{"type":"template", "config":{"type":"preset", "templateType":"detail", "templateName":"detail"}}

{"config":{"type":"imageBound", "config":{}}}

{"type":"media","config":{"type":"image","fileId":433}}

{"type":"breadcrumb"}

{"config":{"type":"attribute", "attribute":"name"}} Verschärfte EU-Regelungen für IT-Sicherheit – das kommt mit NIS2 auf Unternehmen zu

{"config":{"type":"attribute","attribute":"longDescription"}} Immer mehr Cyber-Angriffe auf Unternehmen und kritische Infrastrukturen setzen die EU unter Druck. Diese reagiert mit verschärften Vorschriften. So soll die NIS2-Direktive bis 2024 den Mindeststandard für IT-Sicherheit in Europa festlegen. Was das für Unternehmen bedeutet und wie Sie handeln sollten, zeigen wir ihnen.

Die Bedrohungslage hat sich für viele Unternehmen verschlechtert. Trotz aller Vorsichtsmaßnahmen kann man täglich nachlesen, wen es gerade wieder erwischt hat, z. B. den Hannoverschen Nahverkehr. Gleichzeitig berichten die Medien darüber, dass die schnellste Schadsoftware namens Rohrschach gefunden wurde.
Von daher ist es kaum verwunderlich, dass das Europäische Parlament mit der NIS2-Richtlinie die Bedrohungen für Netz- und Informationssysteme eindämmen möchte.

Was ist NIS2?

NIS2 – auch bekannt als Direktive (EU) 2022/2555 – ist die überarbeitete Version der EU-weiten Rechtsvorschrift (Richtlinie (EU) 2016/1148 NIS1) von 2016 über die Netz- und Informationssicherheit. Hierbei werden die Anforderungen an die Informationssicherheit festgelegt – insbesondere für Betreiber kritischer Infrastrukturen. NIS2 wurde am 14. Dezember 2022 verabschiedet und ist seit dem 16.01.2023 in Kraft.
Da die NIS2 eine EU-Richtlinie ist, muss sie in allen Mitgliedstaaten der EU in nationales Recht umgesetzt werden. Die Mitgliedstaaten haben somit nach der Veröffentlichung von NIS2 nur 21 Monate Zeit, die Direktive in nationales Recht zu übernehmen.

Was bedeutet NIS2 für Deutschland?

Deutschland wird die Gesetze für IT-Sicherheit anpassen müssen, dazu zählen zum Beispiel das IT-Sicherheitsgesetz 2.0 und die KRITIS-Verordnung. Es ist daher zu erwarten, dass in den nächsten 2 Jahren bestehende Gesetze verschärft oder neue veröffentlicht werden, um den NIS2- Anforderungen gerecht zu werden.
Welche Verpflichtungen auf Unternehmen genau zukommen werden, wird sich aus den kommenden Gesetzen ergeben.

Was ändert sich mit NIS2?

Die wichtigsten Anforderungen der NIS1-Richtlinie bleiben erhalten, wie z. B. dass ein Informationssicherheitsmanagementsystem (ISMS) notwendig wird.

Einige der wichtigsten NIS2-Änderungen:

Insgesamt 18 Sektoren – bzw. Unternehmensbereiche – zählen zu kritischen, schützenswerten Infrastrukturen. Dazu zählen nicht nur die offensichtlichen Unternehmen wie z. B. Energie-Versorger, sondern auch Kurierdienste oder Produktionen.
NIS2 wird für mittelgroße Unternehmen in diesen 18 Sektoren gelten. Wer als mittelgroß gilt, wird durch die EU-Verordnung 2003/361/EG geregelt.
Sanktionen sollen zwischen 1,4 und 2 % des „weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes“ betragen. Oder „Geldbußen mit einem Höchstbetrag von mindestens 7 Mio./10 Mio. EUR“ – je nachdem welcher Betrag höher ist. Auch hier ist nicht ganz klar, ob es ein „Höchstbetrag“ ist (also maximal) oder „mindestens“ (ab 7 Mio. bzw. 10 Mio. Euro) diese Summe. Hier widerspricht sich die EU-Verordnung in Artikel 34 Punkt 4 und 5.
Die Geldbußen sollen auf jeden Fall „wirksam, verhältnismäßig und abschreckend“ sein.
Unternehmen müssen zudem sicherstellen, dass die IT-Sicherheit für die gesamte „Lieferkette“ eingehalten wird.
Darüber hinaus wird ein europäisches Verbindungsnetz für Cyberkrisen namens EU-CyCLONe geschaffen, das für die Koordinierung größerer Cybersicherheitsvorfälle und den Informationsaustausch zwischen den Mitgliedstaaten und den EU-Institutionen zuständig sein wird.

Welche Unternehmen sind von NIS2 betroffen?

Die EU-Verordnung 2003/361/EG wird regeln, wer als mittelgroßes Unternehmen gilt. Die Grenze liegt bei 50 Angestellten und einem Jahresumsatz und/oder Jahresbilanzsumme von mehr als 10 Mio. EUR, wobei es auch hier Ausnahmen geben wird. So werden beispielsweise Einrichtungen der öffentlichen Verwaltung ausgenommen, deren Tätigkeiten überwiegend in den Bereichen nationale und öffentliche Sicherheit liegt.

In der NIS2-Richtlinie vom 14. Dezember 2022 werden folgende „Sektoren“, bzw. Unternehmensbereiche aufgeführt, für die die neue NIS2-Direktive gilt. Dazu gehören:

„Sektoren mit hoher „Kritikalität“ – besonders schützenswerte Infrastrukturen

Energie: z. B. Elektrizitätswerke, Betreiber von Fernwärmenetzen oder Erdöl-Fernleitungen, Erdgas-Versorgungsunternehmen, LNG-Anlagen, Wasserstofferzeugung usw.
Verkehr: Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr
Banken/Kreditinstitute
Finanzmärkte und Handelsplattformen
Gesundheitswesen
Trinkwasser-Versorger
Abwasser-Entsorger
Digitale Infrastrukturen: Kommunikationsnetzwerke, Cloud Provider, Rechenzentren, TLD-Namenregister, DNS-Diensteanbieter usw.
IT-Dienstleister
Öffentliche Verwaltungen
Weltraum: weltraumgestützte Dienstleistungen, aber keine öffentlichen Kommunikationsanbieter

Sonstige kritische Infrastrukturen gehören ebenso dazu:

Post- und Kurierdienste
Abfallbewirtschaftung
Produktion, Herstellung und Handel mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe/Herstellung von Waren (Maschinenbau, Auto- und Zubehörproduktion, Medizinprodukte, elektrische Geräte, Computer, elektronische und optische Erzeugnisse usw.)
Digitale Services (Plattformen, Suchmaschinen, Social Media, Marktplätze usw.)
Forschungseinrichtungen

Kurz gesagt: Da fast alle mittelgroßen Unternehmen über entsprechende digitale Infrastrukturen verfügen und oft auch ihren Kunden digitale Services oder Produkte anbieten, dürften für sie die neuen NIS2-Direktiven gelten.

Welche Sanktionen bzw. Bußgelder gibt es bei Verstößen?

Wie bereits oben schon erwähnt, sollen die Mitgliedstaaten wirksame, verhältnismäßige und abschreckende Sanktionen erlassen, wenn sie gegen Artikel 21 (Risikomanagementmaßnahmen im Bereich der Cybersicherheit) oder Artikel 23 (Berichtspflichten) verstoßen.
Artikel 34 Punkt 5 nennt „Geldbußen mit einem Höchstbetrag von mindestens 7 000 000 EUR oder mit einem Höchstbetrag von mindestens 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, verhängt werden, je nachdem, welcher Betrag höher ist.“
Artikel 34 Punkt 4 spricht dabei von „Geldbußen mit einem Höchstbetrag von mindestens 10 000 000 EUR oder mit einem Höchstbetrag von mindestens 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, verhängt werden, je nachdem, welcher Betrag höher ist.“

Was sollten Unternehmen jetzt tun?

Die Gesetzesänderungen werden kommen. Abwarten bringt nichts. Von daher sollten Unternehmen sich fragen, wie sie die IT-Sicherheit und die dazugehörigen Kontroll- und Reporting-Maßnahmen verbessern können. Die genannten 18 Sektoren, die für mittelgroße Unternehmen gelten werden, zeigen jetzt schon, dass es fast alle betreffen wird.

Wir empfehlen den Unternehmen ein Informationssicherheits-Managementsystem (ISMS).

Hierbei handelt es sich um ein Rahmenwerk, das die Sicherheit von Informationen gewährleistet. Es umfasst alle Prozesse, Richtlinien, Verfahren und Technologien, um Informationen zu schützen.

Das ISMS – die Basis Ihrer IT-Sicherheit

Am Anfang steht immer die umfassende Beratung, bevor ein ISMS eingeführt werden kann. Hierzu haben wir eine eigene Software-Lösung entwickelt, die vor allem in kritischen Infrastrukturen eingesetzt wird:
ISMS Software AirIT-ONE.

Die Vorteile von ISMS Software AirIT-ONE:

Was ist AirIT-ONE?

AirIT-ONE ist eine von AirITSystems entwickelte Software-Plattform zum Aufbau und Betrieb von Managementsystemen und internen Kontrollsystemen. Die technologische Basis unserer Lösung ist unsere cloudbasierte AWARO-Technologie, die als Projekt- und Datenraumlösung verwendet wird.

Höchste IT-Sicherheit von AirITSystems

Vom ganzheitlichen Sicherheitskonzept bis zum Krisenmanagement – profitieren Sie von unserer langjährigen Erfahrung in sicherheitsbewussten Branchen: Als Dienstleister für Flughäfen, Krankenhäuser und Banken verfügen wir über umfassendes Know-how in der Informations-und Kommunikationssicherheit.
Unsere Experten berücksichtigen zudem Ihre IT- und Digitalisierungs-Anforderungen von Anfang an und integrieren sie in eine für Ihr Unternehmen maßgeschneiderte Lösung – vom IT-Consulting über die Integration bis zum Betrieb.

Sind Sie neugierig geworden? Besuchen Sie uNseren Security Day!

{"type":"widget","config":{"id":"26"}}

AirITSystems auf der SecIT 2025

Sie möchten uns kennenlernen und Technik erleben?
Besuchen Sie uns auf der SecIT by Heise in Hannover!

WO: HHC Hannover - Infos folgen
WANN: 19. bis 20. März 2025

Sie möchten mehr erfahren?

Sie haben noch Fragen zum Thema NIS2 oder ISMS?
Gerne beraten wir Sie hierzu ausführlich.
Kontaktieren Sie uns einfach.

Weitere Informationen:

EUR-Lex Richtlinie (EU) 2022/2555

AirITSystems ISMS

{"type":"objectView","config":{"objectType":"generic","extension":"contact","objectId":4,"presetId":"round"}}

{"type":"objectView","config":{"objectType":"generic","extension":"contact","objectId":7,"presetId":"round"}}

Veröffentlicht: {"config":{"type":"date"}}

News & Events

{"type":"template", "config":{"type":"html", "objectType":"article","objectExtension":"post", "templateType":"listing", "templateName":"filter"}}

Ansicht

{"type":"listing","config":{"objectType":"article","extension":"post","pagination":false,"config":{"presetId":"matrix","filtered":[],"visible":[0],"limit":6,"orderByNumber":"date","orderBy":"date","order":"desc","filterByTag":{"include":[],"exclude":[11,101,115]}},"listingId":"posts"}}

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} "A RISING STAR" - Palo Alto zeichnet AirITSystems für außerordentliche Leistungen und Engagement aus.

{"config":{"type":"attribute", "attribute":"description"}} AirITSystems wurde auf der Palo Alto Networks Partner Xchange in Köln mit dem "Rising Star"-Award als aufstrebender Stern ausgezeichnet. mehr...

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} Haben Sie Ihre Verteidigungslinie aufgebaut? AirITSystems zeigt auf der it-sa 2024, was tragfähige IT- und Sicherheitslösungen ausmacht

{"config":{"type":"attribute", "attribute":"description"}} AirIT auf der it-sa 2024: "Kampf den Systembrüchen" präsentierte AirITSystems ganzheitliche Sicherheitslösungen. Besucher erfuhren, wie sichere IT-Architekturen und Prozesse mit einem zuverlässiger Betrieb zu einem umfassenden Schutzkonzept verknüpft werden. mehr...

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} AirITSystems unter den "Besten IT-Dienstleistern 2024"

{"config":{"type":"attribute", "attribute":"description"}} AirITSystems belegt den 5. Platz im Ranking der „Besten IT-Dienstleister 2024“ und überzeugt in den Bereichen Beratung, Prozessverbesserung, SLA-Einhaltung und User Help Desk. mehr...

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} AirITSystems auf der it-sa 2024 in Nürnberg - tragfähige IT- und Sicherheitslösungen

{"config":{"type":"attribute", "attribute":"description"}} Unternehmenswerte zu schützen erfordert ein durchdachtes Risikomanagement & tragfähige Sicherheitsstrukturen. Auf der it-sa 2024 zeigt AirITSystems, dass Tools alleine hierfür nicht ausreichen. mehr...

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} AirITSystems in der kes-Special Ausgabe "Compliance: zwischen DSGVO, NIS-2-Richtlinie und KRITIS-Verordnung"

{"config":{"type":"attribute", "attribute":"description"}} Risikomanagement und tragfähige Sicherheitsarchitekturen sind Schlüsselfaktoren für Sicherheit. DSGVO, NIS-2-Richtlinie und KRITIS-Verordnung im kes-Special. mehr...

{"config":{"type":"previewImage", "fallback":1529}}

{"config":{"type":"attribute", "attribute":"name"}} Warum ein externer Informationssicherheitsbeauftragter (ISB) eine kluge Wahl für Ihr Unternehmen ist

{"config":{"type":"attribute", "attribute":"description"}} Externer Informationssicherheitsbeauftragter (ISB): Kosten sparen, Ressourcen schonen und mit unabhängiger Expertise Ihre IT-Sicherheit optimieren. mehr...

Alle News