NIS2-Richtlinie – Das kommt auf Sie zu

Das ist das Ziel der Cyber-Sicherheitsrichtlinie

Im Jahr 2016 führte die Europäische Union die Richtlinie zur Netzwerk- und Informationssicherheit (NIS1) ein, die die Vorschriften für die Cyber-Sicherheit festlegte. NIS1 verlangte von den EU-Mitgliedsstaaten, Betreiber "kritischer Dienste" zu identifizieren und spezifische Verfahren für Cyber-Sicherheit sowie Meldepflichten für Sicherheitsvorfälle einzuführen. Die nationale Umsetzung erfolgte jedoch uneinheitlich. Einige Organisationen in der EU hatten Schwierigkeiten, die Anforderungen der NIS zu verstehen, während andere mit den komplexen Melde- und Berichtspflichten kämpften. Kritiker bemängelten zugleich, dass die NIS nicht ausreichend Organisationen und Sektoren verpflichtete, wodurch sie insgesamt zu kurz griff.

Mit der Überarbeitung durch NIS2 schafft die EU nun Klarheit, indem sie genau definiert, welche Anforderungen für welche Unternehmen gelten. Diese Unternehmen werden nun verpflichtet, ihre Maßnahmen zum Schutz vor Cyber-Angriffen zu verstärken, strengere Sicherheitsstandards zu etablieren und ihre IT-Systeme stets auf dem neuesten Stand zu halten. Dies gilt zum Beispiel für so genannte systemrelevante Einrichtungen wie Strom- und Wasserversorger, Gesundheitsdienstleister oder Banken, die eine breite Bevölkerungsschicht versorgen oder bedienen.

Da die neue Richtlinie insgesamt eine Vielzahl von Unternehmen und Organisationen in 11 wesentlichen und 7 wichtigen Sektoren betrifft, wird hier ein Überblick über die Sektoren gegeben:

Neue Handlungsfelder für Banken und Finanzmärkte

Banken und Finanzmärkte gehören zu den Kritischen Infrastrukturen (Kritis). Aus diesem Grund ergänzt die NIS2-Richtlinie für diese Gruppe die Cyber-Sicherheitsvorschriften um drei wesentliche Handlungsfelder: Risikomanagement, Zusammenarbeit und Haftung

Die Anforderungen an das Risikomanagement sind umfangreich und reichen von der Risikoanalyse über den Umgang mit Zwischenfällen bis hin zum Krisenmanagement. Auch das Risiko von Dienstleistern muss bewertet werden. NIS2 zielt darauf ab, dass Finanzunternehmen ihre gesamte Lieferkette auf Cyber-Sicherheit ausrichten. Um diesen Anforderungen gerecht zu werden, kann beispielsweise ein Zero-Trust-Modell hilfreich sein. Das bedeutet im Wesentlichen: Alles wird überprüft, niemandem wird vertraut.

Darüber hinaus verschärft NIS2 die Meldepflicht: Unternehmen müssen signifikante Störungen, Vorfälle und Cyber-Bedrohungen unverzüglich melden. Prävention ist auch hier wichtig! Hier bietet sich zum Beispiel die Verlagerung der IT-Infrastruktur von einem On-Premise-Ansatz auf eine Cloud-Lösung an. Die Cloud dient nicht nur als sicherer Speicherort für Unternehmensdaten, sondern ermöglicht auch eine skalierbare Entwicklung von Geschäftsprozessen und Kundenbeziehungen. Darüber hinaus sollten Maßnahmen zur Aufdeckung von Schwachstellen ergriffen werden, um Angriffe frühzeitig zu erkennen und so die Widerstandsfähigkeit der gesamten Organisation kontinuierlich zu stärken.

Neben dem Risikomanagement hat die NIS2 auch Auswirkungen auf die Zusammenarbeit. So wird die Einrichtung von nationalen Computer Security Incident Response Teams (CSIRT) gefordert. Diese Teams in den einzelnen EU-Mitgliedstaaten sollen bei der Bewältigung von groß angelegten Cyber-Angriffen helfen. Bei Nichteinhaltung dieser neuen Anforderungen drohen empfindliche Strafen, die bis zu zwei Prozent des Jahresumsatzes oder maximal zehn Millionen Euro betragen können. Zum anderen werden die Befugnisse der Aufsichtsbehörden erweitert. Die NIS2 sieht auch eine strenge Haftung vor, wobei die Unternehmensleitung verantwortlich und haftbar ist.

Fazit: Finanzunternehmen müssen umdenken

Spätestens im Herbst 2024 werden zahlreiche neue Regelungen auf die deutsche Wirtschaft zukommen. Daher ist es entscheidend, frühzeitig Maßnahmen zu ergreifen und die Anforderungen der NIS2 präzise umzusetzen. Gerade für Banken und Finanzdienstleister, die in Deutschland zu den am stärksten regulierten Branchen gehören, was sich bereits bei den Bankaufsichtlichen Anforderungen an die IT (BAIT), den Vorgaben für Versicherungen (VAIT) und dem IT-Sicherheitsgesetz zeigen, ist es ratsam, die technologischen Möglichkeiten nicht außer Acht zu lassen. Es liegt nun an den Banken und Finanzdienstleistern, die Potenziale zu nutzen, die technologischen Standards zu verbessern und die neue Richtlinie als Chance zu begreifen, die Cyber-Abwehr zu stärken und Angriffe zu minimieren.

Aufgepasst: In der nächsten Ausgabe wird sich die auf IT- und Internetrecht spezialisierte Rechtsanwältin Carola Sieling in einem Artikel zu den Auswirkungen der NIS2-Richtlinie auf die Rechnungslegung von Unternehmen äußern. Seien Sie also gespannt!