Cyberkriminalität weiterhin auf Rekordniveau

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt jedes Jahr erneut vor einem Anstieg der Cyberkriminalität in Deutschland. Trotzdem übertreffen sich die Täter kontinuierlich selbst und entwickeln täglich neue Methoden, um Einrichtungen und Unternehmen anzugreifen und wertvolle Daten sowie lukrative Lösegelder zu erlangen. Für potenzielle Opfer ist es daher entscheidend, stets wachsam gegenüber Angriffsversuchen zu sein. Leider vernachlässigen jedoch viele Einrichtungen und Unternehmen immer noch den angemessenen Schutz ihrer IT-Infrastruktur und unterschätzen die Bedeutung der IT-Sicherheit. Genau hier setzt die NIS2-Richtlinie an.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie, auch bekannt als NIS-2-Richtlinie, ist ein EU-Regelwerk zur Stärkung der Cybersicherheit von Einrichtungen und Unternehmen. Die Abkürzung “NIS” steht für “Network and Information Security”, während die Ziffer “2” darauf hinweist, dass es sich um die zweite Fassung der ursprünglich im Jahr 2016 veröffentlichten NIS-Richtlinie handelt.

Das Ziel der neuen NIS2-Richtlinie besteht darin, Mindeststandards für die Cybersicherheit festzulegen und die Widerstandsfähigkeit einzelner Einrichtungen und Unternehmen sowie der gesamten EU zu verbessern. Dabei sollen Unterschiede zwischen Ländern und Sektoren minimiert und ein einheitlicher Maßnahmenkatalog gegen Cyberbedrohungen umgesetzt werden.

Es gibt unterschiedliche Meinungen darüber, warum es zu einer Überarbeitung der Richtlinie zum Schutz von Netz- und Informationssystemen gekommen ist. Einige behaupten, dass der mäßige Erfolg der ersten Version der Richtlinie der Grund dafür war, während andere wohlwollend argumentieren, dass die sieben Jahre alte Richtlinie den neuen Herausforderungen im Bereich der Cybersicherheit nicht mehr gerecht wird.

Lesen Sie hier in einem weiteren Blogartikel von IPEXX-Systems, welches die Top-Trends im Bereich Cyber-Security 2023 sind!

Wer wird von der NIS2-Richtlinie betroffen?

In erster Linie betrifft die NIS2-Richtlinie die Betreiber sogenannter Kritischer Infrastrukturen (KRITIS). Dies liegt daran, dass diese Infrastrukturen von großer Bedeutung für das Gemeinwohl sind, stark von Informations- und Kommunikationstechnologie abhängen und daher als attraktive Ziele für Cyberangriffe gelten. Ein Angriff auf eine KRITIS-Einrichtung hätte massive Auswirkungen.

Die Motive für solche Angriffe können entweder politisch sein und darauf abzielen, einem bestimmten Land Schaden zuzufügen, oder finanziell, indem hohe Lösegeldforderungen gestellt werden. Tatsache ist, dass Betreiber kritischer Infrastrukturen einen Anstieg von Cyberangriffen verzeichnen, wie der Digitalverband Bitkom berichtet.

Neue Richtlinie mit erweiterten Sektoren

Es ist wichtig zu wissen, dass die NIS2-Richtlinie den Kreis der als KRITIS eingestuften Einrichtungen erheblich erweitert. Es wurden neue elementare Sektoren hinzugefügt. Dabei wird zwischen “wesentlichen Einrichtungen” und “wichtigen Einrichtungen” unterschieden.

Zu den wesentlichen Einrichtungen gehören:

• Energiesektor
• Transportsektor
• Bankwesen
• Finanzmärkte
• Gesundheitswesen
• Trinkwasser
• Abwasser
• Digitale Infrastruktur
• Öffentliche Verwaltung
• Weltraum

Kleine Unternehmen nicht betroffen

Kleine Unternehmen sind von der Richtlinie kaum betroffen, es sei denn, sie sind der alleinige Anbieter eines Dienstes in einem Land und tragen wesentlich zur Aufrechterhaltung gesellschaftlicher oder wirtschaftlicher Aktivitäten bei. Ansonsten gilt die Richtlinie für Unternehmen und Organisationen in den genannten Sektoren mit mindestens 50 Mitarbeitern und einem Jahresumsatz von 10 Millionen Euro.

Was besagt die NIS2-Richtlinie?

Die NIS2-Richtlinie zielt darauf ab, Einrichtungen und Unternehmen zu umfassender Cybersicherheit zu zwingen. Dafür gibt es einen umfangreichen Katalog an Vorgaben, die umgesetzt werden müssen. Die vorgeschriebenen Maßnahmen zielen im Wesentlichen darauf ab, die Angriffsfläche zu minimieren, Angriffe frühzeitig zu erkennen, im Ernstfall schnell zu reagieren und Systeme vollständig wiederherstellen zu können. In der NIS2-Richtlinie werden 14 Punkte genannt, die von den betroffenen Unternehmen und Sektoren erfüllt werden müssen. Das umfangreiche Regelwerk geht detailliert auf jeden einzelnen Punkt. Es empfiehlt sich hier ein Blick in die NIS2-Richtlinie selbst, genauer gesagt in die DIRECTIVE (EU) 2022/2555 des Europäischen Parlaments.

Ab wann gilt die NIS2-Richtlinie?

Grundsätzlich sollten betroffene Einrichtungen und Unternehmen die NIS2-Richtlinie spätestens bis zum Herbst 2024 umsetzen. Für genauere Informationen: Die NIS2-Richtlinie wurde am 27. Dezember 2022 im Amtsblatt L333 der Europäischen Union veröffentlicht und trat am zwanzigsten Tag nach ihrer Veröffentlichung, also am 16. Januar 2023, in Kraft. Die Mitgliedsstaaten haben ab diesem Tag 21 Monate Zeit, um die Richtlinie in nationales Recht umzusetzen. Somit ist der 16. Oktober 2024 der Stichtag.

Sobald die Richtlinie geltendes Recht ist, müssen Einrichtungen und Unternehmen die in der Richtlinie festgelegten Mindestanforderungen erfüllen, um nicht mutwillig dagegen zu verstoßen.

Kurz gesagt: Der Countdown läuft. Es ist ratsam, frühzeitig aktiv zu werden, die eigene IT-Sicherheit kritisch zu überprüfen und gegebenenfalls zu verbessern. Schließlich liegt ein hoher Schutz im eigenen Interesse.

Unsere IT-Experten beraten Sie bei der IT-Sicherheit

Viele der in der NIS2-Richtlinie genannten Anforderungen können bereits durch eine Zero-Trust-Strategie in Kombination mit einer gut durchdachten Cybersicherheits-Strategie in Ihrem Unternehmen umgesetzt werden. Sicherlich sind Sie mit Ihrem Unternehmen bereits so sicher aufgestellt, dass Ihnen die meisten Angriffe aus dem Netz nichts anhaben können. Die Erfahrung zeigt jedoch, dass digitale Schurken immer neue Mittel Wege finden, um irgendwie an Ihre wertvollen Daten zu kommen.

Lassen Sie sich deshalb gerne von unseren Spezialisten im Bereich Cybersicherheit für Ihr Unternehmen beraten, um ein optimales Level an Sicherheit für Ihre IT-Infrastruktur zu etablieren.

Sicherheitscheck für Ihr Unternehmen von IPEXX-Systems

Als Unternehmer haben Sie natürlich besseres zu tun als sich jeden Tag um die Sicherheit Ihrer Unternehmens-IT zu kümmern. Wir haben zu diesem Zweck einen detaillierten Security-Check für IT-Infrastrukturen in Unternehmen entwickelt, der jede noch so kleine Schwachstelle aufdecken kann. Diesen Check nehmen wir als Grundlage für weitere Maßnahmen zur Absicherung Ihrer IT. Fragen Sie uns. Wir beraten Sie gerne!