Die Richtlinie über Netz- und Informationssicherheit 2 (NIS2), die im Januar 2023 in Kraft trat, markiert einen bedeutenden Wandel im Ansatz der Europäischen Union zur Cybersicherheit. Aufbauend auf der ursprünglichen NIS-Richtlinie führte NIS2 strengere Sicherheitsmaßnahmen, kürzere Fristen für die Meldung von Vorfällen und eine stärkere Fokussierung auf die Sicherheit der Lieferkette ein. Organisationen, die die Vorschriften nicht einhalten, müssen nun mit Geldbußen von bis zu 10 Millionen Euro oder 2 % ihres weltweiten Umsatzes rechnen, je nachdem, welcher Betrag höher ist.
Eine kürzlich von SANS durchgeführte Umfrage liefert wertvolle Einblicke darin, wie sich Unternehmen auf NIS2 vorbereiten und welchen Herausforderungen sie dabei gegenüberstehen. Die Umfrage umfasste Antworten von rund 500 Fachleuten, darunter Sicherheitsadministratoren, Analysten, CSOs und CTOs. Sie erfasst ein breites Spektrum an Perspektiven aus ganz Europa sowie zusätzliche Beiträge aus Nordamerika und Asien und spiegelt damit die globale Relevanz von NIS2 für Unternehmen wider, die in der EU tätig sind oder Dienstleistungen für die EU erbringen.
Einblick in die Bedrohungslage:
Die Umfrage zeigt, dass fast die Hälfte der Befragten (47 %) das aktuelle Niveau der Cyberbedrohungen als „hoch“ einschätzt, während 37 % es als „schwerwiegend oder kritisch“ bewerten. Dies unterstreicht die wachsende Besorgnis unter Unternehmen hinsichtlich der sich ständig weiterentwickelnden Natur von Cyberbedrohungen. Doch trotz dieser Herausforderungen herrscht auch Optimismus hinsichtlich der Rolle von NIS2 bei der Verbesserung der Cybersicherheit. Beachtliche 60 % der Befragten betrachten die Richtlinie als positive und notwendige Entwicklung zur Verbesserung der Sicherheit kritischer Infrastrukturen und digitaler Dienste.
Fortschritte und Herausforderungen bei der Umsetzung:
Die Umsetzung der Anforderungen von NIS2 ist jedoch kein leichtes Unterfangen. Der Umfrage zufolge haben 35 % der Unternehmen bereits mit dem Prozess begonnen, während weitere 50 % aktiv auf die Einhaltung der Vorschriften hinarbeiten. Der Weg dorthin ist jedoch nicht ohne Hindernisse. Fast die Hälfte der Unternehmen nennt einen Mangel an Ressourcen als große Herausforderung; 37 % haben mit unzureichenden Budgets zu kämpfen, um die notwendigen Sicherheitsmaßnahmen zu finanzieren. Darüber hinaus berichten 32 % von Schwierigkeiten aufgrund fehlenden internen Fachwissens, was erneut den klaren Bedarf an spezialisierten Schulungen und Fachkompetenz unterstreicht.
Branchenspezifischer Fokus:
Bestimmte Sektoren gelten im Rahmen der neuen Richtlinie als besonders anfällig für Cyberbedrohungen. Die Umfrage identifizierte die Energiebranche, das Gesundheitswesen und die öffentliche Verwaltung als die drei Sektoren, in denen die Wahrscheinlichkeit erheblicher Cybersicherheitsvorfälle am höchsten ist, wobei die Energiebranche mit 52 % an der Spitze liegt. Diese Erkenntnis spiegelt die entscheidende Bedeutung des Schutzes kritischer Dienste wider, deren Störung weitreichende gesellschaftliche und wirtschaftliche Auswirkungen haben könnte.
Reaktion auf Vorfälle und Meldung:
Ein zentraler Bestandteil der NIS2-Richtlinie ist die Betonung einer schnellen und effektiven Reaktion auf Vorfälle. Die Umfrage zeigt, dass 70 % der Organisationen über formelle Pläne zur Reaktion auf Vorfälle verfügen, was für die rechtzeitige Erkennung und Bewältigung von Cybervorfällen entscheidend ist. Dennoch fehlen rund 30 % der Organisationen noch immer strukturierte Meldeverfahren – eine Lücke, die die Einhaltung der strengen 24-Stunden-Meldepflicht der NIS2-Richtlinie behindern könnte. Glücklicherweise werden 26 % der bekannten Vorfälle innerhalb von 6 bis 24 Stunden nach ihrer Erkennung eingedämmt, auch wenn die vollständige Behebung oft 2 bis 7 Tage dauert. Dies deutet darauf hin, dass die ersten Reaktionen zwar schnell erfolgen, es jedoch beim gesamten Prozess der Vorfallbehebung noch Verbesserungsbedarf gibt.
Vorbereitungslücken zwischen IT und ICS/OT:
Die Umfrage verdeutlicht eine bemerkenswerte Diskrepanz in der Bereitschaft zwischen IT-Systemen und industriellen Steuerungssystemen (ICS) bzw. Operational-Technology-Umgebungen (OT). Während 75 % der Unternehmen jährliche Sicherheitsbewertungen für ihre IT-Systeme durchführen, tun dies nur 38 % für ihre ICS/OT-Umgebungen. Diese Lücke ist für Betreiber kritischer Infrastrukturen besonders besorgniserregend, da sie auf die Notwendigkeit häufigerer und maßgeschneiderter Bewertungen zum Schutz industrieller Betriebsabläufe hinweist.
Die Rolle von Schulungen und Sensibilisierung:
Eine der praktischsten Maßnahmen zur Einhaltung der NIS2-Richtlinie, die von 26 % der Befragten genannt wurde, ist die Verbesserung des grundlegenden Cyber-Bewusstseins und der Mitarbeiterschulung. Regelmäßige Schulungsprogramme können das Risiko von Social-Engineering-Angriffen wie Phishing, das nach wie vor ein beliebter Bedrohungsvektor ist, erheblich verringern. Investitionen in umfassende Initiativen zur Sensibilisierung für Sicherheitsfragen sind unerlässlich, um eine widerstandsfähigere Unternehmenskultur aufzubauen.
Wichtige Empfehlungen zur Erreichung der Konformität:
Um die Komplexität von NIS2 zu bewältigen, sollten Unternehmen mehreren Schlüsselmaßnahmen Priorität einräumen. Die Stärkung der Lieferkettensicherheit ist von entscheidender Bedeutung, da dies nach wie vor der Bereich ist, der die größten Bedenken hervorruft: 25 % der Befragten nannten dies als den schwierigsten Aspekt der Richtlinie. Dazu gehören die Einführung intensiverer Lieferantenüberprüfungsprozesse, die Durchführung regelmäßiger Audits und die Sicherstellung, dass Cybersicherheitsanforderungen in Lieferantenverträge integriert werden.
Unternehmen werden zudem dazu ermutigt, spezielle Teams für die Reaktion auf Sicherheitsvorfälle zu bilden, um ihre Fähigkeit zur effektiven Bewältigung von Sicherheitsereignissen zu verbessern. Dies kann besonders wertvoll sein, um Reaktionszeiten zu verkürzen und die Auswirkungen von Vorfällen sowohl auf IT- als auch auf ICS/OT-Umgebungen zu minimieren. Darüber hinaus können die Zuweisung angemessener Ressourcen und die Aufstockung der Cybersicherheitsbudgets die Einführung fortschrittlicher Tools wie SIEM-Systeme (Security Information and Event Management) und XDR-Lösungen (Extended Detection and Response) unterstützen.
Ausblick – Bewusstsein in Maßnahmen umsetzen:
Da die ursprüngliche Frist für die Einhaltung der NIS2-Richtlinie am 18. Oktober 2024 abgelaufen ist und in naher Zukunft mit der Verabschiedung länderspezifischer Gesetze zu rechnen ist, ist es für Organisationen unerlässlich, sicherzustellen, dass sie die Anforderungen der Richtlinie erfüllen. Dazu gehört, die Führungsebene auf die Ziele der Richtlinie auszurichten, die erforderlichen Ressourcen zu sichern und sicherzustellen, dass alle Beteiligten die Folgen einer Nichteinhaltung verstehen. Auf diese Weise erfüllen Unternehmen nicht nur ihre regulatorischen Verpflichtungen, sondern stärken auch ihre allgemeine Cybersicherheitslage und werden widerstandsfähiger gegenüber modernen Bedrohungen.
Vollständiger Bericht:Vorbereitung aufdie NIS2-Richtlinie: Compliance, Herausforderungen und Empfehlungen
.svg){kind=logo}
Back
