Was es genau mit dem neuen NIS2-Gesetz auf sich hat und was Sie jetzt tun sollten, erfahren Sie hier!

Mit der wachsenden Bedrohung durch Cyberangriffe nimmt der Schutz von Unternehmensdaten einen immer höheren Stellenwert ein. Die neue NIS2-Richtlinie, die ab Oktober 2024 in Kraft tritt, soll die Sicherheit von Netz- und Informationssystemen in der gesamten EU stärken. Sie bringt striktere Anforderungen und umfassendere Meldepflichten mit sich, um das Risiko von Cyberangriffen zu minimieren. In diesem Beitrag erklären wir, welche Unternehmen betroffen sind, was konkret zu tun ist und wie Sie Ihr Unternehmen zukunftssicher aufstellen können.

 

 

Was ist der Zweck der NIS2-Richtlinie?

NIS2 (Network and Information Systems Directive 2) zielt auf ein verbessertes, EU-weites Cybersicherheitsniveau ab. Sie baut auf früheren Rechtsvorschriften wie NIS1 und der DSGVO auf, ergänzt diese jedoch durch neue, höhere Anforderungen. Dazu gehören unter anderem Risikobewertungen, Richtlinien und Verfahren für Kryptografie, Sicherheitsmaßnahmen für Mitarbeitende mit Zugang zu sensiblen Daten, mehrstufige Authentifizierung und Schulungen zur Cybersicherheit. Ein besonderer Fokus von NIS2 liegt auf Sicherheit und Geschäftskontinuität, einschließlich der Sicherheit von Lieferketten.

 

 

Für welche Unternehmen gilt NIS2?

Die NIS2-Richtlinie gilt für Unternehmen und Organisationen, die als Betreiber oder Anbieter von essenziellen und wichtigen Diensten in der EU eingestuft werden. Direkt betroffen sind große und mittlere Unternehmen aus den folgenden Branchen/Sektoren:

• Kritische Sektoren bzw. „wichtige Einrichtungen“ Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes bzw. herstellendes Gewerbe, Anbieter digitaler Dienste, Forschung (fakultativ).

• Sektoren mit hoher Kritikalität bzw. „wesentliche Einrichtungen“ Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum.

• Kleine Unternehmen sind betroffen, wenn sie folgenden Bereichen zuzuordnen sind: Vertrauensdienstanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, TLD-Namenregister und DNS-Diensteanbieter (ausgenommen Betreiber von Root-Namenservern) sowie Unternehmen, die der alleinige Anbieter eines Dienstes in einem Mitgliedstaat sind, der essenziell für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten ist.

 

Sie sind von NIS2 betroffen? Wir unterstützen Sie gerne bei der Implementierung der vorgeschriebenen IT Sicherheitsmaßnahmen. Vereinbaren Sie >>hier ein kostenfreies Beratungsgespräch<<. 

 

Ab Oktober 2024 gelten für Unternehmen somit deutlich verschärfte, verpflichtende Sicherheitsmaßnahmen und Meldepflichten. Was ist nun im Detail zu tun?

 

 

Wann gilt ein Unternehmen als mittelständisch oder groß?

Die Einstufung eines Unternehmens als „groß“ oder „mittelständisch“ hängt in der Regel von zwei Faktoren ab: der Anzahl der Mitarbeiter und dem Jahresumsatz. Im Folgenden die Abgrenzung der EU anhand dieser Kriterien:

 

Mittelständische Unternehmen (medium):

50-250 Beschäftigte; 10-50 Mio. Euro Umsatz; weniger als 43 Mio. Euro Bilanzsumme.

 

Große Unternehmen (large):

Mehr als 250 Beschäftigte; mehr als 50 Mio. Euro Umsatz; mehr als 43 Mio. Euro Bilanzsumme.

Dadurch wird der Anwendungsbereich auch in Österreich erheblich ausgeweitet!

 

 

Folgende Maßnahmen müssen Sie ergreifen:

Vorrangig gilt es, die Risiken für die Sicherheit Ihrer Netz- und Informationssysteme zu senken und zugleich die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Sämtliche IT-Systeme und deren physische Umgebung sollen geschützt werden. Laut NIS2 sind die nachfolgend genannten Cybersecurity-Maßnahmen umzusetzen:

 

• • Policies: Konzepte für Risikoanalyse und Sicherheit von Informationssystemen

• • Vorfallsbewältigung: Erkennung, Analyse, Eindämmung und Reaktion auf Vorfälle

• • Business Continuity: Backup-Management, Wiederherstellung und Krisenmanagement

• • Sicherheit der Lieferkette

• • Einkauf: Sicherheit beim Erwerb, der Entwicklung und Wartung der IT-Systeme, einschließlich Management und Offenlegung von Schwachstellen

• • Wirksamkeit: Bewertung der Wirksamkeit der Risikomanagementmaßnahmen

• • Cyberhygiene & Schulung: Cyberhygiene (z.B. Updates) und Schulungen in Cybersecurity

• • Kryptografie: Einsatz von Kryptografie und gegebenenfalls Verschlüsselung

• • Personal, Zugriffe, Assets: Personalsicherheit, Zugriffskontrolle und Asset Management

• • Authentifizierung: Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung

• • Kommunikation: Sichere Sprach-, Video- und Textkommunikation, ggf. auch im Notfall