NIS-2: EU-Richtline zur Cybersicherheit bringt Neuerungen für Unternehmen
Ab 17. Oktober muss die neue Richtlinie NIS-2 der EU zur Cybersicherheit auch auf nationaler Ebene umgesetzt sein. Die Abkürzung NIS steht dabei für Network and Information Systems Directive. Das Ziel dabei ist es, die Cybersicherheit für Firmen auf dem Territorium der Europäischen Union zu erhöhen. Nicht alle Unternehmen der EU sind automatisch davon betroffen. Denn die Richtlinie gilt insbesondere für größere Unternehmen und insbesondere solche, die in kritischen Sektoren tätig sind.
Welche Unternehmen sind von NIS-2 betroffen?
Mit der NIS-2-Richtlinie sollen vor allem Unternehmen geschützt und Infrastrukturen gesichert werden, die eine weiter reichende regionale oder überregionale Bedeutung haben. Dazu zählen:
- Unternehmen mit mehr als 50 Mitarbeitern sowie einem Jahresumsatz von über 10 Mio. Euro und einer Bilanzsummer über diesem Wert.
- Betriebe, die in kritischen Sektoren tätig sind, wie z.B. Transportwesen, Energieversorgung, Gesundheitsweisen, Finanzdienstleistungen und digitale Infrastruktur, Weltraumtechnik, Trink- und Abwasser, Finanzmarkt- und Bankwesen sowie Verwaltung von IKT-Leistungen und Energiesektor.
Grundsätzlich gilt, dass die Richtlinie NIS-2 eine Weiterführung der Richtlinie NIS-1 ist. Unternehmen, die daher von der vorhergehenden Richtlinie betroffen sind, werden auch von NIS-2 betroffen sein. In Österreich dürften rund 3.400 Unternehmen und Einrichtungen darunter fallen.
Was bedeutet NIS-2 für betroffene Unternehmen?
Schon ab dem 17. Oktober 2024 muss die Richtlinie NIS-2 umgesetzt werden. Doch was genau bedeutet das für die betroffenen Unternehmen? In erster Linie müssen die Einrichtungen, die von NIS-2 betroffen sind, ein Cybersicherheits-Risikomanagementkonzept einführen. Dazu gehört auch eine Berichtspflicht. Das Unternehmensmanagement zeichnet sich dabei für die Umsetzung und Überwachung der Maßnahmen verantwortlich. Werden die Regelungen nicht eingehalten, wird es in der ersten Phase vorwiegend zwar lediglich zu Ermahnungen kommen. Doch gerade dann, wenn im Ernstfall Dritte geschädigt wurden, können auch hohe Schadenersatzforderungen auf die Unternehmen zukommen.
Welche NIS-2-Maßnahmen sind zu ergreifen?
Viele Unternehmen haben bereits weitreichende Maßnahmen zur Cybersicherheit getroffen und übererfüllen die Vorgaben der EU mitunter sogar. Folgende Maßnahmen müssen bis 17. Oktober allerdings mindestens umgesetzt werden:
- Maßnahmen zur Sicherheitsprüfung der Lieferkette.
- Erstellung eines Konzepts zur Sicherheit der Informationssysteme und Risikoanalyse.
- Strategien und Tests zur Bewältigung von Sicherheitsvorfällen.
- Sicherheitsmaßnahmen hinsichtlich des Erwerbs, der Entwicklung und Wartung von IKT-Technik.
- Schulungen hinsichtlich Cybersicherheit und Cyberhygiene für Mitarbeiter.
- Konzept zu Krisenmanagement und Business Continuity zur Weiterführung des Unternehmens im Ernstfall.
- Nutzung von Verschlüsselungen und Kryptografie
- Zugriffskontrollsysteme für das Personal inklusive Multi-Faktor-Authentifizierung.
Möchten Sie wissen, ob Ihr Unternehmen von NIS-2 betroffen ist und wie Sie die geforderten Maßnahmen in diesem Fall jedenfalls umsetzen können? Wir zeigen Ihnen in einem kostenlosen Beratungsgespräch gerne wie. Nehmen Sie Kontakt mit uns auf!
