Rechtliche Aspekte und Umsetzung in Deutschland

Vorrausichtliche Lesezeit: 7 Minuten

Dieser Abschnitt konzentriert sich auf die spezifischen rechtlichen Anforderungen und die praktische Umsetzung der NIS-2-Richtlinie in Deutschland. Der Schwerpunkt liegt auf gesetzlichen Vorgaben, regulatorischen Rahmenbedingungen und der praktischen Anwendung in deutschen Unternehmen.

1. Gesetzlicher Rahmen

Einführung in die NIS-2-Richtlinie

Betroffenheit feststellen! Zunächst muss das Unternehmen prüfen, ob es von der NIS2-Richtlinie betroffen ist. Dies betrifft vor allem Unternehmen in wesentlichen Sektoren wie Energie, Verkehr, Gesundheit und digitale Infrastrukturen. Dazu gilt es folgende Schritte durchzuführen:

Sektorzugehörigkeit prüfen: Überprüfe, ob dein Unternehmen in einem der Sektoren tätig ist, die von der NIS2-Richtlinie abgedeckt sind. Dazu gehören unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastrukturen und Finanzdienstleistungen.

• Kritikalität bewerten: Bestimme, ob dein Unternehmen als „wesentliche“ oder „wichtige“ Einrichtung eingestuft wird. Dies hängt von der Bedeutung deiner Dienstleistungen und der potenziellen Auswirkungen eines Ausfalls auf die Gesellschaft ab.
• Checklisten und Leitfäden nutzen: Verwende verfügbare Checklisten und Leitfäden, um eine detaillierte Bewertung durchzuführen. Diese können dir helfen, die spezifischen Anforderungen und Kriterien der NIS2-Richtlinie zu verstehen.
• Beratung in Anspruch nehmen: Ziehe Experten oder Beratungsunternehmen hinzu, die sich auf Cybersicherheit und die NIS2-Richtlinie spezialisiert haben. Sie können eine umfassende Analyse durchführen und dir bei der Umsetzung der erforderlichen Maßnahmen helfen.
• Gesetzliche Anforderungen verfolgen: Halte dich über die aktuellen gesetzlichen Entwicklungen und Anforderungen auf dem Laufenden. In Deutschland gibt es beispielsweise den 4. aktuellen Referentenentwurf des Bundesinnenministeriums zur Umsetzung der NIS2-Richtlinie.

Deutsche Gesetze und Vorschriften

In Deutschland gibt es mehrere wichtige Gesetze und Vorschriften, die Unternehmen im Bereich IT-Compliance beachten müssen:

• EU-Datenschutz-Grundverordnung (EU-DSGVO): Diese Verordnung gilt in allen EU-Mitgliedsstaaten und legt strenge Regeln für den Datenschutz fest.
• Bundesdatenschutzgesetz (BDSG): Ergänzt die EU-DSGVO und regelt den Datenschutz auf nationaler Ebene.
• IT-Sicherheitsgesetz 2.0: Dieses Gesetz stärkt die IT-Sicherheit in Deutschland, indem es unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit erweiterten Kompetenzen ausstattet.
• KRITIS-Verordnung: Diese Verordnung betrifft Betreiber kritischer Infrastrukturen und legt spezielle Sicherheitsanforderungen fest.
• ISO 27001: Eine internationale Norm, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) definiert.

Diese Gesetze und Normen zielen darauf ab, die Verfügbarkeit, Vertraulichkeit und Integrität von Unternehmensinformationen zu gewährleisten und Unternehmen vor Cyberangriffen zu schützen.

Rechtliche Anforderungen für Unternehmen

Verantwortlichkeiten klären: Ein Team zusammenstellen und klare Verantwortlichkeiten definieren. Dies umfasst die Ernennung eines Sicherheitsbeauftragten und die Einrichtung eines NIS2-Projekts. Es sollte über folgende Kompetenzen verfügen:

• Cybersecurity-Expertise: Kenntnisse in Netzwerksicherheit, Bedrohungsanalyse und Abwehrmaßnahmen sind entscheidend. Das Team sollte in der Lage sein, Sicherheitslücken zu identifizieren und zu beheben.
• Risikomanagement: Erfahrung im Risikomanagement, einschließlich der Bewertung und Priorisierung von Risiken, ist wichtig, um die Sicherheitsstrategie des Unternehmens zu gestalten.
• Compliance und rechtliche Kenntnisse: Vertrautheit mit den gesetzlichen Anforderungen und Bestimmungen der NIS2-Richtlinie sowie anderen relevanten Vorschriften wie der DSGVO.
• IT-Infrastruktur und Netzwerke: Tiefgehendes Verständnis der IT-Infrastruktur und Netzwerke des Unternehmens, um sicherzustellen, dass alle Systeme und Prozesse sicher sind.
• Incident Response: Fähigkeiten im Bereich Incident Response und Business Continuity Management, um auf Sicherheitsvorfälle schnell und effektiv reagieren zu können.
• Projektmanagement: Erfahrung im Projektmanagement, um die verschiedenen Aspekte des NIS2-Projekts zu koordinieren und sicherzustellen, dass alle Anforderungen termingerecht erfüllt werden.
• Schulung und Sensibilisierung: Fähigkeit, Schulungsprogramme
  zu entwickeln und durchzuführen, um das Bewusstsein und die Fähigkeiten der
  Mitarbeiter in Bezug auf Cybersicherheit zu stärken.

2. Umsetzung der NIS-2 in Deutschland

Risikomanagement

Risikomanagement implementieren: Ein NIS2-konformes Risikomanagement einführen, um Risiken für Netz- und Informationssysteme zu bewerten und zu bewältigen. Folgende Schritte sind für die Einführung und Etablierung eines Risikomanagements notwendig:

• Strategische Grundsätze kommunizieren: Die Geschäftsführung sollte die strategischen Grundsätze des Risikomanagements klar kommunizieren. Diese bilden das Fundament für die konkrete Ausgestaltung der Risikomanagement-Organisation.
• Verantwortlichkeiten festlegen: Interne Verantwortlichkeiten müssen klar definiert werden. Dies umfasst die Ernennung eines Risikomanagers und die Festlegung der Rollen und Verantwortlichkeiten innerhalb des Unternehmens.
• Risikoidentifikation: Identifiziere alle potenziellen Risiken, die das Unternehmen betreffen könnten. Dies kann durch Workshops, Interviews und die Analyse historischer Daten erfolgen.
• Risikoanalyse und -bewertung: Analysiere und bewerte die identifizierten Risiken hinsichtlich ihrer Wahrscheinlichkeit und potenziellen Auswirkungen. Dies hilft, die Risiken zu priorisieren.
• Risikosteuerung: Entwickle und implementiere Maßnahmen zur Steuerung der identifizierten Risiken. Dies kann die Vermeidung, Minderung, Übertragung oder Akzeptanz von Risiken umfassen.
• Risikoberichterstattung: Etabliere regelmäßige Berichterstattungsprozesse, um das Management über den Status und die Entwicklung der Risiken zu informieren.
• Überwachung und Überprüfung: Implementiere kontinuierliche Überwachungs- und Überprüfungsprozesse, um sicherzustellen, dass das Risikomanagementsystem effektiv bleibt und an neue Risiken angepasst wird

Geschäftskontinuität sicherstellen

Geschäftskontinuität sicherstellen: Maßnahmen zur Sicherstellung der Geschäftskontinuität im Falle eines Cybervorfalls entwickeln. Folgende Punkte sollten mindestens im Unternehmen sichergestellt
werden:

• Risikoanalyse und Bericht: Identifiziere und bewerte potenzielle Risiken, die den Geschäftsbetrieb stören könnten. Dies hilft, die Risiken zu priorisieren und geeignete Maßnahmen zu entwickeln.
• Business-Impact-Analyse (BIA): Analysiere die potenziellen Auswirkungen von Störungen auf die Geschäftsprozesse. Dies hilft, kritische Geschäftsprozesse zu identifizieren und Wiederherstellungsziele festzulegen.
• Betriebs-Kontinuitäts-Strategie: Entwickle Strategien zur Aufrechterhaltung oder schnellen Wiederherstellung der Geschäftsprozesse im Falle einer Störung.
• Plan-Entwicklung: Erstelle detaillierte Business-Continuity-Pläne, die die spezifischen Maßnahmen und
  Verantwortlichkeiten im Falle einer Störung festlegen.
• Tests und Ausführungen: Führe regelmäßige Tests und Übungen durch, um die Wirksamkeit der Business-Continuity-Pläne zu überprüfen und sicherzustellen, dass alle Beteiligten ihre Rollen und Verantwortlichkeiten kennen.
• Programm-Management: Implementiere ein kontinuierliches Programm-Management, um das BCM-System regelmäßig durch interne und externe Audits zu überprüfen und zu aktualisieren. Dies stellt sicher, dass es den
  aktuellen Anforderungen und Bedrohungen entspricht.

Meldeprozesse etablieren

Verfahren zur Meldung von Sicherheitsvorfällen an die
zuständigen Behörden einrichten. Diese Prozesse sollten mindestens folgendes für den Ernstfall enthalten:

• Vorläufiger Bericht: Innerhalb von 24 Stunden nach Entdeckung eines signifikanten Vorfalls muss ein vorläufiger Bericht eingereicht werden. Dieser Bericht sollte eine erste Einschätzung des Vorfalls
  enthalten.
• Vollständiger Bericht: Innerhalb von 72 Stunden nach dem ersten Bericht muss ein detaillierterer Bericht eingereicht werden. Dieser sollte eine erste Bewertung des Vorfalls und seiner potenziellen Auswirkungen umfassen.
• Abschlussbericht: Innerhalb eines Monats nach dem Vorfall muss ein umfassender Abschlussbericht eingereicht werden. Dieser Bericht sollte alle relevanten Informationen und eine detaillierte Beschreibung des Vorfalls
  enthalten.

Diese Meldeprozesse stellen sicher, dass Sicherheitsvorfälle schnell und effizient gemeldet werden, um die Auswirkungen zu minimieren, die Cybersicherheit zu verbessern und Bußgelder, sowie Imageverluste zu reduzieren.

3. Best Practices

Best Practices und Fallstudien

Durch den NIS2-Readiness Check, erhalten Unternehmen binnen kürzester Zeit ein Ergebnis, ob und wenn in welcher Form der Betrieb unter die neue NIS2-Regelung fällt. Danach kann selbstverständlich auch direkt ein passendes IT-Projekt zur Umsetzung angestoßen werden.

Beratungs- und Unterstützungsangebote

Wir stehen Ihnen mit der Cyber Complete () für Fragen und Antworten zum Thema sehr gerne zur Verfügung.

4. Regelmäßige Updates und Änderungen

Aktuelle Entwicklungen und Updates

Derzeit befinden wir uns im 4. aktuellen Referentenentwurf des Bundesinnenministeriums zur Umsetzung der NIS2-Richtlinie.

Zukünftige Herausforderungen

Mit hoher Wahrscheinlichkeit wird die offiziellen Deadline am 17.10.2024 von den deutschen Behörden nicht eingehalten. Somit wird davon ausgegangen, dass das neue NIS2 Gesetz Anfang des Jahres 2025 veröffentlicht wird.