Welche Organisationen sind von der europäischen NIS-2-Richtlinie betroffen? Welche Anforderungen gibt es und wie können sie sich vorbereiten?
Ihr Experte für Fragen
Dominik Bredel
Director, Cyber Resilience bei PwC Deutschland
Tel.: +49 1515 5635439
E-Mail
Was die europäische NIS-2-Richtlinie für den digitalen Sektor bedeutet
Die wachsende Digitalisierung und Vernetzung sämtlicher Wirtschaftsbereiche führen zu einer verstärkten Abhängigkeit von digitalen Infrastrukturen und IT-Dienstleistungen. Unternehmen setzen in zunehmendem Maße digitale Prozesse und Dienste ein, um ihre Betriebsabläufe zu optimieren. Hierbei spielt die IT-Infrastruktur eine entscheidende Rolle. Sie bildet das Fundament für die digitale Transformation und ist damit ein attraktives Ziel für Angreifende.
Die Konsequenzen von Cyberangriffen betreffen die Integrität, Vertraulichkeit und Verfügbarkeit von Daten und IT-Infrastrukturen und können fatale Auswirkungen haben: Wird beispielsweise ein Rechenzentrum durch einen Angriff lahmgelegt, so können schlagartig eine Vielzahl weiterer Organisationen betroffen sein, die die Infrastruktur des Anbieters nutzen. Dadurch werden die Dienste der Organisationen, die nicht direkte Opfer des Angriffes geworden sind, stark beeinträchtigt. Unternehmen sehen sich durch derartige Angriffe mit Rufschädigung und finanziellen Verlusten konfrontiert.
„Die NIS-2-Richtlinie unterstützt Unternehmen im digitalen Sektor dabei, Sicherheit und Resilienz in der eigenen Organisation aufzubauen. Dies ist in unserer zunehmend vernetzten Welt von entscheidender Bedeutung für die Gestaltung unserer digitalen Zukunft. Gleichzeitig schärft sie die Konsequenzen für die Nichteinhaltung und macht die Geschäftsleitung vermehrt für die Einhaltung und Haftung verantwortlich.“
Neuerungen, Pflichten und Sanktionen für digitale Infrastrukturen und IT-Dienste
Um das Risiko durch Cyberangriffe zu minimieren, wurde 2017 die Verpflichtung zur Umsetzung der NIS-Richtlinie als Gesetz auf EU-Ebene verkündet. Ziel der Richtlinie ist der europaweite Aufbau nationaler Kapazitäten für die Cybersicherheit, eine stärkere Zusammenarbeit der EU-Mitgliedstaaten sowie das Etablieren von Mindestsicherheitsanforderungen und Meldepflichten für wichtige Einrichtungen.
Um mit der fortschreitenden Digitalisierung und der wachsenden Bedrohungslandschaft für Cybersicherheit Schritt zu halten, hat die EU die bestehende Richtlinie durch die 2023 in Kraft getretene NIS-2-Richtlinie aktualisiert. Sie beinhaltet neue Schwellenwerte für die Klassifizierung betroffener Einrichtungen, neue Pflichten und Sanktionen, aber auch neue Risiken, die es für betroffene Einrichtungen zu beachten gilt.
Sie haben Fragen zu Ihrer Betroffenheit oder den Aufgaben, die auf Sie zukommen?
Kontaktieren Sie uns
Konkrete Insights für Betroffene
Von der NIS-2-Richtlinie sind besonders wichtige und wichtige Einrichtungen betroffen. Unterschieden werden diese durch ihre Kritikalität, d. h. besonders wichtige Einrichtungen bieten Dienste mit einer höheren Kritikalität als sogenannte wichtige Einrichtungen an. Dementsprechend sind besonders wichtige Einrichtungen beispielsweise von empfindlicheren Sanktionen und Strafen bei einer Richtlinienverletzung betroffen als wichtige Einrichtungen. Ob Ihr Unternehmen oder Ihre Institution als eine dieser Einrichtungen klassifiziert wird, darüber informieren Sie die Behörden jedoch nicht. Es obliegt also Ihnen selbst, anhand von Kriterien eine eigene Beurteilung vorzunehmen. Zu Ihrer Orientierung fassen wir daher die Schwellenwerte zur Klassifizierung als besonders wichtige oder wichtige Einrichtung aus dem digitalen Sektor zusammen:
NIS-2 im digitalen Sektor – wer ist betroffen?
Neue Verpflichtungen für Organisationen des Sektors digitale Infrastrukturen und IT-Dienstleister und ihre Geschäftsleitung
Die NIS-2-Richtlinie bringt für die Geschäftsleitung nun auch Haftungsrisiken und verschiedene Pflichten, wie Registrierungs-, Überwachungs- und Nachweispflichten mit. Zudem muss sie sich mit der Weiterbildung ihrer eigenen und der Kenntnisse ihrer Mitarbeitenden auseinandersetzen. Die Geschäftsleitung von Kritischen Infrastrukturen hat darüber hinaus noch weitere Anforderungen.
- Haftungsrisiken für die Geschäftsleitung
- Billigungs- und Überwachungspflichten
- Registrierungspflicht
- Nachweispflicht
- Meldepflichten, Rückmeldungen
- Unterrichtungspflichten
- Schulungen und Fachkenntnisse
- KRITIS-Betreibende
Haftungsrisiken für die Geschäftsleitung
Die Geschäftsleitung trägt die Verantwortung dafür, dass angemessene Maßnahmen zur Sicherung der IT-Systeme und -Prozesse ergriffen werden. Dazu gehören unter anderem die Implementierung von Sicherheitsrichtlinien, die regelmäßige Überprüfung der IT-Infrastruktur auf Schwachstellen sowie die Schulung der Mitarbeitenden im Umgang mit IT-Sicherheit.
Bei Verletzung der Überwachungspflichten haftet die Geschäftsleitung für die entstandenen Schäden, außer die Leitungsperson kann die entsprechenden Schäden nicht bezahlen, dann kann ein Vergleich mit Kreditgebenden erfolgen.
Mit ESA zu sicheren digitalen Infrastrukturen – wie wir Sie bei NIS-2 unterstützen
Die NIS-2-Richtlinie stellt Einrichtungen für digitale Infrastrukturen und IT-Dienstleistung durch die neuen Anforderungen vor eine große Herausforderung. Eine durchdachte IT-Sicherheitsarchitektur kann diesen Einrichtungen dabei helfen, ihre Sicherheitsmaßnahmen an die Anforderung der Richtlinie anzupassen.
Die von uns entwickelte Enterprise Security Architecture (ESA) bietet einen ganzheitlichen und präventiven Ansatz zur Überprüfung der aktuellen Sicherheitsarchitektur auf Schwachstellen und Potenziale eines Unternehmens, entwickelt daraus Maßnahmen für ein Zielbild und begleitet die Implementierung der zuvor entwickelten Sicherheitsmaßnahmen.
Der ESA-Ansatz wurde von uns auf Grundlage verschiedener nationaler und internationaler IT-Sicherheitsstandards und -Richtlinien entwickelt. Da auch die NIS-2-Richtlinie Teil des ESA-Fundaments ist, erfüllt ein Unternehmen bei der Implementierung des ESA-Ansatzes automatisch alle relevanten Pflichten der NIS-2-Richtlinie. Unser ESA-Team hat sich auf Einrichtungen aus dem digitalen Sektor spezialisiert und hilft diesen bei der Einführung einer sicheren Cyberarchitektur.
Follow us
Contact us
