20. März 2024/ Bereits im vergangenen Jahr verabschiedete die Europäische Union die zweite Richtline zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie), die bis zum 17. Oktober in deutsches Recht umgesetzt werden muss. Ziel ist es, potenzielle Schäden infolge von Hackerangriffen zu verhindern oder zu minimieren, indem die IT-Sicherheit erhöht wird. Die Richtlinie umfasst rechtliche Maßnahmen zur Steigerung des Gesamtniveaus der Cybersicherheit in der EU. Dabei werden Mindeststandards für die Cybersicherheit in kritischen Infrastrukturen festgelegt. Im Vergleich zur Vorläufer-Richtlinie (KRITIS) aus dem Jahr 2016 ist der Kreis betroffener Unternehmen deutlich erweitert worden. Zudem wurden die Sicherheitsstandards verschärft.

„Betriebe sind gut beraten, frühzeitig zu klären, ob sie unter den Geltungsbereich der Richtlinie fallen. Hierzu hat die EU im Anhang I + II der Richtline eine Liste veröffentlicht, in der die Kriterien, darunter Umsatzstärke, Belegschaftsgröße oder Wirtschaftssektor, aufgeführt sind“, erläutert Roger Schmidt von der IHK Siegen. So gilt für die meisten Betriebe als Schwellenwert ein Umsatz von mindestens 10 Mio. € im Jahr und eine Belegschaftsgröße von mehr als 50 Mitarbeitern. 

„Für sie gilt, dass sie ab Oktober dazu verpflichtet sind, ein bestimmtes Maß an ‚Cyber-Resilienz‘ nachzuweisen. Wenn die Meldepflichten und Vorgaben zu notwendigen Sicherheitsmaßnahmen nicht eingehalten werden, muss mit hohen Bußgeldern gerechnet werden“, betont Sven Berger. Der Teamleiter für Datenschutz und IT-Sicherheit der dokuworks GmbH in Siegen informierte gemeinsam mit weiteren Fachleuten auf Einladung der IHK Siegen in einem Online-Seminar 26 interessierte Unternehmensvertreter aus den Kreisen Siegen-Wittgenstein und Olpe über die neue Richtlinie und gab Empfehlungen für die Umsetzung auf betrieblicher Ebene. 

Konkret sind betroffene Unternehmen verpflichtet, geeignete und verhältnismäßige technische und organisatorische Schritte zu ergreifen, um die Sicherheitsrisiken und die Auswirkungen von Vorfällen möglichst einzuschränken. Sven Berger: „Was angemessen ist, wird in einer Risikobetrachtung geprüft. Bei ihr wird einzelfallbezogen betrachtet, wie wahrscheinlich und wie schwerwiegend Sicherheitsvorfälle eintreten können.“ Hierzu zählen beispielsweise Konzepte, wie Risiken analysiert, Informationssysteme gesichert oder der Betrieb durch ein Backup-Management aufrechterhalten werden kann. Die Richtlinie legt zudem eine klare Verantwortung bei der Geschäftsführung fest, die Maßnahmen umzusetzen und zu überwachen. Hinzu kommt die Verpflichtung, selbst an Schulungen teilzunehmen sowie diese für die eigene Belegschaft anzubieten, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken zu vermitteln.

Wie die Maßnahmen konkret aussehen können, veranschaulichten eindrucksvoll Daniel Schneider und Simon Weber, Experten für IT-Infrastruktur und IT-Sicherheit bei der EEW Group. „Der Schlüssel zur sicheren IT sind die Ressourcen“, hob Simon Weber hervor. „Wenn die Mitarbeiter für das Thema nicht nur sensibilisiert, sondern auch begeistert werden, ist das eine ideale Voraussetzung für eine größtmögliche IT-Sicherheit. Sie liegt am Ende auch im Interesse aller Beschäftigten. Jedem muss klar sein, dass er selbst zur Cybersicherheit beitragen kann!“ 

Praktische Einblicke in die Umsetzung bot Daniel Schneider, der über den Ablauf der Risikoanalyse ebenso berichtete wie über die durchgeführten Schritte, zu denen unter anderem interne Schulungen, digitale Schutzvorkehrungen sowie Konzepte zur Daten- und Netzwerksicherung gehören.