NIS-2: Die neue Cybersicherheitsrichtlinie der EU und ihre Auswirkungen auf Unternehmen

Mit der NIS-2-Richtlinie (Network and Information Security Directive 2) unternimmt die Europäische Union den nächsten Schritt in Richtung einer stärkeren Cybersicherheit. Diese Richtlinie ersetzt die bisherige NIS-Richtlinie und bringt eine deutliche Ausweitung der Anforderungen an Unternehmen, die in wesentlichen oder kritischen Sektoren tätig sind. Ziel ist es, die Widerstandsfähigkeit gegen Cyberangriffe zu stärken und das Risikomanagement in der gesamten EU zu harmonisieren.

Was ist NIS-2 und welche Sektoren sind betroffen?

Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheit in den sogenannten kritischen Infrastrukturen zu verbessern. Dazu zählen:

• Energieversorgung (Strom, Gas, Wasser)
• Gesundheitswesen
• Transport und Logistik
• Banken und Finanzdienstleistungen
• Digitale Infrastrukturen (Rechenzentren, Cloud-Dienste, Telekommunikation)
• Öffentliche Verwaltung

Im Gegensatz zur ersten NIS-Richtlinie werden nun auch mehr mittelständische Unternehmen erfasst, die als „essenzielle Dienste“ eingestuft werden. Sie müssen strenge Sicherheitsmaßnahmen einführen, um ihre Netzwerke und Informationen vor Cyberangriffen zu schützen.

Neue Anforderungen an Unternehmen

Die NIS-2-Richtlinie verschärft die Vorgaben in mehreren Bereichen. Hier sind die wichtigsten Neuerungen:

• Risikomanagement: Unternehmen müssen ein umfassendes Risikomanagementsystem implementieren, das potenzielle Cyberbedrohungen identifiziert und entsprechende Schutzmaßnahmen vorschlägt. Dies umfasst den Schutz von Netzwerken, Systemen und Daten sowie die frühzeitige Erkennung von Schwachstellen.
• Meldepflichten: Bei einem Cybervorfall müssen Unternehmen diesen innerhalb von 24 Stunden an die zuständige nationale Behörde melden. Innerhalb von 72 Stunden ist ein detaillierter Bericht vorzulegen, der die Art des Angriffs, die ergriffenen Gegenmaßnahmen und die Auswirkungen beschreibt.
• Incident-Response-Pläne: Unternehmen müssen vorbereitete Pläne zur Reaktion auf Cyberangriffe vorweisen, die regelmäßig überprüft und aktualisiert werden.
• Haftung und Strafen: Führungskräfte haften persönlich für die Einhaltung der NIS-2-Vorgaben. Verstöße können mit hohen Geldstrafen geahndet werden, die bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes betragen können.

Was bedeutet NIS-2 für die Schweiz?

Auch in der Schweiz wird die Cybersicherheit immer wichtiger. Während die NIS-2-Richtlinie für EU-Mitgliedstaaten verpflichtend ist, orientieren sich viele Nicht-EU-Länder an den Standards der EU, um im internationalen Markt wettbewerbsfähig zu bleiben. Die Schweiz hat bereits eigene Initiativen zur Cybersicherheit gestartet, wie z.B. die „Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken“. Dennoch wird erwartet, dass Schweizer Unternehmen, die mit europäischen Partnern arbeiten oder in der EU tätig sind, die Anforderungen von NIS-2 einhalten müssen.

Fazit: Cybersicherheit wird zur Pflicht

Für Unternehmen, die in kritischen Sektoren tätig sind, wird Cybersicherheit mit der NIS-2-Richtlinie nicht länger eine Option, sondern eine Pflicht. Die Anforderungen sind hoch und umfassen sowohl technische Maßnahmen als auch organisatorische Veränderungen. Jedes Unternehmen, das als essenzieller Dienstleister gilt, sollte daher frühzeitig seine Sicherheitsmaßnahmen überprüfen und ggf. anpassen. Der Einsatz externer Experten kann dabei hilfreich sein, um die Einhaltung der neuen Richtlinie sicherzustellen.

Cybersicherheit ist nicht nur eine Frage des Schutzes vor Angriffen, sondern auch ein Wettbewerbsfaktor. Unternehmen, die ihre Sicherheitsstrategien vernachlässigen, riskieren nicht nur Bußgelder, sondern auch den Verlust von Kundenvertrauen.