NIS 2-Richtlinie für Unternehmen
Die NIS 2-Richtlinie (Network and Information Security Directive) soll ab Oktober 2024 die Cybersicherheit in der gesamten Europäischen Union erheblich verbessern. Für Unternehmen bedeutet dies im Wesentlichen eine Verschärfung ihrer IT-Sicherheit. Fortan müssen Firmen systematische Risikobewertungen ihrer IT-Infrastruktur und Software durchführen und entsprechend den Ergebnissen geeignete Sicherheitsmaßnahmen implementieren. Ein besonderes Augenmerk liegt dabei auf der Verantwortung des Managements: Die Richtlinie fordert, dass das Top-Management aktiv in die Überwachung und Umsetzung der Security Controls eingebunden wird. Außerdem können Führungskräfte fortan persönlich haftbar gemacht werden, wenn es zu Sicherheitsverstößen (security breaches) kommt. Diese Regelung zeigt, wie ernst die EU die Bedrohung durch Cyberangriffe nimmt. Nicht nur das: Sie unterstreicht die Notwendigkeit, Cyber security als zentrale Aufgabe der Unternehmensführung zu betrachten.
Was ist die NIS 2 Richtlinie?
Die NIS 2 Richtlinie ist eine Weiterentwicklung der ursprünglichen NIS Directive von 2016 der Europäischen Union. Einige wesentliche Veränderungen der NIS 2 im Vergleich zur ersten Richtlinie ist die Erweiterung des Anwendungsbereichs. Im Detail bedeutet dies, dass die NIS 2 Richtlinie nun eine deutlich größere Bandbreite von Sektoren und Unternehmen abdeckt:
- Erweiterung der betroffenen Sektoren: Während die ursprüngliche NIS-Richtlinie hauptsächlich kritische Infrastrukturen wie Energie, Transport, Gesundheitswesen und Finanzdienste abdeckte, geht die NIS 2 Richtlinie darüber hinaus. Sie schließt nun auch Sektoren wie digitale Dienstleister (z. B. Cloud-Service-Anbieter und Online-Marktplätze), Post- und Kurierdienste, öffentliche Verwaltungen und sogar Abfallmanagement ein.
- Kategorisierung von Unternehmen: Die NIS 2 unterscheidet zwischen „wesentlichen“ und „wichtigen“ Unternehmen. „Wesentliche“ Unternehmen sind diejenigen, die kritische Dienste bereitstellen, deren Ausfall erhebliche gesellschaftliche oder wirtschaftliche Auswirkungen hätte. „Wichtige“ Unternehmen sind solche, deren Ausfall ebenfalls bedeutende, aber etwas weniger kritische Folgen hätte.
- Erhöhte Anforderungen und Meldepflichten: Im Vergleich zur ursprünglichen Richtlinie müssen alle betroffenen Unternehmen nun detailliertere und schneller umzusetzende Cybersicherheitsmaßnahmen implementieren. Dies schließt die Verpflichtung ein, Cyberattacken oder Hackerangriffe innerhalb von 24 Stunden zu melden und binnen 72 Stunden eine umfassende Berichterstattung vorzulegen.
Erweiterte staatliche Aufsicht im Rahmen der NIS 2-Richtlinie
Die NIS 2-Richtlinie legt außerdem einen starken Fokus auf die verstärkte staatliche Aufsicht, insbesondere in kritischen Infrastrukturen. Diese Aufsicht soll die konsequente Umsetzung der Direktive kontrollieren. Deswegen sind alle Unternehmen, die unter die NIS 2 fallen, verpflichtet, sich bei den zuständigen Behörden zu registrieren. In Deutschland übernimmt diese Aufgabe das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Ebenfalls ein zentraler Bestandteil der erweiterten staatlichen Aufsicht ist die Verpflichtung der Unternehmen, Nachweise über die Einhaltung der Sicherheitsvorgaben zu erbringen. Diese Nachweise können durch interne und externe Audits, Prüfberichte und andere Dokumentationen erfolgen.
Außerdem werden die Befugnisse der staatlichen Aufsichtsbehörden erweitert. Fortan haben das BSI und andere zuständige Behörden das Recht, unangekündigte Inspektionen durchzuführen, Nachweise und Informationen anzufordern sowie Sicherheitsvorfälle zu untersuchen.
Zugleich fördert die NIS 2 Richtlinie die Zusammenarbeit zwischen den nationalen Behörden innerhalb der EU. Diese Kooperation ist entscheidend für eine einheitliche Durchsetzung der Richtlinie und grenzüberschreitende Bekämpfung der Cyberbedrohungen.
Welche Unternehmen sind von der NIS 2 Directive betroffen?
In Deutschland lassen sich die betroffenen Unternehmen in vier Hauptkategorien einteilen:
- Betreiber kritischer Anlagen (KRITIS)
- Besonders wichtige Einrichtungen
- Wichtige Einrichtungen
- Bundeseinrichtungen
1. Betreiber kritischer Anlagen (KRITIS)
Diese Unternehmen spielen eine zentrale Rolle in der nationalen Infrastruktur. Ihr Ausfall hätte gravierende gesellschaftliche und wirtschaftliche Folgen. Unter KRITIS fallen:
- Energieversorger: Unternehmen, die Strom, Gas oder Öl bereitstellen und mindestens 500.000 Personen versorgen.
- Gesundheitsdienstleister: Krankenhäuser und andere Einrichtungen des Gesundheitswesens.
- Transportdienste: Betreiber von Flughäfen, Eisenbahnen und Häfen.
- Wasserwirtschaft: Unternehmen, die für die Versorgung mit Trinkwasser und die Entsorgung von Abwasser verantwortlich sind.
2. Besonders wichtige Einrichtungen
Diese Einrichtungen werden aufgrund ihrer Größe und Bedeutung als besonders wichtig eingestuft. Sie müssen entweder eine bestimmte Mitarbeiterzahl überschreiten oder einen gewissen wirtschaftlichen Schwellenwert erreichen:
- Große Unternehmen: Unternehmen mit mehr als 250 Mitarbeitern oder einem Jahresumsatz von über 50 Millionen Euro und einer Bilanzsumme von mehr als 43 Millionen Euro.
- Sonderfälle: Dazu zählen Anbieter von Vertrauensdiensten, Top-Level-Domain-Registrare (TLD), Domain-Name-System-Anbieter (DNS) und Telekommunikationsanbieter, die besondere Dienstleistungen erbringen.
3. Wichtige Einrichtungen
Hierin fallen alle Unternehmen, die eine Schlüsselrolle in der Wirtschaft spielen, jedoch nicht die Größe oder Bedeutung der „besonders wichtigen Einrichtungen“ erreichen:
- Mittlere Unternehmen: Firmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro und einer Bilanzsumme von mehr als 10 Millionen Euro.
- Vertrauensdienste: Diese umfassen Anbieter von Diensten, die Vertrauen in digitale Transaktionen gewährleisten, wie z. B. elektronische Signaturen.
4. Bundeseinrichtungen
Neben privaten und gewerblichen Unternehmen fallen auch bestimmte staatliche Einrichtungen unter die NIS 2-Richtlinie. Diese Einrichtungen sind für die Erbringung wesentlicher staatlicher Dienstleistungen zuständig und müssen daher ebenfalls fortan strengere Sicherheitsanforderungen erfüllen.
Wie muss NIS 2 umgesetzt werden?
Um den Anforderungen von NIS 2 gerecht zu werden, müssen die betroffenen Unternehmen:
- Eine gründliche Risikobewertung ihrer IT-Systeme und Daten durchführen. Damit sollen potenzielle Bedrohungen und Schwachstellen identifiziert werden. Die Risikobewertung muss regelmäßig aktualisiert werden.
- Sicherheitsrichtlinien entwickeln und implementieren: Basierend auf den Ergebnissen der Risikobewertung müssen spezifische Sicherheitsrichtlinien entwickelt werden. Diese Richtlinien sollten technische Maßnahmen wie Verschlüsselungstechnologien zur Sicherung sensibler Daten und die Einführung von Multi-Faktor-Authentifizierung (MFA) enthalten, um einen unbefugten Zugriff zu verhindern.
- Technische Maßnahmen einrichten. Dazu gehören:
- Datenverschlüsselung
- Multi-Faktor-Authentifizierung
- Regelmäßige Sicherheitsupdates
- Organisatorische Maßnahmen ausarbeiten. Dazu gehören:
- Regelmäßige Schulung der Mitarbeiter und Sensibilisierung.
- Protokolle für das Incident Management
- Ein Incident-Management-System einrichten, um Sicherheitsvorfälle schnell zu erkennen, zu melden und zu beheben. Dazu gehört außerdem die Pflicht, Ereignisse innerhalb bestimmter Fristen an die zuständigen Behörden zu melden.
- Nachweise über die Einhaltung der Sicherheitsvorgaben erbringen. Für Betreiber kritischer Anlagen oder Infrastrukturen (KRITIS) besteht eine Prüfpflicht alle drei Jahre, während andere Einrichtungen einer Dokumentationspflicht und stichprobenartigen Überprüfungen durch Behörden unterliegen.
Bedeutung der NIS 2-Richtlinie für Unternehmen mit Teamviewer
Generell stellt die NIS 2-Richtlinie alle Unternehmen, die mit Software und persönlichen Daten arbeiten, vor neue Herausforderungen – insbesondere aber Softwarehersteller. Schließlich verlangt die Directive, dass Unternehmen ihre Softwareentwicklung und -nutzung stärker auf Sicherheitsaspekte ausrichten, um dem Thema Cybersecurity gerecht zu werden. Doch was ist, wenn mit einer anderen Software Remotezugriff auf fremde Rechner gewährt wird? Unternehmen, die dafür TeamViewer verwenden, müssen fortan sicherstellen, dass die Nutzung des Tools vollständig den Anforderungen der NIS 2 entspricht.
Dies bedeutet konkret:
- Nur autorisierte Benutzer dürfen Zugriff auf kritische Systeme haben.
- Dafür müssen Multi-Faktor-Authentifizierung (MFA) und verschlüsselte Sitzungen eingerichtet werden.
- Es müssen alle Zugriffe und Remote-Sitzungen genau protokolliert werden.
- Es muss ein Incident Management System eingerichtet sein, um Sicherheitsvorfälle schnell aufdecken und melden zu können.
Wie TeamViewer bei der Einhaltung von NIS 2 hilft
Damit das gelingt, hat TeamViewer bereits vorgesorgt. So enthält die Software zahlreiche Funktionen, die direkt auf die Einhaltung der NIS 2-Richtlinie ausgerichtet sind. Diese sind:
Erhöhte Sicherheit und Compliance
- Remote Access Control: TeamViewer kann so konfiguriert werden, dass sie den Sicherheitsanforderungen der NIS 2 entsprechen. Dazu gehören Funktionen wie Multi-Faktor-Authentifizierung (MFA), verschlüsselte Sitzungen und granulare Zugriffskontrollen. Somit haben nur noch autorisierte Personen Zugriff auf kritische Systeme.
- Audit und Monitoring: Alle Remote-Sitzungen werden genau aufgezeichnet und protokolliert.
Incident Response and Management
- Schnelle Reaktion: Im Falle einer Cyberattacke können Sie mit TeamViewer schnell aus der Ferne reagieren. IT-Teams können sofort auf betroffene Systeme zugreifen, Schäden diagnostizieren, Korrekturen vornehmen und Sicherheitsmaßnahmen ergreifen. Hier gilt: Je schneller Sie reagieren, desto geringer ist der Schaden.
- Kollaborationswerkzeuge: Durch die Kollaborationsfunktionen von Teamviewer können mehrere Experten in Echtzeit zusammen an einem Problem arbeiten und es beheben.
Resilienz und Kontinuität
- Fernsupport für kritische Infrastrukturen: TeamViewer kann außerdem zur Aufrechterhaltung kritischer Dienste eingesetzt werden.
- Geschäftskontinuitätsplanung: Im Rahmen einer umfassenderen Strategie zur Geschäftskontinuität stellt TeamViewer sicher, dass Remote-Arbeiten und -Support nahtlos ablaufen, damit der Geschäftsbetrieb weiterläuft – ebenfalls ein wichtiger Punkt der NIS 2 Compliance.
Training und Awareness
- Sicheres Remote-Training: Die Funktionen von TeamViewer können für Remote-Schulungen der Mitarbeiter genutzt werden – speziell um die Inhalte der NIS 2 Richtlinie zu schulen.
All diese Funktionen machen TeamViewer zu einem nützlichen Werkzeug für Unternehmen, die ihre IT-Sicherheit im Einklang mit den Anforderungen der NIS 2-Richtlinie bringen wollen. Und die außerdem dafür sorgen möchten, dass ihre Remote-Zugriffe auch in Zukunft sicher und kontrolliert ablaufen werden.
Kontakt
Bereiten Sie sich auf die NIS-2-Richtlinie vor! Erfahren Sie, wie Sie Ihr Unternehmen absichern und die neuen Vorschriften einhalten können. Entdecken Sie, wie TeamViewer Ihnen helfen kann, Ihre Cyber-Sicherheit zu verbessern. Kontaktieren Sie noch heute unseren Produktmanager Greg Clarke für ein persönliches Beratungsgespräch!