Sie sind hier: Home » Markt » Hinweise & Tipps

Ist NIS-2 zu anspruchsvoll?


NIS-2-Umsetzung gescheitert – Warum Unternehmen trotzdem handeln sollten
Sollten Unternehmen verständlicherweise von der Komplexität und dem Aufwand und vielleicht auch dem Mangel an Inhouse-Expertise überfordert sein, bietet sich die Zusammenarbeit mit einem externen Dienstleister an



Von Florian Korhammer, CISO bei Retarus

Die politische Einigung über das Gesetz zur Umsetzung der EU-Richtlinie NIS-2 und der Stärkung der Cybersicherheit noch vor der Bundestagswahl ist gescheitert. SPD, Grüne und FDP konnten sich nicht auf zentrale Punkte einigen. Damit bleibt über zwei Jahre nach der Verabschiedung der EU-Richtlinie die dringend notwendige gesetzliche Verschärfung aus. Die Umsetzungsfrist wird weiter überschritten. Nach der Bundestagswahl wird die neue Bundesregierung einen komplett neuen, zweiten Anlauf nehmen müssen. Während die Politik scheitert, verdeutlichen steigende Bedrohungen durch Cyberangriffe mehr denn je, warum Unternehmen mit der Umsetzung nicht auf klare Vorgaben aus Berlin warten sollten. Denn auch ohne ein neues nationales Gesetz gilt die NIS-2-Richtlinie bereits in der EU. Wer jetzt nicht handelt, riskiert neben Strafen auch massive Sicherheitslücken.

Die aktuelle Lage
Besseres Schwachstellen- und Risikomanagement, ein verschärftes Meldewesen, State-of-the-Art-Bedrohungserkennung – NIS-2 ist ein hochkomplexes Werk mit einem wichtigen Ziel: die Cyber-Resilienz des europäischen Gemeinwesens zu fördern. Angesichts der sich international verschärfenden Bedrohungslage ist die Richtlinie überfällig. Jetzt kommt es darauf an, dass die betroffenen Unternehmen und Institutionen die Anforderungen zügig und gewissenhaft umsetzen – ohne zu schludern.

Bisher sieht es bei der Umsetzung der NIS-2-Richtlinie eher durchwachsen aus. Kaum einer der 27 Mitgliedstaaten konnte die neue Richtlinie bisher vollständig implementieren, auch wenn einige Länder mittlerweile einen durchaus respektablen Reifegrad erreicht haben. Für die Säumer auf der anderen Seite gibt es zwar noch einen zweimonatigen Gnadenaufschub. Der sollte die Mitglieder jedoch nicht dazu verleiten, ihre Hausaufgaben diesbezüglich zu vernachlässigen und jetzt nachzulassen. Immerhin geht es hier um das Wohl und die Sicherheit der europäischen Gemeinschaft, weshalb nicht nur die Drohung durch etwaige Compliance-Strafen, die Streichung von Fördergeldern oder der eigene finanzielle Schaden ein Motivator sein sollte, sondern auch das Bestreben, diese Güter zu schützen. Kritische Infrastruktur verlangt im Anbetracht der stetig steigenden Bedrohungslage eine höhere Cyber-Resilienz. Die NIS-2-Verordnung ist dafür ein geeignetes Instrument – solange die Umsetzung nicht weiter lahmt und gewissenhaft erfolgt. Die gescheiterten Gespräche in Deutschland verdeutlichen, dass sich Unternehmen nicht auf eine schnelle politische Lösung verlassen können. Umso wichtiger ist es, dass sie selbst aktiv werden und sich auf die Umsetzung von NIS-2 konzentrieren. Doch woran scheitert die erfolgreiche Umsetzung der neuen Verordnung?

Ist NIS-2 zu anspruchsvoll?
Die Anforderungen von NIS-2 sind sinnvoll und realistisch umsetzbar, darin sind sich fast alle Sicherheitsexperten einig. Auch das Ziel, die allgemeine Cyber-Resilienz europäischer Institutionen und Lieferketten durch ein verbessertes Risiko- und Schwachstellenmanagement sowie Meldewesen zu stärken, ist lobenswert. Angesichts der aktuellen Bedrohungslage reichen punktuelle Cybersicherheitsmaßnahmen nicht aus, vielmehr ist ein ganzheitlicher Ansatz erforderlich. Idealerweise gäbe es dazu globale Initiativen, aber eine EU-weit einheitliche Strategie für mehr Cyber-Resilienz ist zumindest ein guter Anfang.

Die meisten Unternehmen sind durchaus bereit, ihren Teil dazu beizutragen. Leider sind die Anforderungen naturgemäß sehr komplex. Sich durch den Dschungel der Vorschriften zu wühlen, sie zu verstehen und umzusetzen, erfordert Geduld. Hinzu kommt, dass sich viele Institutionen vor NIS-2 nur wenig mit den Themen auseinandergesetzt haben. Das verschärfte Meldewesen erfordert beispielsweise, dass nun ein Dienstleisterregister geführt und konkrete Prozesse für die Meldepflicht definiert werden müssen – beides wurde vor NIS-2 vielerorts viel zu wenig beachtet. Hinzu kommt das Aufkommen von KI-gestützten Cyberangriffsmethoden, die zusätzliche Komplexität verursachen.

Partner unterstützen bei der Compliance
Sollten Unternehmen verständlicherweise von der Komplexität und dem Aufwand und vielleicht auch dem Mangel an Inhouse-Expertise überfordert sein, bietet sich die Zusammenarbeit mit einem externen Dienstleister an. Mit einem breiten Dienstleistungsportfolio – von Kryptografie über Backup-Services bis zur Absicherung wichtiger Kommunikationskanäle – helfen sie Unternehmen, sich punktuell NIS-2-konform aufzustellen und geschäftskritische Prozesse wie Kommunikation und Wertschriftenhandel abzusichern. Die Verantwortung kann durch eine solche Zusammenarbeit jedoch nicht abgeschoben werden. Die Unternehmen bleiben für das Management ihrer Sicherheitsinfrastruktur, die Sicherstellung der eigenen Cyber-Resilienz und die funktionierende Zusammenarbeit mit ihren Partnern verantwortlich.

NIS-2 sorgt für einheitliche Sicherheitsstandards und höhere Cyber-Resilienz
Viele wollen von NIS-2 nichts mehr hören, scheint das Thema doch in den letzten Jahren ausreichend in die Öffentlichkeit getragen worden zu sein. Umso wichtiger ist es jetzt zu betonen, dass es sich bei der Richtlinie nicht um eine ineffiziente EU-Bürokratie handelt, wie manche Schwarzmaler behaupten. Sie enthält sinnvolle Mindeststandards, die zu einer EU-weiten Angleichung der Cyber-Resilienz führen.

Um kritische Infrastrukturen und ihre Bürger zu schützen, müssen die Mitgliedstaaten an einem Strang ziehen und vergleichbare Standards einführen. Nur so lässt sich garantieren, dass geschäftskritische Prozesse auch in Krisenzeiten funktionieren, was in vielen Branchen nicht nur eine unternehmerische, sondern auch eine moralische Verpflichtung darstellt. Ein Kommunikationsausfall während einer wichtigen Operation beispielsweise hätte im wahrsten Sinne des Wortes fatale Folgen. Der Bundestag wird die Umsetzung von NIS-2 vor der Bundestagswahl nicht mehr beschließen. Unternehmen sollten nicht weiter abwarten und die Umsetzung von NIS-2 nicht als Pflichtübung, sondern als strategische Notwendigkeit betrachten. Um in Zukunft nicht unvorbereitet zu sein, sollten sich alle Verantwortlichen in Unternehmen und Institutionen noch einmal vor Augen führen, dass eine effektive Cyber-Resilienz nur durch gemeinsame Anstrengungen erreicht werden kann. (Retarus: ra)

eingetragen: 04.02.25
Newsletterlauf: 01.04.25

retarus: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Compliance, die gelebt wird

    Trotz strikterer Cybersecurity- und Compliance-Vorgaben behandeln viele KMU die Dokumentation ihrer IT-Infrastruktur noch stiefmütterlich. Dabei birgt fehlende oder unvollständige Dokumentation das Risiko von ineffizientem Troubleshooting und teuren Fehlentscheidungen. Ohne verlässliche Informationen zu Netzstrukturen, Systemabhängigkeiten oder Rechten wird jeder Incident zur Blackbox.

  • Echtzeitüberweisungen gemäß IPR

    Zahlungsdienstleister stehen unter Druck: Bis Oktober dieses Jahres müssen sie die Verification of Payee (VOP) umgesetzt haben und die Versendung von Echtzeitüberweisungen (Instant Payments) möglich machen. NTT Data erklärt die größten Hürden - und wie sie bis zur Deadline überwunden werden können.

  • PCI-DSS und Sichtbarkeit

    Als anerkanntes Security Framework ist der Payment-Card-Industry-Data-Security-Standard (kurz: PCI-DSS) für Anbieter von Kreditkartentransaktionen ein absolutes Compliance-Muss. Tiho Saric, Senior Sales Director bei Gigamon, verrät, wie die Einhaltung des Sicherheitsstandards dank Netzwerksichtbarkeit zum Kinderspiel wird.

  • Resilienz kritischer Infrastrukturen stärken

    Mit dem neuen KRITIS-Dachgesetz steht die deutsche Wirtschaft vor einer sicherheitspolitischen Zäsur. Ziel des juristischen Rahmenwerks ist es, die Resilienz kritischer Infrastrukturen zu stärken - und das über alle Sektoren hinweg: von Energie, Wasser und Telekommunikation über Gesundheit und Ernährung bis hin zum Transportwesen. Neben Konzernen geraten nun zunehmend auch mittelständische Betreiber in den Fokus.

  • E-Mails mit geschäftskritischen Inhalten

    Unternehmen, die ein falsches Bild von der grundsätzlichen Aufbewahrung von E-Mails mit geschäftskritischen Inhalten haben, laufen Gefahr, gesetzliche Vorgaben der GoBD oder DSGVO zu missachten. Folglich müssen sie dann mit juristischen und finanziellen Konsequenzen rechnen. Umso erstaunlicher ist es, dass zahlreiche Unternehmen ihrem Schutz noch immer nur wenig Bedeutung beimessen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen