Im Gespräch mit Frank Meinecke, CISO der USU: Was die neue EU-Richtlinie NIS-2 für deutsche Unternehmen bedeutet, wie die USU selbst auf NIS-2 vorbereitet ist und wir wir andere Unternehmen bei der Umsetzung unterstützen können
Frank Meinecke: Sehr gerne. Die NIS2-Richtlinie (Abkürzung für: Network and Information Systems Directive) ist eine EU-Verordnung, die die Cybersicherheit in kritischen Sektoren stärken soll, einschließlich IT-Dienstleistern. Sie baut auf der ursprünglichen NIS-Richtlinie auf und erweitert deren Anwendungsbereich und Anforderungen.
Aktuell gibt es einen Regierungsentwurf vom 22. Juli 2024, der die Umsetzung der NIS-2-Richtlinie in Deutschland regelt. Es ist wichtig zu verstehen, dass die Frist vom 17. Oktober 2024 zur Anwendung von NIS-2 nur für die Bundesregierung gilt. Unternehmen müssen sich jedoch schon jetzt darauf vorbereiten, da das Gesetz mit der nationalen Verabschiedung sofort in Kraft treten wird. NIS-2 betrifft Organisationen und Unternehmen in der Europäischen Union aus 18 Sektoren, die in zwei Kategorien unterschieden werden: Wesentliche bzw. besonders wichtige Einrichtungen und wichtige Einrichtungen. Große Unternehmen (ab 250 Angestellte oder mehr als 50 Millionen Euro Umsatz pro Jahr) zählen dabei zu den wesentlichen bzw. besonders wichtigen Einrichtungen, mittelgroße Unternehmen (zwischen 50 und 249 Angestellten) zu den wichtigen Einrichtungen.
Frank Meinecke: Ich denke das Dschungel-Gefühl haben vor allem kleinere Unternehmen, zum Teil auch Familienunternehmen aus jetzt neu betroffenen Branchen. Diese stehen vor riesigen Herausforderungen. Sie mussten sich die letzten Jahre zum Beispiel nicht mit Security-Audits auseinandersetzen oder mit einer ISO-Zertifizierung. Jetzt fehlt das geschulte Fachpersonal im Unternehmen und sie sind stark auf externe Berater angewiesen für die Umsetzung der NIS-2-Richtlinie.
Frank Meinecke: USU bietet eine Reihe von Softwarelösungen an, die Unternehmen dabei helfen, die NIS-2-Anforderungen zu erfüllen. Dazu gehört die USU IT Service Management (ITSM) Suite mit Governance, Risk, and Compliance (GRC) Modulen, sowie das USU IT Asset Management (ITAM) für das Verwalten von Hardware- und Softwareressourcen.
Frank Meinecke: Der aktuelle Gesetzesentwurf definiert 10 Themenbereiche für die Umsetzung von NIS-2, wobei viele kleine Handlungsfelder in einem Themenbereich zusammengefasst wurden. Ich würde anderen IT Security Verantwortlichen Folgendes raten:
Ratschlag 1: Das Thema Multi-Faktor Authentifizierung konsequent umsetzen, das aus gutem Grund als einzige konkrete technische Maßnahme im Gesetzt gelandet ist.
Ratschlag 2: Weitere Informationsquellen zu Rate ziehen: Die AG KRITIS oder die OpenKRITIS Plattform haben sehr hilfreiche Ressourcen und Interpretationen im Angebot. Außerdem gibt es seitens der EU einen ersten Entwurf einer NIS2-Durchführungsverordnung („NIS2-DVO“), der die geforderten Maßnahmen konkretisiert und z.B. Definitionen für einen „erheblichen Sicherheitsvorfall“ beinhaltet.
Ratschlag 3: Zum Verständnis hilft es, sich neben dem deutschen Gesetz auch die englische Originalversion von NIS-2 direkt anzuschauen. Dann wird manches klarer, was sonst vielleicht „Lost in Translation“ ist.
So geht es beispielsweise bei der "Personalsicherheit” nicht um die Arbeitssicherheit, die Sicherheitsschuhe vorschreibt. Es geht vor allem um Rechte-Rollen-Verteilung und Prozesssteuerung. Hier kommt also wieder ein ITSM-System ins Spiel, welches bei der Steuerung von IT- und Non-IT-Prozessen im Unternehmen grundlegend unterstützt.
Ebenso ist mit “Management von Anlagen” nicht etwa das Management von Industrieanlagen gemeint, sondern ein “Asset Management” und damit die Verwaltung von allen Assets des Unternehmens, die einen gewissen Wert für dieses darstellen. Eine Hardwareressource wie ein Arbeitslaptop aber auch ein Domain-Name wie „usu.com“ sind z.B. Assets. Auch hier kann ein ITAM-System die Verwaltung von jeglichen Assets im Rahmen von NIS-2 unterstützen.
Frank Meinecke: Es gibt einige Überschneidungen, insbesondere bei den Themen Incident Handling und Meldepflichten. Beide Richtlinien fordern, dass Sicherheitsvorfälle gemeldet und entsprechende Maßnahmen ergriffen werden. In Deutschland bedeutet das, dass Vorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden müssen. Diese gemeinsamen Anforderungen erleichtern es Unternehmen, durch eine einheitliche Strategie beide Richtlinien zu erfüllen.
Frank Meinecke: Ein zentrales Thema wird das Wissensmanagement innerhalb der Unternehmen sein. Firmen müssen langfristig das benötigte Wissen aufbauen und halten können, was gerade für kleinere Unternehmen eine Herausforderung ist. Zudem ist die Bildungspolitik in Deutschland gefordert, mehr Fachkräfte mit digitalen Grundkompetenzen auszubilden. Nur so können wir sicherstellen, dass genügend qualifiziertes Personal zur Verfügung steht, um die steigenden Sicherheitsanforderungen der EU zu erfüllen.
Frank Meinecke: Ich möchte betonen, dass es wichtig ist, jetzt aktiv zu werden. Unternehmen sollten nicht warten, bis die Fristen näher rücken, sondern sich jetzt mit den Anforderungen der NIS-2-Richtlinie auseinandersetzen und entsprechende Maßnahmen ergreifen. USU steht dabei gerne als Partner zur Seite, um die notwendigen Schritte gemeinsam zu gehen.
Digitalisierung Enterprise Service Management IT Service Management
Das US-amerikanische Analystenhaus Forrester hat mit „The Enterprise Service Management Landscape,...
Digital Strategy Digital Workplace Digitale Transformation
Bei der deutschlandweiten Umfrage zur Studie „Digital Workflows 2023“, herausgegeben von CIO, CSO...
Digitalisierung Enterprise Service Management IT Service Management
Das Analystenhaus Quadrant Knowledge Solutions hat 16 bedeutende Enterprise Service Management...