Wie Sie die NIS2-Anforderungen mit modernen Netzwerk- und Sicherheitslösungen erfüllen können

Die Notwendigkeit, die Cybersicherheit zu stärken, ist unbestreitbar. Laut den globalen Datenexperten von Statista zählt Cyberkriminalität zunehmend zu den häufigsten und schädlichsten Straftaten unserer Zeit. Als Reaktion auf diese wachsende Bedrohung hat die Europäische Union (EU) die NIS2-Richtlinie aktualisiert, um der komplexen Cybersicherheit von heute besser gerecht zu werden und einen umfassenderen Schutz für Unternehmen und Organisationen zu gewährleisten.

1. Was ist die NIS2-Richtlinie?

NIS2 ist eine Änderung der „Richtlinie über die Sicherheit von Netzwerken und Informationssystemen (NIS)“, die darauf abzielt, das Niveau der Cybersicherheit in den EU-Mitgliedstaaten zu erhöhen und die Europäische Union widerstandsfähiger gegen Cyberkriminalität zu machen.

Mit den neuen NIS2-Anforderungen für Unternehmen müssen mehr Branchen ihre Sicherheitsmaßnahmen analysieren und sich an strengere Sicherheitsstandards anpassen. Sie müssen ihre Reaktion auf Vorfälle verbessern und den Informationsaustausch zwischen den Mitgliedstaaten verstärken. Damit soll ein einheitliches und stärkeres Niveau der Cybersicherheit geschaffen werden. Die NIS2-Richtlinie erfordert jedoch nicht unbedingt eine vollständige Überarbeitung Ihrer bestehenden Cybersicherheitsmaßnahmen. In vielen Fällen geht es darum, bestimmte Bereiche zu verfeinern und bestehende Verfahren zu verbessern. Unternehmen nutzen möglicherweise auch bereits verfügbare Tools nicht ausreichend – insbesondere in der Cloud. Bevor in neue Systeme investiert wird, sollte geprüft werden, wie aktuelle Lösungen verbessert werden können.

Im Vergleich zur ursprünglichen Richtlinie ist NIS2 strenger als ihr Vorgänger und betrifft ein breiteres Spektrum von Sektoren, darunter Hersteller kritischer Produkte, öffentliche Verwaltungen und die Raumfahrt. Sie führt ein zweistufiges System ein, das Organisationen entweder als „wesentliche Einrichtungen“ (Anhang I) oder als „wichtige Einrichtungen“ (Anhang II) einstuft, mit unterschiedlichen Verpflichtungen, Aufsichtsniveaus und Strafen je nach dieser Einstufung. Darüber hinaus schreibt die NIS2-Richtlinie strengere Sicherheitsmaßnahmen und deutlich höhere Strafen vor, um die Einhaltung der Vorschriften zu gewährleisten. Außerdem verlagert sie die Verantwortung von den IT-Abteilungen auf die Führungsspitze, wobei Führungskräfte bei Nichteinhaltung mit öffentlicher Bekanntmachung oder einem Verbot künftiger Ämter rechnen müssen.

Die NIS2-Richtlinie legt zwar eine Grundlage für Cybersicherheitsanforderungen fest, es ist jedoch wichtig zu beachten, dass die lokalen Gesetzgeber in jedem EU-Mitgliedstaat die Befugnis haben, die Richtlinie zu verschärfen oder ihren Anwendungsbereich zu erweitern. So können sie beispielsweise zusätzliche Verpflichtungen auferlegen oder die Sektoren, für die die Richtlinie gilt, erweitern. Die EU-Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, NIS2 in ihre nationalen Gesetze zu integrieren. Dazu musste jeder Staat seine eigenen Compliance-Pläne entwickeln und veröffentlichen. Nun legen die einzelnen Länder spezifische Zeitpläne für Organisationen innerhalb ihrer Grenzen fest. Daher gibt es keine EU-weite Frist für die Umsetzung und Einhaltung der Vorschriften. Die Zeitpläne variieren je nach Land, wobei die meisten Fristen für 2025 vorgesehen sind und einige bis Anfang 2026 verlängert werden.

2. Anwendbarkeit von NIS2: Wer ist betroffen?

Rund 160.000 Organisationen in der Europäischen Union sind von der NIS2-Richtlinie betroffen. Welche Art von Unternehmen der NIS2-Richtlinie unterliegt, hängt vom jeweiligen Sektor ab, in dem sie tätig sind, sowie von ihrer Größe.

Branchenklassifizierung:

• Wesentliche Unternehmen: Organisationen, die für die Aufrechterhaltung kritischer Infrastrukturen und Dienste von entscheidender Bedeutung sind. Eine Störung könnte schwerwiegende Folgen für die Gesellschaft und die Wirtschaft haben.
• Wichtige Unternehmen: Organisationen, die wichtige Dienste erbringen, die jedoch weniger kritisch sind als die von „wesentlichen Unternehmen“. Eine Störung könnte erhebliche Auswirkungen haben.

Größenkriterien:

• Kleinstunternehmen: >10 Mitarbeiter und >€2 Millionen Umsatz oder Bilanzsumme
• Mittlere Unternehmen: >50 Mitarbeiter und >€10 Millionen Umsatz oder Bilanzsumme
• Große Unternehmen: >250 Mitarbeiter und >€50 Millionen Umsatz oder >€43 Millionen Bilanzsumme

Um unter NIS2 zu fallen, muss ein Unternehmen sowohl die branchenbezogenen als auch die größenbezogenen Kriterien erfüllen.

3. Ziele und Kernverpflichtungen

Die neuen NIS2-Anforderungen zielen darauf ab, die Widerstandsfähigkeit der EU-Mitgliedstaaten gegenüber Cybersicherheitsbedrohungen zu stärken. Die Ziele sollen sicherstellen, dass wesentliche Dienste, die von Unternehmen und Behörden erbracht werden, besser vor böswilligen Angriffen, Datenverlusten und Betriebsstörungen geschützt sind.

Die Richtlinie definiert Verpflichtungen und Aufsicht auf der Grundlage der Kategorisierung einer Organisation:

• Wesentliche Unternehmen: Müssen den gesamten Geltungsbereich von NIS2 einhalten, sich einer proaktiven Aufsicht (ex ante) unterziehen, Vorfälle innerhalb der vorgegebenen Frist an das CSIRT melden und unabhängige Audits durchführen.
• Wichtige Unternehmen: Müssen risikobasierte Sicherheitsmaßnahmen unabhängig umsetzen und diese durch Selbstbewertung überprüfen. Sie unterliegen einer reaktiven Aufsicht (ex post), wobei im Falle von Vorfällen oder Nichteinhaltung Maßnahmen ergriffen werden.

Unternehmen können die Einhaltung von NIS2 durch die Umsetzung strenger Cybersicherheitsmaßnahmen sicherstellen, darunter:

• Risikomanagement und Sicherheitsrichtlinien
• Meldung von Vorfällen (innerhalb von 24 Stunden, vollständiger Bericht innerhalb von 72 Stunden)
• Business Continuity & Krisenmanagement
• Sicherheit der Lieferkette
• Managementverantwortung

Mit NIS2 wird Cybersicherheit zu einer Priorität auf Vorstandsebene. Die Unternehmensleitung muss die Einhaltung von Vorschriften und das Risikomanagement aktiv überwachen und sicherstellen, dass ihre eigenen Dienstleistungen und die ihrer Lieferanten strengen Standards entsprechen.

Unternehmen sollten sich nicht nur an neue Vorschriften anpassen, sondern auch eine Sicherheitskultur fördern und pflegen, in der Mitarbeiter auf allen Ebenen des Unternehmens aktiv an der Sicherung von Betriebsabläufen und Daten beteiligt sind.

4. Rechenschaftspflicht und Sanktionen

Die NIS2-Richtlinie sieht mehrere Sanktionen für Organisationen vor, die ihre Anforderungen nicht erfüllen. Die Rechenschaftspflicht umfasst alle Mitarbeiter, von IT-Fachleuten bis hin zu Führungskräften. Das bedeutet, dass Führungskräfte für ein wirksames Risikomanagement und eine wirksame Aufsicht sorgen müssen.

Die Nichteinhaltung kann schwerwiegende Auswirkungen auf Unternehmen haben, darunter:

• Finanzielle Störungen: Geldstrafen, Verpflichtung zu Sicherheitsinvestitionen
• Geschäftliche Störungen: Fokus verlagert sich auf Compliance, behördliche Überwachung, Lizenzentzug
• Reputationsschaden: Offenlegungspflichten
• Konsequenzen für Führungskräfte: Geldstrafen, strafrechtliche Haftung und Berufsverbote

Die finanziellen Sanktionen, die bei Nichteinhaltung verhängt werden können, sind:

• Bis zu €10 Millionen oder 2% des weltweiten Jahresumsatzes des bei wesentlichen Unternehmen
• Bis zu €7 Millionen oder 1,4% des weltweiten Jahresumsatzes des bei wichtigen Unternehmen

5. Schritte zur Erlangung der NIS2-Konformität

Es ist von entscheidender Bedeutung zu verstehen, ob Ihr Unternehmen gemäß der NIS2-Richtlinie als wesentliches oder wichtiges Unternehmen eingestuft wird. Um den Prozess überschaubarer zu gestalten und die NIS2-Anforderungen zu erfüllen, sollten Sie sich auf drei Schlüsselbereiche konzentrieren:

1. Beratung und Prozessdienstleistungen: Befassen Sie sich mit technischen Sicherheitsanforderungen, legen Sie umfassende Richtlinien und Verfahren fest und implementieren Sie betriebliche Änderungen zur Einhaltung der Vorschriften.
2. Technologie und gemanagte Lösungen/Dienstleistungen: Setzen Sie fortschrittliche Sicherheitstools ein, sorgen Sie für kontinuierliche Überwachung und Updates und unterstützen Sie die Einhaltung der Vorschriften durch automatisierte Umsetzung.
3. Sicherheitsüberwachung und -validierung: Überwachen Sie Systeme kontinuierlich, validieren Sie Sicherheitsmaßnahmen durch Tests und Audits und sorgen Sie für eine zeitnahe Meldung von Vorfällen.

Indem Sie sich auf diese drei Elemente konzentrieren, können Sie Ihren Ansatz zur Einhaltung der NIS2-Vorschriften vereinfachen und die Widerstandsfähigkeit Ihres Unternehmens stärken.

6. Wie die Deutsche Telekom Unternehmen dabei unterstützt, die Anforderungen der NIS2-Richtlinie zu erfüllen

Jetzt ist es an der Zeit, dass Unternehmen ihre Cybersicherheitsstrategien überprüfen und Maßnahmen ergreifen. Es gibt einige einfache erste Schritte, die Unternehmen umsetzen können, wie beispielsweise die Ernennung eines Cybersicherheitsbeauftragten, die Festlegung klarer Richtlinien und Verantwortlichkeiten sowie die Durchführung eines Cybersicherheitsaudits innerhalb des Unternehmens.

Unabhängig davon, welchen Ansatz Sie wählen, ist es wichtig zu bedenken, dass es bei der NIS2-Richtlinie nicht nur darum geht, Unternehmen mehr Vorschriften aufzuerlegen. Vielmehr geht es darum, Organisationen dabei zu helfen, ihre Daten und ihr Geschäft zu schützen – was für fast jedes Unternehmen oberste Priorität haben sollte.

Die Lösungen der Deutschen Telekom entsprechen allen relevanten NIS2-Anforderungen und bieten damit eine solide Grundlage für die standardmäßige Einhaltung der Vorschriften. Unter diesen Lösungen stechen SD-WAN (Software-Defined Wide Area Networking) und SASE (Secure Access Service Edge) als leistungsstarke Enabler für Unternehmen hervor, die die Cybersicherheitsanforderungen der Richtlinie erfüllen möchten.

Eine solide Grundlage für sichere, skalierbare und zentral verwaltete Netzwerke – wie sie diese Technologien bieten – ist entscheidend für die Erfüllung der NIS2-Anforderungen in Bezug auf Risikomanagement, sicheren Zugriff und Netzwerktransparenz.

• SD-WAN gewährleistet eine ausfallsichere, verschlüsselte Konnektivität und eine zentralisierte Steuerung in verteilten Umgebungen.
• SASE bietet Cloud-native Sicherheitsfunktionen wie Zero Trust Network Access (ZTNA), Secure Web Gateways und Cloud Access Security Broker, die alle für den Schutz von Daten und Benutzern in einer hybriden Arbeitswelt unerlässlich sind.

Compliance endet jedoch nicht bei der Architektur – sie erfordert operative Exzellenz. Hier kommt die Cybersicherheitskompetenz der Deutschen Telekom ins Spiel. Mit Europas größtem Cyber Defense and Security Operations Center (SOC), das täglich über eine Milliarde Datenpunkte überwacht, bietet die Deutsche Telekom rund um die Uhr Bedrohungserkennung, Incident Response und Schwachstellenmanagement.

Zu den Cybersicherheitsdiensten gehören automatisierte Penetrationstests, Compliance-Audits und Schulungen zum Sicherheitsbewusstsein, die alle unmittelbar die Anforderungen der NIS2 an technische und organisatorische Maßnahmen unterstützen.

Zusammen bilden SD-WAN und SSE – die Netzwerk- und Sicherheitskomponenten von SASE – eine umfassende, cloudnative Architektur, die Unternehmen nicht nur dabei hilft, die NIS2-Verpflichtungen zu erfüllen, sondern sie auch in die Lage versetzt, eine sicherere und widerstandsfähigere digitale Zukunft aufzubauen.

Die folgende Tabelle zeigt, wie wichtige SASE-Komponenten bestimmte NIS2-Compliance-Anforderungen direkt unterstützen, insbesondere in Bereichen wie Zugriffskontrolle, Bedrohungsprävention und Cloud-Sicherheit.

In Bezug auf SD-WAN zeigt die folgende Tabelle, wie netzwerkbezogene Funktionen zur NIS2-Konformität beitragen, indem sie die Netzwerkausfallsicherheit, Transparenz und den sicheren Datenfluss in verteilten Umgebungen verbessern.

Welche Security-Dienste die verschiedenen NIS2-Artikel adressieren

Während SASE und SD-WAN Ihnen die Architektur und Konnektivität bieten, sorgen die Cybersicherheitsdienste der Deutschen Telekom für die operative Leistungsfähigkeit, um die strengeren Anforderungen von NIS2 zu erfüllen. Und zwar wie folgt:

Um die NIS2-Konformität zu erreichen, reichen fragmentierte Tools nicht aus – es bedarf eines integrierten, strategischen Ansatzes. Durch die Kombination von SD-WAN, SASE und robusten operativen Sicherheitsfunktionen können Unternehmen eine umfassende Cybersicherheitsarchitektur aufbauen, die nicht nur die regulatorischen Anforderungen erfüllt, sondern auch die Widerstandsfähigkeit und betriebliche Agilität stärkt.

7. Warum die Deutsche Telekom wählen?

Die Deutsche Telekom unterstützt Unternehmen dabei, diese neuen Herausforderungen zu meistern und die Anforderungen der NIS2-Richtlinie zu erfüllen. Es ist unsere Mission, Ihre Geschäftsabläufe in der sich ständig verändernden digitalen Landschaft von heute zu schützen – denn Ihre Cybersicherheit ist unser Geschäft!

Es gibt viele gute Gründe, sich für die Deutsche Telekom zu entscheiden, um Ihr Unternehmen sicherer zu machen:

• Security in der DNA: Ob es um den Schutz mobiler Geräte, Schwachstellenscans, Identitäts- und Zugriffsmanagement, intelligente Angriffserkennung und -überwachung, unsere umfassende Bibliothek bekannter Bedrohungen oder unser globales Netzwerk von Security Operations Center geht – Sicherheit ist tief in allem verankert, was wir tun.
• Erfahrung: Von Konnektivität über Cloud-Services bis hin zu Support rund um die Uhr – wir wissen seit Jahrzehnten, wie man geschäftskritische ICT-Infrastrukturen für verschiedene Branchen und den öffentlichen Sektor sicher betreibt und durchgängig schützt.
• Führendes Ökosystem: Unser Partner-Ökosystem umfasst die führenden Technologieanbieter in den Bereichen Sicherheit, softwaredefinierte Netzwerk-Overlays und Cloud-Services.
• Globale Reichweite – lokale Präsenz: Mit Niederlassungen in 28 Ländern bedienen wir Kunden weltweit und kombinieren dabei lokales Wissen und lokale Expertise.
• Nachhaltigkeit aus Prinzip: Seit mehr als zwei Jahrzehnten sind Umwelt- und Sozialverantwortung wesentliche Aspekte unseres Tagesgeschäfts und integraler Bestandteil unserer Unternehmensführung.

Die NIS2-Richtlinie ist nicht nur eine regulatorische Anforderung, sondern auch eine strategische Chance. Durch die Anpassung ihrer Cybersicherheitspraktiken an NIS2 können Unternehmen Risiken reduzieren, Sanktionen vermeiden und Vertrauen und Widerstandsfähigkeit in allen Bereichen ihres Betriebs aufbauen.

Übernehmen Sie die Führung − und nutzen die Gelegenheit zu bewerten, wie gut Ihr Unternehmen auf NIS2 vorbereitet ist.

Kontaktieren Sie noch heute unsere Netzwerk- und Cybersicherheitsexperten über das Kontaktformular, um eine kostenlose Beratung zu vereinbaren und Ihren Weg zur Compliance mit Zuversicht zu beginnen.