmindeststandards vor, die Unternehmen in ihre Infrastruktur integrieren müssen. So gehören Firewalls, Intrusion-Detection/Prevention-Systeme (IDS/IPS) und Verschlüsselungstechnologien zum Pflichtprogramm. Weiterhin müssen regelmäßige Schwachstellen-Analysen durchgeführt und ein kontinuierliches Monitoring etabliert werden, um Sicherheitslücken frühzeitig zu erkennen. Auch Notfallpläne und regelmäßige Sicherheitsüberprüfungen (Security Audits) sind vorgeschrieben, damit Unternehmen auf Cyber-Vorfälle vorbereitet sind. Die technischen Anforderungen von NIS 2 sind tiefgreifend und erfordern sorgfältige Vorbereitung. In unseren Artikeln erfahren Sie daher alles, was Sie wissen müssen, besonders detailliert!

Meldepflichten und Incident-Management

Verschärft werden auch die Vorgaben für den Umgang mit Sicherheitsvorfällen (Incident-Management). Unternehmen müssen Prozesse einführen, um IT-Sicherheitsvorfälle effizient zu erkennen, zu melden und zu bewältigen. Dazu gehört zunächst eine Incident-Response-Policy, in der festgelegt ist, wer im Unternehmen für die Erkennung und Reaktion auf Vorfälle verantwortlich ist und wie im Ernstfall vorzugehen ist. In diesem Plan werden Kriterien definiert, nach denen ein Vorfall bewertet (klassifiziert) wird, und es werden konkrete Reaktionsschritte beschrieben – von der ersten Eindämmung über die Behebung der Ursache bis hin zur Wiederherstellung des Normalbetriebs. Genauso wichtig sind interne Meldewege: Mitarbeiter sollten wissen, an wen sie verdächtige Aktivitäten oder Sicherheitsprobleme melden können und müssen. NIS 2 fordert ferner, dass Notfallübungen stattfinden – Vorfall- und Notfallpläne müssen regelmäßig getestet und aktualisiert werden, um im Ernstfall effektiv funktionieren zu können.

Ein kritischer Aspekt sind die Meldepflichten von NIS 2. Bestimmte Sicherheitsvorfälle („erhebliche“ Vorfälle) müssen unverzüglich an die zuständigen Behörden oder das nationale CSIRT (Computer Security Incident Response Team) gemeldet werden. Konkret schreibt die Richtlinie vor, dass ein solcher Vorfall innerhalb von 24 Stunden nach Entdeckung zumindest vorab gemeldet werden muss. Innerhalb von 72 Stunden ist dann ein ausführlicher Bericht mit Details zu Qualität und Quantität des Vorfalls und den ergriffenen Gegenmaßnahmen nachzureichen. Spätestens einen Monat nach dem Vorfall muss ein Abschlussbericht vorliegen, der erlangte Erkenntnisse zur Ursache und Maßnahmen zur Verhinderung künftiger Vorfälle enthält. Diese gestaffelten Fristen sollen sicherstellen, dass Behörden frühzeitig gewarnt werden und Unternehmen dennoch Zeit haben, genaue Informationen zu sammeln. Zu den meldepflichtigen Ereignissen zählen beispielsweise erfolgreiche Cyberangriffe, die zu größeren Ausfällen, Datenverlust oder anderen erheblichen Beeinträchtigungen geführt haben. Aber auch IT-Sicherheitsvorfälle, die das Potential haben erheblichen Schaden herbeizuführen sind Meldepflichtig. Wenn betroffene Unternehmen unsicher sind, sollte ein Vorfall daher im Zweifel lieber gemeldet werden, um die Fristen zu wahren und gegebenenfalls Unterstützung vom BSI zu erhalten.

Werden Vorfälle nicht fristgerecht gemeldet, gilt dies als Verstoß gegen die NIS 2-Vorgaben und kann entsprechend sanktioniert werden. Ein proaktives Incident-Management mit klaren Meldewegen ist daher für jedes Unternehmen unerlässlich.

Risikomanagement und interne Prozesse

Neben den technischen Maßnahmen sind auch diverse organisatorische Anforderungen in NIS 2 enthalten. Ein zentrales Erfordernis ist das Risikomanagement. Unternehmen müssen ein systematisches Risikomanagement-Framework etablieren, um Risiken für die Informationssicherheit laufend identifizieren und behandeln zu können. Dazu sind regelmäßige Risikoanalysen (Risk Assessments) durchzuführen; die Geschäftsleitung muss die daraus abgeleiteten Maßnahmen jeweils genehmigen oder verbleibende Restrisiken ausdrücklich akzeptieren. Ein NIS 2-konformes Risikomanagement folgt einem ganzheitlichen, gefahrenübergreifenden Ansatz (All-Hazards-Approach) und orientiert sich an definierten Kriterien sowie anerkannten Standards der IT-Sicherheit. Wichtig ist auch, den Risikomanagement-Prozess zu dokumentieren und regelmäßig – insbesondere nach Vorfällen oder wesentlichen Änderungen – zu überprüfen und gegebenenfalls zu aktualisieren.

Neben dem Risk Assessment wird die Einführung klarer Sicherheitsrichtlinien und Prozesse im Unternehmen verlangt. Es muss eine übergeordnete IT-Sicherheitsrichtlinie geben, die die Vorgehensweise zum Schutz von Netzwerken und IT-Systemen festlegt (inklusive Zielen, Ressourcen und Verantwortlichkeiten). Aufbauend darauf sind themenspezifische Policies (z.B. für Zugriffskontrolle, Incident Response etc.) zu erstellen. Alle relevanten Prozesse – von Notfallmaßnahmen bis Änderungsmanagement – müssen schriftlich fixiert und den Mitarbeitern kommuniziert werden. Zudem ist die Einhaltung dieser internen Vorgaben regelmäßig durch Compliance-Monitoring zu kontrollieren. NIS 2 betont auch die Verantwortung der Geschäftsführung: Das Top-Management wird in die Pflicht genommen, die Umsetzung der Sicherheitsmaßnahmen zu überwachen und sich selbst ausreichend in Cybersecurity schulen zu lassen. Insgesamt müssen Unternehmen also organische Strukturen schaffen, die eine kontinuierliche Verbesserung der IT-Sicherheit ermöglichen – vergleichbar mit einem ISMS (Information Security Management System) nach ISO 27001, auf das NIS 2 inhaltlich an vielen Stellen aufbaut. NIS 2-Compliance zu erreichen ist keine leichte, aber eine unabdingbare Aufgabe!

Verschärfte Meldepflichten unter NIS 2

Zu den Neuerungen unter NIS 2 zählt auch, dass die zeitliche und inhaltliche Komponente der Meldepflicht bei Sicherheitsvorfällen deutlich konkreter und strenger gefasst wird. Unter NIS1 mussten „erhebliche Störungen” zwar gemeldet werden, jedoch fehlten oft klare Fristen („unverzüglich” ließ Interpretationsspielraum). NIS 2 schafft nun ein verbindliches Meldesystem mit abgestuften Fristen: Sicherheitsvorfälle mit erheblicher Auswirkung sind spätestens binnen 24 Stunden nach Entdeckung an die zuständige Stelle zu melden. Diese Erstmeldung („early warning”) soll zumindest grundlegende Informationen zum Vorfall enthalten. Anschließend ist innerhalb von 72 Stunden nach dem Vorfall ein ausführlicher Folgebericht mit Details und ergriffenen Gegenmaßnahmen nachzureichen. Spätestens nach einem Monat muss ein Abschlussbericht vorliegen. Diese gestuften Meldungen ermöglichen es den Behörden, frühzeitig ein Lagebild zu erhalten und bei Bedarf zu unterstützen.

Welche Vorfälle müssen jetzt gemeldet werden? NIS 2 präzisiert den Begriff „erheblicher Sicherheitsvorfall”. Meldepflichtig ist jeder Cybervorfall, der zu erheblichen Betriebsstörungen oder Schäden führen könnte – also nicht erst wenn der Schaden eingetreten ist. Damit wird der Meldeumfang erweitert, um auch Angriffsversuche frühzeitig bekannt zu machen. Beispiele wären etwa Ransomware-Angriffe, die kritische IT-Systeme lahmlegen könnten, selbst wenn die Auswirkungen noch begrenzt sind. Unternehmen tun gut daran, klare interne Prozesse zu etablieren, um solche Incidents schnell zu erkennen, zu bewerten und dann fristgerecht an die Behörde (in Deutschland: BSI bzw. das nationale CERT) zu melden. Versäumnisse bei der Meldung können nun – anders als früher – empfindliche Bußgelder nach sich ziehen.