NIS-2-Richtlinie: Ein beispielhafter Umsetzungsfahrplan

Seit ihrer Verabschiedung auf EU-Ebene im Jahr 2022 ist die NIS-2-Richtlinie ein Dauerthema in IT- und Security-News. Doch sie ist bislang noch nicht in deutsches Recht umgesetzt worden. Vereinzelt war schon zu hören, dass es in Deutschland gar keine Umsetzung mehr geben wird. Diese Annahme ist vermutlich eher einem Wunschdenken entsprungen, auch wenn die Fristen für eine nationale Umsetzung längst ausgelaufen sind.

Fakt ist: Das deutsche NIS-2-Umsetzungsgesetz kommt. Mit der neuen Regierung erhält es nun auch die notwendige Mehrheit im Bundestag. Welche Unternehmen davon betroffen sind und was diese tun müssen, steht im Großen und Ganzen seit 2022 fest. Viele Unternehmen fragen sich nun, wie sie die Anforderungen konkret umsetzen können – angefangen von der eigenen Betroffenheitsprüfung über die Reifegradbestimmung und ISMS-Einführung bis hin zur „NIS-2-Readiness“. Hier besteht noch ein großes Informationsdefizit.

Nehmen wir die fiktive Firma Maschinen Motor Musterstadt GmbH. Sie stellt hauptsächlich Elektromotoren für industrielle Roboter und Maschinen her. Die Firma hat insgesamt 137 Mitarbeitende und weist eine Jahresbilanz in Kombination mit einem Jahresumsatz von mehr als 10 Millionen Euro aus. Die Geschäftsführung möchte nun wissen, ob ihr Unternehmen von der NIS-2-Gesetzgebung betroffen ist und was zu tun ist. Darum wendet sie sich an ein IT-Beratungsunternehmen mit NIS-2-Expertise wie SHD System-Haus-Dresden GmbH.

Passt die Branche, passt die Größe?

In einem ersten Termin bestimmen wir gemeinsam mit der Geschäftsführung, ob das Unternehmen von der NIS-2 Gesetzgebung betroffen ist. Hierzu schauen wir zunächst in die Anlage 2, Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ und werden hier bei der Branche „Herstellung von elektrischen Ausrüstungen“ fündig. Für weitere Details schauen wir in die sogenannten NACE-Codes, genauer auf den Abschnitt C Abteilung 27 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2). Dort sehen wir, dass die „Herstellung von Elektromotoren“ (NACE Code Gruppe 27.1) unter diese Bestimmung fällt. Unser Musterunternehmen ist also aufgrund seiner Branche von der Richtlinie betroffen. Anschließend schauen wir gemeinsam, ob auch die Größenkriterien erfüllt werden. Mit 137 Mitarbeitenden, aber auch durch die Kombination vom letzten Jahresumsatz und der letzten Jahresbilanz von mehr als 10 Millionen Euro, werden hier die Grenzwerte übertroffen. Diese liegen für wichtige Einrichtungen bei mindestens 50 Mitarbeitenden oder einem Jahresumsatz in Kombination mit einer Jahresbilanz von mehr als 10 Millionen Euro.

Wie sicher ist das Unternehmen bereits unterwegs?

Im zweiten Schritt analysieren wir, wie sicher das Unternehmen bereits jetzt aufgestellt ist und welche konkreten Schritte zur NIS-2-Konformität notwendig sind. Dafür erhalten wir von der Geschäftsleitung den Auftrag, eine NIS-2-Reifegradprüfung bzw. Gap-Analyse durchzuführen. Wir führen Interviews mit den Beschäftigten des Unternehmens und ergänzen die Analyse durch die Sichtung relevanter Unterlagen und Dokumentation zur Informationssicherheit.

Unsere Reifegradprüfung ergibt: Die Maschinen Motor Musterstadt GmbH setzt bereits jetzt viele technische Maßnahmen zur Informationssicherheit um: Das Unternehmen arbeitet zum Beispiel bereits mit einer gut aufgestellten Endpoint Protection und setzt möglicherweise auch eine Multi-Faktor-Authentifizierung ein. Es werden auch Verschlüsselungstechnologien eingesetzt. Allerdings gibt es auch Defizite, vor allem bei der Organisation. Wichtige Punkte sind hier die fehlende Dokumentation und die unzureichende Awareness der Beschäftigten. Es gibt auch keinen übergeordneten Plan zur Erhöhung der Informationssicherheit. Zudem erfolgt bislang keine Risikobetrachtung in der Informationssicherheit.

Als Ergebnis der Prüfung empfehlen wir dem Unternehmen, durch ein Informationssicherheitsmanagementsystem (ISMS) einen organisatorischen Überbau für ein planvolles und wohlüberlegtes Vorgehen zu etablieren, davon abgeleitet ein Risikomanagement für die Informationssicherheit einzuführen sowie die Awareness-Maßnahmen für die Mitarbeitenden zu verstärken.

Wie erreichen wir mehr IT-Sicherheit im Unternehmen?

Im dritten Schritt planen wir gemeinsam mit dem Unternehmen die Umsetzung der Maßnahmen. Dabei berücksichtigen wir, dass die Umsetzung parallel zum Tagesgeschäft des Unternehmens läuft und sich daher über einen längeren Zeitraum bewegt.

Wir definieren gemeinsam eine Projektlaufzeit von 24 Monaten mit vierteljährlichen Meilensteinen. Das letzte halbe Jahr der Projektlaufzeit definieren wir als „Übergang in den Betrieb“. Dies ist der Beginn eines kontinuierlichen Verbesserungsprozesses.

Die Geschäftsleitung unterstützt und überwacht das gesamte Projekt und benennt eine Person für die zentrale Koordination aller Informationssicherheitsthemen (Informationssicherheitskoordination, ISMK) sowie ein kleines Projektteam. Gemeinsam führen wir ein ISMS als Schaltzentrale für alle NIS-2- bzw. informationssicherheitsrelevanten Themen ein. Über unseren Partner stellen wir der Firma auch ein geeignetes ISMS-Tool as a Service zur Verfügung.

Außerdem etablieren wir ein Risikomanagement für die Informationssicherheit. Über dieses werden relevante Risiken identifiziert und geeignete Gegenmaßnahmen in die Wege geleitet.

Darüber hinaus vereinbaren wir einmal jährlich die Durchführung von User-Awareness-Schulungen durch unsere Security-Experten. Bei diesen Schulungen zeigen wir ein realistisches Bild von Cyberbedrohungen. Das gelingt uns anhand von Beispielen aus der Praxis sowie geeigneten Phishing-Tests. Wir geben konkrete Hinweise darauf, wie man solche Bedrohungen erkennt und was man diesen entgegnen kann. Auch die Geschäftsleitung kommt ihrer Verpflichtung aus der NIS-2-Richtlinie nach, regelmäßig an Schulungen teilzunehmen. 

Wie wird daraus ein kontinuierlicher Verbesserungsprozess?

Im vierten Schritt geht es darum, die Umsetzung der Maßnahmen zu überwachen und das ISMS fest in den Unternehmensprozessen zu verankern.

Hierfür vereinbaren wir mit der Maschinen Motor Musterstadt GmbH einen festen monatlichen Beratersatz, um diesen Verbesserungsprozess über das Projektende hinaus zu begleiten. Zu den Leistungen gehören die regelmäßige Überprüfung der organisatorischen Vorgaben, die Überprüfung der Wirksamkeit sowie die anlassbezogene und zyklische erneute Risikoanalyse und Risikobehandlung.

Damit schafft die Maschinen Motor Musterstadt GmbH eine solide Basis, um einerseits den Anforderungen der Gesetzgebung gerecht zu werden, andererseits erhöht sie damit auch die eigene Cyberresilienz und wappnet sich gegen potenzielle Bedrohungen.

Aufgaben nach Inkrafttreten des deutschen NIS-2-Gesetzes

Wenn das nationale Umsetzungsgesetz der NIS-2-Richtlinie endgültig verabschiedet ist, ergeben sich daraus für betroffene Unternehmen unmittelbar zwei Aufgaben: Zunächst müssen sie sich innerhalb von drei Monaten über ein Meldeportal beim BSI registrieren. Die genaue Ausgestaltung dieser Registrierung ist derzeit noch offen. Allerdings steht bereits fest, welche Basisdaten übermittelt werden müssen. Die zweite Aufgabe: Sollte es im Unternehmen zu erheblichen Sicherheitsvorfällen kommen, müssen diese an das BSI gemeldet werden – ähnlich, wie es bereits bei der Datenschutzgrundverordnung (DSGVO) und im Umfeld der Informationssicherheit bei KRITIS-relevanten Unternehmen der Fall ist.

Jetzt mit dem Aufbau eines ISMS beginnen

Unternehmen, die bereits jetzt mit der Umsetzung der Maßnahmen beginnen, können alles in ihrem eigenen Tempo durchführen. Stichprobenartige Überprüfungen, die in dem NIS-2-Umsetzungsgesetz angekündigt sind, stellen diese Unternehmen dann vor keine Herausforderungen – Nachweise und ein Zeitplan zur Umsetzung aller Maßnahmen können bereits vorlegt werden. Zum anderen schützen sich Unternehmen durch die Umsetzung der Maßnahmen proaktiv gegen die immer größere werdende Bedrohungslage. Das Hacken der eigenen Systeme, der Abfluss von Geschäftsgeheimnissen oder der komplette Stillstand der Produktion sind existenzbedrohende Risiken für Unternehmen, die jederzeit eintreten können. Die NIS-2-Richtlinie zielt darauf ab, diese Risiken zu minimieren. Je eher ein Unternehmen entsprechende Maßnahmen ergreift, desto besser ist es gegen diese Bedrohungen gerüstet und weiß im Falle des Eintritts eines solchen Vorfalls, wie es damit umgeht.

Bilder: Shutterstock, Shutterstock, SHD