Unabhängig davon, ob Sie in der EU ansässig sind oder nicht: NIS2 ist ein Thema auf Vorstandsebene, das nicht ignoriert werden darf. 

Auch wenn Ihr Unternehmen nicht direkt betroffen ist, haben Sie wahrscheinlich schon von der NIS-Richtlinie der EU und deren Nachfolgerin NIS2 gehört.

Die NIS-Richtlinie (Netz- und Informationssysteme) von 2016 trat in Kraft, um in den von der EU als „kritisch“ eingestuften Sektoren, wie beispielsweise Energie und Verkehr, für mehr Verantwortlichkeit in Bezug auf Sicherheit und Governance zu sorgen. Ihr Geltungsbereich erstreckte sich auch auf andere „wichtige“ Branchen, die im Falle eines Vorfalls das Funktionieren dieser kritischen Sektoren beeinträchtigen könnten.

Mit der Umsetzung der Richtlinie über Netz- und Informationssicherheit (NIS2) wurde der Anwendungsbereich der Richtlinie auf weitere Sektoren ausgeweitet, während gleichzeitig einige der darin enthaltenen Verpflichtungen harmonisiert wurden.

Entscheidend ist, dass dadurch auch die Rechenschaftspflicht der Geschäftsleitung erweitert wurde, wodurch sichergestellt wird, dass Sicherheit und Widerstandsfähigkeit fest in der Unternehmensführung verankert sind.

Die Geschäftsleitung ist nun direkt verantwortlich – und haftbar – für NIS2

Die Folgen eines Scheiterns können sowohl für Ihr Unternehmen als auch für dessen Führungskräfte schwerwiegend sein.

Für Unternehmen werden mögliche Geldbußen als Prozentsatz des weltweiten Umsatzes berechnet – nicht nur des Umsatzes auf dem betroffenen Markt. Das könnte Strafen von bis zu 2 % des Gesamtumsatzes oder 10 Millionen Euro bedeuten.

Die gegen das Unternehmen verhängte Geldstrafe schützt die Führungsspitze jedoch nicht. Die NIS2-Richtlinie überträgt der Geschäftsleitung die Verantwortung für die Einhaltung der Vorschriften und macht sie für Verstöße haftbar. Wird daher Fahrlässigkeit nachgewiesen, dürfen die betreffenden Führungskräfte das Unternehmen möglicherweise nicht mehr leiten.

Die Rechtslage ist eindeutig: Cybersicherheit und Widerstandsfähigkeit sind längst kein „IT-Problem“ mehr. Sie sind ein zentraler Bestandteil der Unternehmensführung, und wenn sie nicht entsprechend behandelt werden, kann dies schwerwiegende Folgen sowohl für das Unternehmen als auch für seine Führungskräfte haben.

NIS2 sollte Ihnen ein Anliegen sein, auch wenn Sie nicht in seinen Anwendungsbereich fallen

Die NIS2-Richtlinie verlangt von Unternehmen, über die Risiken hinauszuschauen, die sie selbst kontrollieren können. Sie verlangt von ihnen zudem, ihre Lieferketten auf potenzielle Schwachstellen und eine übermäßige Abhängigkeit von bestimmten Unternehmen zu überprüfen.

Wenn Ihr Unternehmen einer von vielen Lieferanten einer anderen Organisation ist, gelten Sie möglicherweise als „wichtig“. Sind Sie jedoch der einzige Anbieter bestimmter Dienstleistungen, könnten Sie für dieses Unternehmen „unverzichtbar“ werden – wodurch das Compliance-Risiko auf Ihr Unternehmen übergeht. 

Selbst wenn Ihr Unternehmen nicht direkt von NIS2 betroffen ist, können Sie dennoch aufgefordert werden, nachzuweisen, dass Ihre Tätigkeit in den Anwendungsbereich fällt, wenn Sie mit Unternehmen zusammenarbeiten möchten, die davon betroffen sind.

Und es geht nicht einmal nur um NIS2. Auch andere Länder verfügen über ähnliche Rechtsvorschriften mit sich überschneidenden Anforderungen. Das Vereinigte Königreich beispielsweise hat seine eigene NIS-Gesetzgebung sowie strenge Meldepflichten für Datenschutzverletzungen im Rahmen der britischen DSGVO. Außerdem wird darüber diskutiert, was im Rahmen von NIS3 innerhalb der EU kommen könnte. Rechtsvorschriften werden selten eingeschränkt, und es wird bereits darüber diskutiert, wie ihr Anwendungsbereich erweitert werden soll.

Kurz gesagt: Solche Frameworks werden uns noch lange begleiten und weiter zunehmen.

Die vier Kernbereiche der NIS2-Aufsicht

Diese fallen zwar unter die NIS2-Richtlinie, bieten aber auch einen praktischen Rahmen für die Stärkung der Unternehmensführung, der Cybersicherheit und der Widerstandsfähigkeit in jeder Organisation.

• Risikomanagement – Dies ist der präventive Ansatz. Dabei geht es darum, sicherzustellen, dass in Ihrem Unternehmen alles in Ordnung ist, um Risiken zu minimieren. Zu den Bereichen gehören das Vorfallmanagement, eine stärkere Sicherheit der Lieferkette, eine verbesserte Netzwerksicherheit, eine bessere Zugriffskontrolle und Verschlüsselung.
• Meldepflichten – Wenn etwas schiefgeht, gelten strenge Fristen für die Meldung von Sicherheitsvorfällen. Jede Sekunde zählt, und es ist von entscheidender Bedeutung, dass Ihr Unternehmen seine Pflichten im Rahmen der Reaktion auf Sicherheitsvorfälle kennt.
• Geschäftskontinuität – Wie stellt Ihr Unternehmen den Betrieb sicher, wenn das Schlimmste eintritt? Verfügt es über ein Notfallwiederherstellungssystem? Wurde dieses getestet? Sind die Teams darauf vorbereitet, sich im Falle eines Vorfalls schnell anzupassen? Kurz gesagt: Kann Ihr Unternehmen die Situation bewältigen und sich wieder erholen?

All diesen drei Kernbereichen liegt die unternehmerische Verantwortung zugrunde . Es geht nicht darum, die IT-Abteilung das regeln zu lassen – vielmehr muss sichergestellt werden, dass die Führungskräfte geschult werden, ihre Verantwortlichkeiten zu verstehen und Maßnahmen zu ergreifen, um die Einhaltung der Vorschriften zu gewährleisten.

Die Gesetzgebung mag sich weiterentwickeln – der zugrunde liegende Bedarf bleibt jedoch bestehen

Wenn Sie sich an die Grundsätze von NIS2 halten, auch wenn Sie dazu gesetzlich nicht verpflichtet sind, sind Sie bereit, mit denjenigen Geschäfte zu machen, die diese Anforderungen erfüllen. Und die Übernahme dieses Ansatzes wird Ihre Sicherheitslage sowie Ihre Fähigkeit, auf Vorfälle zu reagieren, nur verbessern.

Da die durchschnittlichen Kosten einer Datenpanne bei über 3,3 Millionen Euro liegen, machen allein schon die finanziellen Auswirkungen deutlich, wie wichtig eine strenge Governance ist. Und dabei sind die Kosten für den Reputationsschaden noch gar nicht berücksichtigt. 

Kaseya unterstreicht mit seiner Suite von Lösungen für den IT-Betrieb und das Risikomanagement seit langem, wie wichtig die richtigen Tools für die Optimierung, Verwaltung und den Schutz von Unternehmen sind.

Gute Regierungsführung erfordert die richtigen Instrumente

Auch wenn sich die übergeordneten Rechtsvorschriften ändern und weiterentwickeln mögen, bleiben die Grundprinzipien doch dieselben. Eine gute Unternehmensführung stützt sich auf Instrumente, die das Risiko menschlicher Fehler verringern, die Erkennung von Problemen beschleunigen, zur Lösung von Problemen beitragen und sicherstellen, dass die Teams genau das zur Verfügung haben, was sie brauchen, wenn etwas schiefgeht.

Das bedeutet auch, dass Sie über die richtigen Nachweise verfügen müssen, falls Ihr Unternehmen geprüft wird oder einen Sicherheitsvorfall melden muss. Dazu gehören unter anderem Schulungsnachweise, Aufzeichnungen zur Unternehmensführung sowie detaillierte Unterlagen, aus denen Schritt für Schritt hervorgeht, wie ein Sicherheitsvorfall behandelt wurde.

In unserem nächsten Artikel beleuchten wir die 10 Themenbereiche, die Führungsteams mit IT-Verantwortlichen besprechen sollten, um die Einhaltung der NIS2-Vorschriften sicherzustellen.