Die Einführung der NIS2-Richtlinie der EU, die bis Oktober 2024 von den Mitgliedstaaten in nationales Recht umgesetzt werden soll, bringt erhebliche Herausforderungen mit sich. Trotz der verbindlichen Frist scheinen viele EU-Länder, darunter auch Deutschland, nicht ausreichend vorbereitet zu sein, um diese rechtzeitig zu erfüllen.
Von Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4.
Die NIS2-Richtlinie zielt darauf ab, die Cyber-Resilienz kritischer Infrastrukturen zu stärken und enthält zehn wesentliche Sicherheitsmaßnahmen, wie Business Continuity Management, Cyber-Risikomanagement, Lieferkettensicherheit sowie Aus- und Weiterbildung.
Umsetzung in den Mitgliedstaaten: Uneinheitlichkeit und Verzögerungen
Die Umsetzung der NIS2-Richtlinie verläuft in den EU-Ländern unterschiedlich. Während einige Staaten, wie Frankreich und die Niederlande, bereits Fortschritte gemacht haben, hinkt Deutschland aufgrund noch ausstehender Gesetzgebungen hinterher. Frankreich hebt sich durch die Einbeziehung lokaler Behörden hervor, ein Ansatz, der in Deutschland fehlt. Diese Uneinheitlichkeit erschwert es europaweit tätigen Unternehmen, die verschiedenen nationalen Anforderungen zu verstehen und umzusetzen.
Unternehmen: Zwischen Zuversicht und Unsicherheit
Zwar sind 80 Prozent der Unternehmen zuversichtlich, die Anforderungen der NIS2-Richtlinie erfüllen zu können, doch viele warten auf die endgültige nationale Gesetzgebung. Nur 14 Prozent der Unternehmen halten die Vorschriften bereits ein, während fast die Hälfte der Unternehmen erhebliche Unterstützung von ihrer Führungsebene vermissen lässt. Diese fehlende Unterstützung und das mangelnde Verständnis für die Anforderungen untergraben die Bereitschaft und Fähigkeit der Unternehmen, die Richtlinie umfassend umzusetzen.
Dringlichkeit und Handlungsbedarf
Eine Umfrage zeigt, dass ein Drittel der Unternehmen die NIS2-Richtlinie bereits umgesetzt hat, während 38 Prozent noch am Anfang stehen. Die Unsicherheit darüber, ob und wie die Richtlinie angewendet werden muss, bleibt ein zentrales Problem. Die Geschäftsleitungen müssen daher stärker mit Cybersicherheitsexperten zusammenarbeiten und ihre Verantwortung ernst nehmen.
Unternehmen sollten die verbleibende Zeit bis zur endgültigen Umsetzung nutzen, um proaktive Maßnahmen zu ergreifen. Die Implementierung von Sicherheitsstandards wie ISO27001 und ein umfassendes Risikomanagement, das auf die spezifischen Bedrohungen der Organisation abgestimmt ist, sind entscheidende Schritte. Besonders wichtig ist die Schulung der Mitarbeiter, da menschliches Versagen oft den größten Risikofaktor darstellt.
Die NIS2-Richtlinie ist weit mehr als nur eine gesetzliche Vorschrift – sie ist ein dringender Weckruf für alle kritischen Infrastrukturen und deren Zulieferer. Cybersicherheit muss zur obersten Geschäftspriorität werden, um die Länder der EU vor den zunehmenden Bedrohungen durch Nationalstaaten, Hacktivisten und Cyberkriminelle zu schützen. Die Zeit zum Handeln ist jetzt und Unternehmen dürfen keine Zeit verlieren.