Die NIS2-Richtlinie und das deutsche Umsetzungsgesetz Wie die NIS2-Richtlinie vor Cyberangriffen schützen soll

Seit 2023 die NIS2-Richtlinie der EU in Kraft ist, muss sich auch die Chemieindustrie damit beschäftigen. Für viele Experten war das schon länger überfällig. Schließlich nimmt auch in der Chemie die Zahl der Hackerangriffe zu. Jetzt soll NIS2 der Branche auf die Sprünge helfen. Was genau steht in der Richtlinie und was kommt auf die Unternehmen zu?

Die Zahl der Cyberangriffe in der chemischen Industrie ist in letzten Jahre gestiegen, doch das Bewusstsein des Risikos ist in den Unternehmen offenbar eher weniger ausgeprägt. Zu diesem Ergebnis kam 2020 der Gesamtverband der Deutschen Versicherungswirtschaft in ihrem Branchencheck der Chemieindustrie. Besonders KMUs haben demnach Nachholbedarf, vor allem, da viele weder einen für Informationssicherheit Verantwortlichen noch ein Notfallkonzept haben.

Abhilfe soll nun die NIS2-Richtlinie der EU schaffen, die die darauf abzielt, ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der gesamten EU zu gewährleisten.

NIS2 steht für Network and Information Security und ist EU weit seit 2023 in Kraft. Die Richtlinie wurde eingeführt, um die sich ständig weiterentwickelnden Bedrohungen im Bereich der Cybersicherheit besser zu adressieren. Das NIS2-Umsetzungsgesetz soll durch strengere Sicherheitsvorgaben und eine verbesserte Zusammenarbeit zwischen den EU-Mitgliedstaaten dazu beitragen, solche Bedrohungen zu minimieren und die Resilienz kritischer Infrastrukturen europaweit zu erhöhen. Außerdem definiert und verschärft das Gesetz Sanktionen für die Nichteinhaltung der geforderten Maßnahmen.

Die Richtlinie erhöht die Anforderungen an Unternehmen deutlich und erweitert den Kreis der betroffenen Unternehmen erheblich. Auch Unternehmen der Chemieindustrie gehören nun dazu.

Wann tritt NIS2 in Kraft?

Die NIS2-Richtlinie ist eine Weiterentwicklung der ursprünglichen NIS1-Richtlinie, die im Juli 2016 verabschiedet wurde und bis Mai 2018 von den Mitgliedstaaten in nationales Recht umgesetzt werden musste. Die NIS2-Richtlinie wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht und trat am 16. Januar 2023 in Kraft. Sie zielt darauf ab, die Mängel und Schwächen der NIS1-Richtlinie zu beheben und ein noch höheres Maß an Cybersicherheit in den EU-Mitgliedstaaten zu gewährleisten. Die Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, die Vorschriften der NIS2-Richtlinie in nationales Recht umzusetzen.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in Deutschland

Das NIS2-Umsetzungsgesetz in Deutschland zielt darauf ab, die Cybersicherheit in kritischen Infrastrukturen zu stärken, indem es die Anforderungen der EU-Richtlinie über Netz- und Informationssicherheit (NIS2) in nationales Recht umsetzt. Dieses Gesetz verpflichtet Betreiber kritischer Infrastrukturen, einschließlich Chemieanlagen, zu umfassenden Sicherheitsmaßnahmen und Meldepflichten bei Cybervorfällen.

Am 11. Oktober 2024 hat der Deutsche Bundestag den Gesetzentwurf zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung in erster Lesung beraten. Der Entwurf, bekannt als „NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“, wurde anschließend zur federführenden Beratung an den Innenausschuss überwiesen.

Die Anhörungstermine auf politischer Ebene sind Teil des laufenden Gesetzgebungsverfahrens. Der Referentenentwurf wurde im Februar 2023 veröffentlicht und befindet sich derzeit in der Anhörungsphase. Weitere Anhörungen und Beratungen sind im Innenausschuss geplant, bevor das Gesetz endgültig verabschiedet wird. Experten gehen davon aus, dass dieses Gesetz zum Ende des ersten Quartals 2025 verabschiedet wird.

Welche Auswirkungen hat die NIS2 auf betroffene Unternehmen?

Betroffene Unternehmen müssen höhere Sicherheitsstandards einhalten, einschließlich technischer und organisatorischer Maßnahmen zum Schutz von Netzwerken und Informationssystemen. Die Multi-Faktor-Authentifizierung ist beispielsweise eine technische Maßnahme, die die Sicherheit erhöht, indem sie zusätzliche Verifizierungsschritte erfordert. Dadurch kann das zentrale Ziel der NIS2-Richtlinie erreicht werden.

Zudem hat die NIS2-Richtlinie einen erheblichen Einfluss auf digitale Infrastrukturen, da sie darauf abzielt, ein hohes Maß an Cybersicherheit zu gewährleisten. Ein formelles Risikomanagementverfahren muss implementiert werden, um Risiken für die Netzwerksicherheit zu identifizieren und zu mindern.

Die Meldung von Sicherheitsvorfällen muss schnell und effektiv geschehen. Die Richtlinie verlangt von Unternehmen, sicherheitsrelevante Vorfälle innerhalb von 24 Stunden an die zuständigen Behörden zu melden und innerhalb von 72 Stunden detaillierte Informationen bereitzustellen.

Vorgehen beim Melden von Zwischenfällen

Der Meldeprozess im Rahmen des NIS2-Umsetzungsgesetzes in Deutschland sieht eine dreistufige Meldepflicht vor, die die bisherige einstufige Meldepflicht ersetzt. Diese Änderung soll den bürokratischen Aufwand für die betroffenen Einrichtungen minimieren und gleichzeitig eine effektivere Reaktion auf Sicherheitsvorfälle ermöglichen.

1. Erste Meldung: Innerhalb von 24 Stunden nach Feststellung eines Sicherheitsvorfalls muss eine erste Meldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgen. Diese Meldung enthält grundlegende Informationen über den Vorfall, wie Art und Umfang des Vorfalls sowie erste Maßnahmen zur Eindämmung.

2. Zwischenbericht: Innerhalb von 72 Stunden nach der ersten Meldung muss ein detaillierter Zwischenbericht eingereicht werden. Dieser Bericht umfasst eine genauere Analyse des Vorfalls, die Auswirkungen auf die betroffenen Systeme und Daten sowie weitere ergriffene Maßnahmen.

3. Abschlussbericht: Spätestens einen Monat nach der ersten Meldung ist ein Abschlussbericht vorzulegen. Dieser Bericht enthält eine umfassende Darstellung des Vorfalls, die endgültigen Maßnahmen zur Behebung und Prävention sowie eine Bewertung der Wirksamkeit der ergriffenen Maßnahmen.

Der dreistufige Meldeprozess soll sicherstellen, dass Sicherheitsvorfälle zeitnah und umfassend gemeldet werden, um eine schnelle und koordinierte Reaktion zu ermöglichen. Durch die gestaffelte Berichterstattung können betroffene Einrichtungen zunächst schnell reagieren und dann detailliertere Informationen nachliefern, sobald diese verfügbar sind.

Mitarbeiter des Unternehmens müssen hinsichtlich der neuen Sicherheitsanforderungen und Verfahren geschult werden, um sicherzustellen, dass sie die Richtlinie verstehen und umsetzen können.

Welche Maßnahmen müssen Unternehmen ergreifen?

Unternehmen in Deutschland müssen im Rahmen der NIS2-Verordnung verschiedene Maßnahmen ergreifen, um die Sicherheit ihrer Netzwerke und Informationssysteme zu gewährleisten.

• Risiko einschätzen: Unternehmen müssen potenzielle Bedrohungen und Schwachstellen identifizieren, um die Risiken für ihre Netzwerke und Informationssysteme zu verstehen.

• Vorbereitung: Dies umfasst die Entwicklung und Implementierung von Sicherheitsstrategien und -richtlinien, um auf mögliche Sicherheitsvorfälle vorbereitet zu sein.

• Vorausplanung: Unternehmen sollten Notfallpläne und Wiederherstellungsstrategien entwickeln, um den Betrieb im Falle eines Sicherheitsvorfalls schnell wieder aufnehmen zu können.

• Ressourcen sichern: Es ist wichtig, ausreichende finanzielle, personelle und technische Ressourcen bereitzustellen, um die Sicherheitsmaßnahmen effektiv umzusetzen.

• Anlagen verwalten: Dies beinhaltet die regelmäßige Überprüfung und Wartung der physischen und digitalen Infrastrukturen, um deren Sicherheit und Funktionalität zu gewährleisten.

• Risiko bewerten: Eine kontinuierliche Bewertung der Risiken ist notwendig, um auf neue Bedrohungen und Schwachstellen reagieren zu können.

• Personal ausbilden: Cybersicherheitsschulungen zur Verbesserung der organisatorischen Bereitschaft und Resilienz.

• Daten schützen: Unternehmen müssen Maßnahmen ergreifen, um die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Daten zu gewährleisten.

• Mitarbeitende schützen: Dies umfasst den Schutz der Mitarbeiter vor physischen und digitalen Bedrohungen, einschließlich der Bereitstellung sicherer Arbeitsumgebungen und der Sensibilisierung für Sicherheitsrisiken.

• Systeme sichern: Unternehmen sollten technische Maßnahmen wie Firewalls, Verschlüsselung und regelmäßige Software-Updates implementieren, um ihre Systeme vor unbefugtem Zugriff und Cyberangriffen zu schützen.

(ID:50255459)