CybersicherheitWie Sie die NIS-2-Richtlinie umsetzen

Die NIS-2-Richtlinie der Europäischen Union (EU) markiert einen Meilenstein in der Stärkung der Cybersicherheit. Sie fordert Unternehmen dazu auf, ihre Schutzmaßnahmen zu überdenken und auszubauen, um den wachsenden digitalen Bedrohungen zu begegnen.

Gleichzeitig stellt sie zahlreiche Unternehmen vor komplexe Herausforderungen. Vor allem Nutzer von Microsoft 365 haben die Aufgabe, die Anforderungen der Richtlinie in ihre Arbeitsumgebung zu integrieren.

Worum geht es bei der NIS-2-Richtlinie?

Die NIS-2-Richtlinie wurde im Dezember 2022 verabschiedet und befindet sich derzeit in der Umsetzung in nationales Recht. Ihr Ziel ist es, ein einheitliches und höheres Sicherheitsniveau für Netzwerke und Informationssysteme innerhalb der EU zu gewährleisten.

Sie betrifft Unternehmen, die essenzielle Dienstleistungen erbringen oder innerhalb der Lieferketten kritischer Sektoren tätig sind – dazu gehören unter anderem Energieversorgung, digitale Infrastruktur, Gesundheitswesen, Finanz- und Bankensektor, Transportwesen, öffentliche Verwaltung und Lebensmittelhandel.

Im Vergleich zur ursprünglichen NIS-Richtlinie wird der Anwendungsbereich erheblich ausgeweitet: Die Vorschriften gelten für mittlere und große Unternehmen mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro in den betroffenen Branchen.

Welche Vorgaben macht die NIS-2-Richtlinie?

Zu den wesentlichen Vorgaben der Richtlinie zählen risikobasierte Schutzmaßnahmen. Unternehmen sind verpflichtet, eine umfassende Risikoanalyse durchzuführen und darauf aufbauend gezielte Sicherheitsstrategien zu entwickeln.

Risikoanalyse durchführen

Folgende Schritte sind bei einer solchen Risikoanalyse erforderlich:

• Identifikation der Unternehmenswerte: zum Beispiel IT-Systeme, Daten, kritische Geschäftsprozesse
• Bedrohungsanalyse: wie Cyberangriffe, Insider-Bedrohungen, Systemausfälle
• Schwachstellenbewertung: beispielsweise ungesicherte Netzwerke, veraltete Software, fehlende Sicherheitsrichtlinien
• Risikoquantifizierung und Risikobewertung: Bewertung der Eintrittswahrscheinlichkeit und des Schadensausmaßes
• Definition von Maßnahmen zur Risikominderung: etwa Patches, Firewalls, Schulungen, Incident-Response-Pläne
• Regelmäßige Aktualisierung und Überprüfung der Maßnahmen: mindestens jährlich oder nach sicherheitsrelevanten Vorfällen

Ziel ist es, Schwachstellen frühzeitig zu identifizieren und geeignete Sicherheitsmaßnahmen zu implementieren.

Notfallkonzept und Reaktionsplan erstellen

Außerdem sehen die neuen Vorgaben Notfallkonzepte vor. In jedem Unternehmen müssen klare und schnell umsetzbare Reaktionspläne vorhanden sein, die regelmäßig getestet und optimiert werden.

Ein Reaktionsplan beschreibt, wie Unternehmen auf Sicherheitsvorfälle reagieren. Folgende Punkte sollten enthalten sein:

• Definition von Vorfällen: Wann ist ein Vorfall kritisch? Was sind die Eskalationsstufen?
• Zuständigkeiten und Rollen: Incident-Response-Team, Management, IT-Security-Team
• Kommunikationsstrategie: interne und externe Kommunikation, Meldepflichten gemäß NIS-2
• Maßnahmenplan für verschiedene Szenarien: Cyberangriff, Systemausfall, Datenleck
• Backup- und Wiederherstellungsstrategie: Datensicherung, Wiederherstellungsprozesse
• Dokumentation und Nachbereitung: Lessons Learned, Anpassung der Sicherheitsmaßnahmen

Zugriffsmanagement und Meldungen

Ebenso gehören zu den Richtlinien ein durchdachtes Zugriffsmanagement und die Multi-Faktor-Authentifizierung. Der Zugang zu kritischen Systemen darf ausschließlich autorisierten Personen vorbehalten sein, um unbefugte Zugriffe zu verhindern.

Nicht zuletzt sind Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständigen Behörden zu melden, um eine schnelle Reaktion zu ermöglichen.

Deshalb ist die NIS-2-Richtlinie so wichtig

Die Umsetzung der NIS-2-Richtlinie stellt viele Unternehmen vor erhebliche Herausforderungen. Die Vielzahl an Anforderungen, kombiniert mit einem Mangel an Fachkräften und bestehenden Unsicherheiten, führt häufig dazu, dass Maßnahmen eher reaktiv als proaktiv ergriffen werden.

Wer die Vorgaben nicht einhält, muss allerdings mit erheblichen Konsequenzen rechnen – neben Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) drohen gravierende Betriebsstörungen und erhebliche Reputationsschäden.

Die Ausweitung der Richtlinien ist vor allem deshalb notwendig, weil mit der fortschreitenden Digitalisierung zugleich das Risiko für Cyberangriffe steigt. Die NIS-2-Richtlinie stellt daher einen Handlungsauftrag dar:

Cybersicherheit darf nicht nur als regulatorische Pflicht betrachtet werden, sondern als essenzieller Bestandteil des Risikomanagements.

Den aktuellen Sicherheitsstandard prüfen

Doch wie können Unternehmen überhaupt feststellen, wie gut ihr aktueller Sicherheitsstandard ist und wo sie für die NIS-2-Compliance nachrüsten müssen?

Hierzu stehen Unternehmen verschiedene Methoden zur Verfügung:

• Eine Gap-Analyse zur NIS-2-Compliance hilft, bestehende Sicherheitsmaßnahmen mit den Anforderungen der Richtlinie abzugleichen und mögliche Lücken zu identifizieren.
• Technische Sicherheitsprüfungen wie Penetrationstests, Schwachstellen-Scans oder SIEM-Analysen liefern wertvolle Erkenntnisse über potenzielle Schwachstellen in der IT-Infrastruktur.
• Zusätzlich bieten Audits und Zertifizierungen – etwa nach ISO 27001 oder durch ISMS-Prüfungen – eine fundierte Bewertung der Sicherheitsstrategie.
• Auch kontinuierliches Monitoring und Logging, beispielsweise zur Anomalie-Erkennung oder im Rahmen eines Security Information and Event Managements (SIEM), tragen zur Überwachung und schnellen Reaktion auf Bedrohungen bei.
• Ein Vergleich mit den Best Practices der Branche ermöglicht es, den eigenen Sicherheitsstandard im Wettbewerbsumfeld einzuordnen.
• Regelmäßige interne und externe Security-Assessments runden den Prüfprozess ab und zeigen gezielt Optimierungspotenziale auf.

Welche Schwachstellen zeigen sich bei der Cybersicherheit?

Typische Schwachstellen, die zahlreiche Unternehmen häufig übersehen, sind dabei:

• Fehlende Multi-Faktor-Authentifizierung (MFA): Erkennbar an unsicheren Logins
• Ungepatchte Systeme und Software: Veraltete Softwareversionen und bekannte Sicherheitslücken
• Fehlende Netzwerksegmentierung: Unkontrollierter Zugriff auf kritische Systeme
• Schwachstellen in der Lieferkette: Keine Sicherheitsprüfungen bei Dienstleistern
• Mangelhafte Reaktion auf Incidents: Keine klaren Prozesse für die Vorfallbewältigung
• Fehlendes Sicherheitsbewusstsein bei Mitarbeitenden (Security Awareness): Erhöhte Phishing-Anfälligkeit
• Unzureichendes Backup-Management: Datenverluste durch Ransomware oder Systemausfälle

So beginnen Sie mit der Umsetzung der NIS-2-Vorgaben

Um sicher durch den digitalen Wandel zu gelangen und die NIS-2-Richtlinien korrekt umzusetzen, braucht es einen Ansatz, der weit über bloße Compliance hinausgeht. Unternehmen sollten zunächst eine Initial-Compliance-Analyse durchführen, um den aktuellen Sicherheitsstandard zu ermitteln und Lücken zu identifizieren.

Im Anschluss muss ein individueller Maßnahmenplan erstellt werden, damit alle NIS-2-Anforderungen erfüllt werden. Wichtig sind dabei technische Lösungen; darunter die Integration von Monitoring-Tools, Incident-Response-Pläne und Cloud-Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung und Zero-Trust-Strategien.

Die Mitarbeiter mit in den Prozess einbinden

Neben der Technik ist es außerdem von großer Bedeutung, auch die Mitarbeitenden mit einzubinden. Es geht darum, das Team regelmäßig zu schulen und das Sicherheitsbewusstsein zu erhöhen.

Wichtige Schulungsinhalte umfassen die Grundlagen der IT-Sicherheit, darunter sicheres Passwort-Management und die geschützte Nutzung von Unternehmenssystemen.

Ebenso entscheidend ist die Sensibilisierung für Phishing und Social Engineering, um Manipulationsversuche durch Cyberkriminelle frühzeitig zu erkennen. Auch der sichere Umgang mit E-Mails und Anhängen, insbesondere das Identifizieren verdächtiger Links und Dateien, gehört zu den zentralen Themen.

Darüber hinaus müssen Datenschutzvorgaben und Compliance-Anforderungen vermittelt werden, um den richtigen Umgang mit sensiblen Daten sicherzustellen. Klare Meldewege für Sicherheitsvorfälle helfen zusätzlich, im Ernstfall schnell zu reagieren.

Zudem sollte der sichere Einsatz mobiler Geräte sowie die IT-Sicherheit im Homeoffice thematisiert werden. Damit das Wissen aktuell bleibt, sollten Schulungen regelmäßig überarbeitet und in verschiedenen Formaten angeboten werden – etwa als interaktive E-Learnings, Workshops oder praxisnahe Phishing-Simulationen.

Proaktives Handeln statt Aufschieben

Die Umsetzung der NIS-2-Richtlinie in deutsches Recht ist bislang nicht abgeschlossen. Deshalb gibt es bislang (2025) keine klaren gesetzlichen Vorgaben. Das bedeutet jedoch keineswegs, dass Unternehmen untätig bleiben sollten.

Cyberbedrohungen warten nicht auf Gesetzestexte. Unternehmen, die abwarten, riskieren nicht nur zukünftige Compliance-Verstöße, sondern gefährden auch ihre eigene Widerstandsfähigkeit gegenüber Angriffen.

NIS-2 ist dabei weit mehr als eine regulatorische Anforderung – es ist ein zentraler Baustein für eine verbesserte Cybersicherheit. Wer zügig geeignete Maßnahmen umsetzt, stärkt nicht nur seine IT-Sicherheit, sondern reduziert unmittelbar das Risiko realer Bedrohungen.