Cybersicherheit: 7 Tipps zur Vorbereitung auf die NIS-2-Richtlinie

Am 17. Oktober 2024 tritt die NIS-2-Richtlinie in Kraft. Es handelt sich dabei um eine europäische Verordnung, die Unternehmen und Organisationen dazu verpflichtet, ihre IT-Sicherheitssysteme zu stärken und so die Widerstandsfähigkeit kritischer Infrastrukturen gegenüber Cyberangriffen zu erhöhen.

In Deutschland werden zukünftig ca. 30.000 bis 40.000 Unternehmen von dieser Richtlinie erfasst. Schätzungen zufolge sind sich etwa 80 Prozent der betroffenen Unternehmen ihrer Betroffenheit jedoch noch nicht bewusst. Dabei geht es nicht nur um rechtliche Konsequenzen, sondern auch um den Schutz des Unternehmenswertes und der Reputation.

Viele Geschäftsführer haben sich mit der Thematik noch nicht ausreichend befasst. Dies ist besonders bedenklich, denn die NIS-2-Richtlinie sieht vor, dass Geschäftsführer und andere Leitungspositionen von Unternehmen für die Einhaltung der Sicherheitsmaßnahmen mit ihrem Privatvermögen haften.  

Was hat sich geändert?

Die neue Richtlinie betrifft nicht nur kritische Infrastrukturen, sondern auch bestimmte Unternehmen aus dem Lebensmittelhandel und dem E-Commerce. Sie sind oft zentrale Anlaufstellen für Verbraucher und Unternehmen und speichern eine Vielzahl sensibler Daten. Ein Cyberangriff auf einen Online-Marktplatz kann daher erhebliche Auswirkungen auf die betroffenen Nutzer und Unternehmen haben.

Damit sind deutlich mehr KMU als zuvor von den neuen Vorschriften betroffen und verpflichtet, diese Richtlinie umzusetzen. Für Unternehmen aus dem Bereich „Essential Entities“, also wesentlicher Einrichtungen, kann das Bußgeld bei Nichtbeachtung der Richtlinie dabei maximal zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes betragen.

Bei Unternehmen, die zu den „Important Entities“ bzw. wichtigen Einrichtungen gehören, gelten Geldbußen bis zu einer Höhe von sieben Millionen Euro oder 1,4 Prozent des weltweiten Umsatzes. Unternehmer sind also gut beraten, sich jetzt mit dem Thema zu befassen. Um einen möglichen Verstoß gegen die Richtlinie vorzubeugen, gibt es dabei einige Dinge, die man jetzt noch umsetzen kann.   

Sieben konkrete Handlungsempfehlungen für Online-Marktplätze:

1. Selbstcheck durchführen:  
   Nutzen Sie die NIS-2-Betroffenheitsprüfung des Bundesamtes für Sicherheit in der Informationstechnik, um festzustellen, ob Ihr Unternehmen die Richtlinie anwenden muss. 
   Sind Sie betroffen, führen Sie eine detaillierte Risikoanalyse durch, um die größten Bedrohungen für Ihr Unternehmen zu identifizieren und priorisieren. Nutzen Sie beispielsweise den kostenfreien Cyber-Security Cube von Mission TOP 5, um Ihre aktuelle Sicherheitslage zu bewerten und Schwachstellen zu identifizieren. 
2. ISMS einführen: 
   Implementieren Sie ein Informationssicherheitsmanagementsystem (ISMS), um einen strukturierten Rahmen für den Umgang mit Informationssicherheit zu schaffen. Prüfen Sie regelmäßig, ob alle Mitarbeiter nur auf die für ihre Aufgaben notwendigen Daten zugreifen können. 
3. Sicherheitsbewusstsein stärken: 
   Führen Sie regelmäßige Schulungen und Workshops durch, um alle Mitarbeitenden für die Bedeutung von Cyber-Sicherheit zu sensibilisieren. Solche Schulungen sind unerlässlich, um ein allgemeines Sicherheitsbewusstsein zu schaffen und menschliches Versagen zu minimieren. 
4. Software regelmäßig aktualisieren: 
   Viele KMU verfügen über veraltete IT-Systeme, die anfällig für Cyberangriffe sind. Halten Sie sowohl Betriebssysteme als auch Anwendungen immer auf dem neuesten Stand, um bekannte Sicherheitslücken zu schließen und die generelle Anfälligkeit zu reduzieren. Erstellen Sie regelmäßig vollständige Backups Ihrer Daten, um im Falle eines Datenverlustes schnell wiederherstellen zu können. 
5. Notfallplan entwickeln: 
   Entwickeln Sie einen detaillierten Notfallplan, der alle erforderlichen Schritte im Falle eines Cyber-Angriffs beschreibt. Notfallpläne gehören bei Einrichtungen der Kritischen Infrastruktur heute zum Standard. Durch NIS-2 wird dies nun für viele weitere Unternehmen zur Pflicht. Die Richtlinie gibt klare Forderungen für ein Meldesystem im Notfall vor, dazu zählen die Meldung innerhalb von 24 Stunden und die schnelle Kooperation mit den Behörden im Krisenfall.  
6. Lieferanten überprüfen: 
   Bewerten Sie auch die Cyber-Sicherheit Ihrer Lieferanten und Geschäftspartner und stellen Sie sicher, dass sie angemessene Maßnahmen ergreifen. Diese Anforderung bedeutet insbesondere für Online-Marktplätze einen nicht zu unterschätzenden Mehraufwand.   
7. Kooperation mit Experten: 
   Holen Sie sich die Unterstützung von erfahrenen Cyber-Security-Beratern, um individuelle Lösungen für Ihr Unternehmen zu entwickeln. 

Fazit: Vorsicht ist besser als Nachsicht

Die NIS-2-Richtlinie zielt darauf ab, Maßnahmen für ein hohes gemeinsames Cyber-Sicherheitsniveau in der Union zu etablieren und verpflichtet Unternehmen, konkrete Maßnahmen gegen Cyberkriminalität zu ergreifen. Im Umkehrschluss bietet die Richtlinie Unternehmen die Chance, ihre Cyber-Sicherheit zu stärken und sich langfristig gegen Cyber-Angriffe zu wappnen.

Die Herausforderung Cyber-Security ist gekommen, um zu bleiben. Unternehmen müssen das ernst nehmen – nicht nur, weil es eine Richtlinie dazu gibt und die Geschäftsführung in der Haftung ist, sondern auch deshalb, weil die Anzahl an Attacken (gerade in Deutschland) enorm hoch ist und wahrscheinlich noch weiter zunehmen wird.  

Dabei suchen die Angreifer längst nicht mehr gezielt nach augenscheinlich interessanten Targets, sondern setzen Bots und KI ein, um wahllos und branchenunabhängig Sicherheitslücken in den Online-Auftritten von Unternehmen zu finden und dann automatisiert anzugreifen.  

Das Hauptproblem ist nicht ausschließlich der finanzielle Schaden beispielsweise durch Lösegeld, sondern vielmehr der Ausfall von oft lebenswichtigen Funktionen des Unternehmens. Diejenigen, die nicht darauf vorbereitet sind, haben teilweise mehrere Wochen mit der Wiederherstellung eines normalen Status Quo zu kämpfen und setzen dabei oft die Existenz des Unternehmens aufs Spiel.

Die Regeln für Zahlungsunfähigkeit und Insolvenz nehmen beispielsweise keine Rücksicht darauf, warum ein Unternehmen (vorübergehend) nicht zahlungsfähig ist. Das klingt unfair – ist aber die Realität. 
 

Über den Autor:  
Oliver Lucas ist erfahrener Unternehmer und ausgewiesener E-Commerce- und Digitalisierungsexperte. Als geschäftsführender Gesellschafter von NFQ Solutions GmbH berät er mittelständische Unternehmen zu Digitalisierungs- und E-Commerce-Vorhaben, sowohl strategisch als auch in der Umsetzung.

Als Co-Gründer der Initiative „Mission TOP 5“ setzt er sich zudem aktiv für mehr Digitalisierung im Mittelstand ein. Lucas engagiert sich als Chairman für das D2C Expertenforum bei Crossbordercommerce und als Jurymitglied beim Logivisor Award.  

Artikelbild: http://www.depositphotos.com