Neue Anforderungen an die Cyberresilienz von Unternehmen durch NIS2 und KRITIS-Dachgesetz

Die digitale Transformation hat die Geschäftswelt grundlegend verändert und gleichzeitig neue Angriffsflächen für Cyberbedrohungen geschaffen. Angesichts dieser Entwicklung gewinnen regulatorische Rahmenwerke wie die EU-weite NIS2-Richtlinie und das nationale KRITIS-Dachgesetz zunehmend an Bedeutung. Diese Regelwerke zielen darauf ab, die Cyberresilienz und die physische Sicherheit kritischer Infrastrukturen sowie wichtiger digitaler Dienste in Deutschland und der gesamten Europäischen Union zu stärken. Insbesondere für den deutschen Mittelstand ergeben sich hieraus weitreichende Pflichten und die Notwendigkeit, bestehende Sicherheitsstrategien umfassend zu überprüfen und anzupassen.

Die Evolution der Cybersicherheitsregulierung: Von NIS1 zu NIS2 und dem KRITIS-Dachgesetz

Die Notwendigkeit einer verstärkten Cybersicherheit ist keine neue Erkenntnis. Bereits die erste NIS-Richtlinie (Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union) legte Grundsteine für die Stärkung der digitalen Sicherheit. Mit der rasanten Zunahme von Cyberangriffen und der wachsenden Abhängigkeit der Gesellschaft von digitalen Diensten wurde jedoch deutlich, dass eine umfassendere und harmonisierte Regulierung erforderlich ist. Hier setzt die NIS2-Richtlinie an, die die Anforderungen an die Cybersicherheit erheblich erweitert und den Anwendungsbereich auf eine größere Anzahl von Sektoren und Unternehmen ausdehnt.

Parallel zur europäischen Entwicklung hat Deutschland sein nationales Regelwerk, insbesondere das BSI-Gesetz (BSIG), durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) novelliert. Ein zentraler Bestandteil dieser nationalen Anpassung ist das KRITIS-Dachgesetz, welches die NIS2-Vorgaben um spezifische Anforderungen an die physische Resilienz kritischer Anlagen ergänzt. Während NIS2 primär die digitale Sicherheit adressiert, betrachtet das KRITIS-Dachgesetz die Resilienz kritischer Infrastrukturen ganzheitlich, indem es auch physische Risiken und deren Management in den Fokus rückt.

Wer ist betroffen? Eine erhebliche Ausweitung des Adressatenkreises

Einer der signifikantesten Unterschiede von NIS2 im Vergleich zu seiner Vorgängerversion ist die deutliche Erweiterung des Kreises der betroffenen Unternehmen. Waren zuvor nur Betreiber kritischer Infrastrukturen (KRITIS) mit sehr hohen Schwellenwerten erfasst, so fallen nun auch viele mittelständische Unternehmen unter die neuen Pflichten. Die Einteilung erfolgt in „besonders wichtige Einrichtungen“ (bwE) und „wichtige Einrichtungen“ (wE), basierend auf Sektorzugehörigkeit und Unternehmensgröße.

Kategorisierung und Schwellenwerte

Die Klassifizierung als bwE oder wE hängt von verschiedenen Faktoren ab:

• Besonders wichtige Einrichtungen (bwE): Dies sind in der Regel Unternehmen mit mindestens 250 Mitarbeitenden oder einem Jahresumsatz von über 50 Millionen Euro bzw. einer Bilanzsumme von über 43 Millionen Euro, die in als kritisch eingestuften Sektoren tätig sind.
• Wichtige Einrichtungen (wE): Hierzu zählen Unternehmen mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz von über 10 Millionen Euro bzw. einer Bilanzsumme von über 10 Millionen Euro, die ebenfalls in relevanten Sektoren operieren.

Die Sektoren, die von NIS2 erfasst werden, sind weitreichend und umfassen unter anderem:

• Energie (Strom, Gas, Fernwärme, Erdöl)
• Verkehr (Luft-, Schienen-, Wasser-, Straßenverkehr)
• Gesundheitswesen (Krankenhäuser, Pharmaunternehmen)
• Digitale Infrastruktur (Cloud-Dienste, DNS-Dienste, TLD-Namensregister)
• Finanzmärkte und Bankwesen
• Trinkwasser und Abwasser
• Lebensmittelproduktion und -verarbeitung
• Chemieindustrie
• Verarbeitendes Gewerbe (z.B. Maschinen- und Fahrzeugbau)
• Post- und Kurierdienste
• Forschung

Es wird geschätzt, dass bundesweit bis zu 30.000 Unternehmen von den neuen Regelungen betroffen sein könnten, darunter eine beträchtliche Anzahl mittelständischer Betriebe, die bisher keine oder nur geringe regulatorische Pflichten im Bereich der Cybersicherheit hatten. Auch Zulieferer von KRITIS-Betreibern können indirekt betroffen sein, da diese ihre Anforderungen an die Lieferkette weitergeben müssen.

Pflichten und Handlungsbedarfe für Unternehmen

Die neuen Regelwerke erlegen den betroffenen Unternehmen eine Reihe von Pflichten auf, die über rein technische Schutzmaßnahmen hinausgehen und eine strategische Neuausrichtung erfordern. Im Kern geht es um die Etablierung eines robusten Risikomanagements und die Sicherstellung der Handlungsfähigkeit im Falle eines Cybervorfalls.

Risikomanagement und Sicherheitsmaßnahmen

Unternehmen sind verpflichtet, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dazu gehören unter anderem:

• Risikoanalyse und -management: Regelmäßige Identifizierung und Bewertung von Cybersicherheitsrisiken sowie die Implementierung entsprechender Gegenmaßnahmen.
• Incident Response: Aufbau von Prozessen zur Erkennung, Analyse und Bewältigung von Sicherheitsvorfällen.
• Business Continuity Management: Entwicklung von Notfallplänen und Wiederherstellungsverfahren, um den Betrieb auch nach einem schwerwiegenden Vorfall aufrechterhalten zu können.
• Lieferketten-Sicherheit: Berücksichtigung von Cybersicherheitsrisiken in der gesamten Lieferkette, einschließlich der Auswahl und Überwachung von Dienstleistern und Zulieferern.
• Sicherheit von Netzen und Systemen: Implementierung von Maßnahmen wie Verschlüsselung, Multi-Faktor-Authentifizierung und Patch-Management.
• Mitarbeitersensibilisierung und Schulung: Regelmäßige Schulungen zur Sensibilisierung für Cybersicherheitsrisiken und zur Förderung eines sicheren Verhaltens.
• Zugangsverwaltung: Implementierung strenger Richtlinien für den Zugang zu Systemen und Daten.

Meldepflichten bei Sicherheitsvorfällen

Ein zentraler Bestandteil von NIS2 sind die verschärften Meldepflichten. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen an die zuständigen Behörden melden. Dies umfasst:

• Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls.
• Eine detaillierte Meldung innerhalb von 72 Stunden mit ersten Einschätzungen des Vorfalls und seiner Schwere.
• Einen Abschlussbericht spätestens einen Monat nach Einreichung der detaillierten Meldung.

Diese Meldepflichten sollen eine schnelle Reaktion und Koordination auf nationaler und europäischer Ebene ermöglichen, um die Auswirkungen von Cyberangriffen zu minimieren und aus ihnen zu lernen.

KRITIS-Dachgesetz: Ergänzung zur physischen Resilienz

Das KRITIS-Dachgesetz ergänzt die NIS2-Anforderungen durch die Fokussierung auf die physische Sicherheit kritischer Anlagen. Es fordert von Betreibern kritischer Anlagen einen ganzheitlichen Blick auf Resilienz, der sowohl digitale als auch physische Risiken umfasst. Dies bedeutet, dass Unternehmen nicht nur ihre IT-Systeme schützen müssen, sondern auch Maßnahmen ergreifen sollten, um physische Angriffe, Naturkatastrophen oder technische Defekte, die den Betrieb kritischer Anlagen beeinträchtigen könnten, zu verhindern oder deren Auswirkungen zu minimieren.

Konsequenzen bei Nichtbeachtung

Die Nichteinhaltung der NIS2-Richtlinie und des KRITIS-Dachgesetzes kann erhebliche Konsequenzen für Unternehmen haben. Die neuen Regelwerke sehen empfindliche Sanktionen vor, die über finanzielle Bußgelder hinausgehen und auch die persönliche Haftung von Geschäftsführern und Vorständen umfassen können.

Finanzielle Sanktionen

Die Bußgelder für Verstöße sind gestaffelt und können je nach Unternehmensgröße und Schwere des Verstoßes beträchtlich sein:

• Für besonders wichtige Einrichtungen (bwE) können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.
• Für wichtige Einrichtungen (wE) können Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Diese hohen Bußgelder unterstreichen den Ernst, mit dem die europäischen und nationalen Gesetzgeber die Einhaltung der Cybersicherheitsstandards betrachten.

Haftung der Geschäftsleitung

Ein weiterer wichtiger Aspekt ist die persönliche Haftung der Geschäftsleiter. Die NIS2-Richtlinie sieht vor, dass die Leitungsorgane von Unternehmen für die Einhaltung der Cybersicherheitsanforderungen verantwortlich gemacht werden können. Dies bedeutet, dass Geschäftsführer und Vorstände aktiv in die Implementierung und Überwachung von Sicherheitsmaßnahmen eingebunden sein müssen und bei grober Fahrlässigkeit oder Vorsatz persönlich zur Verantwortung gezogen werden können.

Reputationsschäden und Betriebsunterbrechungen

Neben den direkten finanziellen und rechtlichen Konsequenzen können Verstöße gegen die Cybersicherheitsanforderungen auch zu erheblichen Reputationsschäden führen. Ein erfolgreicher Cyberangriff oder eine schwerwiegende Sicherheitslücke kann das Vertrauen von Kunden, Partnern und Investoren nachhaltig erschüttern. Darüber hinaus können Betriebsunterbrechungen, Datenverluste und der Aufwand für die Wiederherstellung des Betriebs immense Kosten verursachen und die Wettbewerbsfähigkeit eines Unternehmens beeinträchtigen.

Strategien zur Stärkung der Cyberresilienz im Mittelstand

Angesichts der neuen regulatorischen Landschaft ist es für mittelständische Unternehmen unerlässlich, proaktiv zu handeln und eine umfassende Strategie zur Stärkung ihrer Cyberresilienz zu entwickeln. Dies erfordert oft einen Perspektivwechsel: Cybersicherheit sollte nicht länger als reine IT-Aufgabe betrachtet werden, sondern als integrale unternehmerische Verantwortung.

Ganzheitlicher Ansatz: Technologie, Prozesse und Menschen

Eine effektive Cyberresilienz basiert auf dem Zusammenspiel von Technologie, Prozessen und dem Faktor Mensch:

• Technologische Schutzmaßnahmen: Implementierung von Firewalls, Antivirensoftware, Intrusion Detection/Prevention-Systemen, Verschlüsselungstechnologien und regelmäßigen Backups.
• Prozessuale Anpassungen: Entwicklung und Implementierung klarer Richtlinien und Verfahren für das Risikomanagement, Incident Response, Notfallwiederherstellung und Lieferkettenmanagement.
• Mitarbeiter-Sensibilisierung: Regelmäßige Schulungen und Sensibilisierungskampagnen, um das Bewusstsein für Cybersicherheitsrisiken zu schärfen und Mitarbeiter zu befähigen, sichere Verhaltensweisen zu praktizieren.

Einbindung der Geschäftsleitung

Die aktive Einbindung der Geschäftsleitung ist entscheidend für den Erfolg von Cybersicherheitsstrategien. Die Geschäftsführung muss die Bedeutung von Cybersicherheit erkennen, entsprechende Ressourcen bereitstellen und die Umsetzung der Maßnahmen überwachen. Cybersicherheit sollte ein fester Bestandteil der Unternehmensstrategie sein und regelmäßig in den Führungsgremien thematisiert werden.

Zusammenarbeit und Informationsaustausch

Der Austausch von Informationen und die Zusammenarbeit mit anderen Unternehmen, Branchenverbänden und Behörden können dazu beitragen, die eigene Cyberresilienz zu stärken. Durch den Erfahrungsaustausch lassen sich Best Practices identifizieren und gemeinsame Lösungsansätze entwickeln. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet zudem zahlreiche Informationen und Unterstützung für Unternehmen an.

Regelmäßige Überprüfung und Anpassung

Die Bedrohungslandschaft im Cyberraum entwickelt sich ständig weiter. Daher ist es unerlässlich, die implementierten Sicherheitsmaßnahmen regelmäßig zu überprüfen, zu bewerten und bei Bedarf anzupassen. Penetrationstests, Sicherheitsaudits und die Analyse von Sicherheitsvorfällen sind wichtige Instrumente, um die Wirksamkeit der Schutzmaßnahmen zu gewährleisten und kontinuierliche Verbesserungen vorzunehmen.

Fazit: Cybersicherheit als strategischer Erfolgsfaktor

Die NIS2-Richtlinie und das KRITIS-Dachgesetz markieren einen Paradigmenwechsel in der Cybersicherheitslandschaft. Sie zwingen Unternehmen, insbesondere den Mittelstand, dazu, ihre digitale und physische Resilienz umfassend zu stärken. Was zunächst als Belastung erscheinen mag, bietet jedoch auch die Chance, Cybersicherheit als strategischen Erfolgsfaktor zu etablieren. Unternehmen, die proaktiv handeln und in eine robuste Cyberresilienz investieren, können nicht nur regulatorische Risiken minimieren, sondern auch das Vertrauen ihrer Kunden stärken, ihre Wettbewerbsfähigkeit verbessern und langfristig ihren Geschäftserfolg sichern. Die Bewältigung dieser Herausforderung erfordert einen ganzheitlichen Ansatz, die Einbindung der gesamten Organisation und eine kontinuierliche Anpassung an die sich wandelnden Bedrohungen.

Bibliography: - heise online: NIS2 und KRITIS: Wie der Mittelstand Cyberresilienz aufbaut. - IHK Bodensee-Oberschwaben: NIS-2, KRITIS: Pflichten für Unternehmen. - Landesamt für Sicherheit in der Informationstechnik: NIS-2 FAQ. - Kleeberg: NIS-2 und KRITIS-Dachgesetz: Der neue Standard für Resilienz im deutschen Mittelstand. - IHK Rhein-Neckar: KRITIS & NIS2: Neue gesetzliche Anforderungen zur IT-Sicherheit. - SecDrills: NIS2 und KRITIS: Unterschiede einfach erklärt. - YPOG: Das NIS-2-Umsetzungsgesetz. - SHD Online: NIS-2 trifft KRITIS-Dachgesetz: Was Betreiber kritischer Anlagen jetzt wissen müssen. - Mittelstand Digital: Neue Regulierung in der Cybersicherheit. - BVMW e.V.: Impulspapier: Leitprinzipien für BVMW-Mitgliedsunternehmen zur Umsetzung von NIS 2 und Cyber Resilience Act (CRA).