Die NIS-2-Richtlinie der EU verändert die Art und Weise, wie Organisationen Cybersicherheit betrachten. Im Gegensatz zur DSGVO, die den Schutz personenbezogener Daten in den Mittelpunkt stellt, soll NIS2 die Widerstandsfähigkeit kritischer und wichtiger Einrichtungen gegenüber Cyberbedrohungen stärken. Die Richtlinie hebt das Cybersicherheitsniveau europaweit an, indem sie Organisationen dazu verpflichtet, strengere Sicherheitsmaßnahmen umzusetzen, die Governance zu verbessern und schwerwiegende Sicherheitsvorfälle zu melden.

NIS-2, offiziell als Richtlinie (EU) 2022/2555 bezeichnet, ist der aktualisierte Cybersicherheitsrahmen der Europäischen Union. Ziel der Richtlinie ist es, die Sicherheit und Widerstandsfähigkeit von Organisationen zu stärken, die essenzielle und wichtige Dienste erbringen.

Sie ersetzt die ursprüngliche NIS-Richtlinie und führt strengere Anforderungen, einen erweiterten Anwendungsbereich, eine stärkere behördliche Aufsicht sowie mehr Verantwortung für Führungskräfte ein. Ziel ist es, ein einheitlicheres Cybersicherheitsniveau in den EU-Mitgliedstaaten zu schaffen und die Fähigkeit von Organisationen zu verbessern, sich auf Cybervorfälle vorzubereiten, angemessen darauf zu reagieren und sich davon zu erholen.

Die NIS-2-Richtlinie erweitert den Kreis der betroffenen Organisationen im Vergleich zu ihrer Vorgängerversion deutlich. Sie gilt grundsätzlich für mittelgroße und große Organisationen in Sektoren, die für die Gesellschaft, öffentliche Dienstleistungen oder die Wirtschaft von besonderer Bedeutung sind.

Cloud-Dienste spielen im Zusammenhang mit NIS-2 zwei unterschiedliche Rollen. Erstens können Cloud-Dienstleister selbst direkt in den Anwendungsbereich der Richtlinie fallen, abhängig von den angebotenen Diensten.

Zweitens, und für viele Organisationen noch wichtiger, sind Cloud-Dienste Teil der eigenen digitalen Lieferkette. Die Wahl eines sicheren Cloud-Anbieters kann dazu beitragen, betriebliche und cybersicherheitsbezogene Risiken zu reduzieren, die Organisationen im Rahmen von NIS-2 identifizieren und steuern müssen.

Die Nutzung einer Cloud-Plattform überträgt die Verantwortung für die Compliance jedoch nicht auf den Anbieter. Organisationen bleiben dafür verantwortlich, ihre Risiken zu verstehen, geeignete Sicherheitsmaßnahmen umzusetzen und sicherzustellen, dass externe Dienstleister ihre Sicherheitsanforderungen erfüllen.

Cloud-Sicherheit sollte daher als gemeinsame Verantwortung verstanden werden. Während der Cloud-Anbieter die zugrunde liegende Infrastruktur absichert und Sicherheitsfunktionen bereitstellt, bleibt Ihr Unternehmen dafür verantwortlich, wie der Dienst konfiguriert wird, wie Nutzer auf Daten zugreifen und wie sensible Informationen verarbeitet und geschützt werden.

Sicherheits- und Risikomanagementanforderungen nach NIS-2

Die NIS-2-Richtlinie verfolgt einen risikobasierten Ansatz für die Cybersicherheit. Anstatt bestimmte Technologien vorzuschreiben, verpflichtet sie Organisationen dazu, Sicherheitsmaßnahmen zu implementieren, die ihrem individuellen Risikoprofil und ihren betrieblichen Anforderungen entsprechen.

Risikomanagement

Organisationen müssen Cybersicherheitsrisiken identifizieren, bewerten und steuern, die ihre Systeme, Dienste und Daten beeinträchtigen könnten. Dazu gehört auch, zu verstehen, wo sensible Informationen gespeichert sind, wer darauf zugreifen kann und wie diese Daten intern sowie extern geteilt werden.

Sicherheit der Lieferkette

Eine der wichtigsten Neuerungen der NIS-2-Richtlinie ist der verstärkte Fokus auf Risiken durch Lieferanten und Drittanbieter. Organisationen müssen die Sicherheitspraktiken von Softwareanbietern, Cloud-Dienstleistern, Auftragnehmern und anderen Dienstleistern bewerten, die kritische Geschäftsprozesse unterstützen. Die Nutzung eines Cloud-Anbieters entbindet Unternehmen nicht von ihrer Verantwortung für den Schutz sensibler Informationen.

Reaktion auf Sicherheitsvorfälle und Geschäftskontinuität

Organisationen müssen darauf vorbereitet sein, Cybervorfälle zu erkennen, darauf zu reagieren und sich von ihnen zu erholen. Dazu gehören dokumentierte Incident-Response-Pläne, klare Eskalationsprozesse, definierte Verantwortlichkeiten und regelmäßig getestete Wiederherstellungsverfahren. Ebenso wichtig ist eine umfassende Planung der Geschäftskontinuität, um sicherzustellen, dass kritische Dienste auch im Falle einer Störung verfügbar bleiben.

Zugriffskontrolle und Asset-Management

Zu wissen, welche Systeme, Daten und Ressourcen geschützt werden müssen, ist eine grundlegende Voraussetzung für Cybersicherheit. Organisationen sollten jederzeit den Überblick über ihre IT-Ressourcen behalten und sicherstellen, dass Mitarbeitende, Partner und Dienstleister nur auf die Informationen zugreifen können, die sie für ihre Aufgaben benötigen. Granulare Zugriffskontrollen sind besonders wichtig, wenn sensible Informationen über Cloud-Plattformen geteilt werden.

Verschlüsselung zum Schutz von Daten

Um die Anforderungen der NIS-2-Richtlinie zu erfüllen, sollten Unternehmen sicherstellen, dass ihre Verschlüsselungsverfahren einen wirksamen Schutz vor Cyberangriffen und Datenschutzverletzungen bieten.

Melde- und Governance-Pflichten nach NIS-2

NIS-2 beschränkt sich nicht auf technische Sicherheitsmaßnahmen. Die Richtlinie führt auch weitreichende Anforderungen an Governance und Unternehmensführung ein.

Cybersicherheit ist Chefsache

Eine der größten Veränderungen durch NIS-2 ist die stärkere Verantwortung von Geschäftsleitungen und Führungsgremien. Cybersicherheit wird nicht länger ausschließlich als Aufgabe der IT betrachtet. Führungskräfte müssen das Management von Cyberrisiken aktiv überwachen. Dazu gehört:

• Die Genehmigung von Cybersicherheitsmaßnahmen
• Die Überwachung ihrer Umsetzung
• Die Bereitstellung ausreichender Ressourcen für Resilienz- und Sicherheitsinitiativen
• Das Verständnis dafür, wie sich Cyberrisiken auf den Geschäftsbetrieb auswirken können

Anforderungen an die Meldung von Sicherheitsvorfällen

Bei schwerwiegenden Cybersicherheitsvorfällen müssen Organisationen die zuständigen nationalen Behörden innerhalb der vorgeschriebenen Fristen informieren. Auch wenn sich die Details zwischen den Mitgliedstaaten geringfügig unterscheiden können, umfasst die Meldung in der Regel:

• Eine erste Frühwarnung nach Feststellung eines erheblichen Vorfalls
• Eine detailliertere Meldung im Verlauf der Untersuchung
• Einen Abschlussbericht mit Angaben zur Ursache, den Auswirkungen, den ergriffenen Maßnahmen und den gewonnenen Erkenntnissen

Eine effektive Meldepflicht setzt voraus, dass Organisationen Vorfälle erkennen können, über klare interne Eskalationswege verfügen und dokumentierte Reaktionsprozesse etabliert haben.

Nachweis der Compliance

NIS-2 erfordert nicht nur die Umsetzung geeigneter Sicherheitsmaßnahmen. Organisationen müssen auch nachweisen können, dass diese Maßnahmen wirksam funktionieren. Dazu kann unter anderem die Pflege folgender Dokumentationen gehören:

• Sicherheitsrichtlinien
• Risikobewertungen
• Dokumentationen zur Reaktion auf Sicherheitsvorfälle
• Nachweise über Schulungen
• Sicherheitsbewertungen von Lieferanten
• Audit-Logs und Aktivitätsprotokolle

Worauf sollten Organisationen bei Cloud-Diensten im Kontext von NIS-2 achten?

Bei der Auswahl eines Cloud-Anbieters sollten nicht nur Speicherkapazitäten oder Produktivitätsfunktionen berücksichtigt werden. Ebenso wichtig ist die Frage, ob der Anbieter Unternehmen bei ihren Sicherheits-, Governance- und Compliance-Anforderungen unterstützt.

Ende-zu-Ende-Verschlüsselung

Verschlüsselung spielt eine zentrale Rolle beim Schutz sensibler Informationen im Rahmen von NIS-2. Allerdings bieten nicht alle Verschlüsselungsverfahren das gleiche Schutzniveau. Viele Cloud-Dienste verschlüsseln Daten während der Übertragung und Speicherung, behalten jedoch weiterhin die technische Möglichkeit, auf die Inhalte zuzugreifen. Die Ende-zu-Ende-Verschlüsselung bietet eine zusätzliche Schutzebene, da nur autorisierte Nutzer Daten entschlüsseln und darauf zugreifen können. Dies ist besonders wichtig beim Austausch vertraulicher Dokumente mit Kunden, Lieferanten, Behörden, Auditoren oder externen Partnern.

Granulare Zugriffskontrollen

Administratoren sollten präzise festlegen können, wer auf Informationen zugreifen darf, von welchen Geräten aus dies möglich ist und unter welchen Bedingungen der Zugriff gewährt wird.

Audit-Trails und Aktivitätsüberwachung

Umfassende Aktivitätsprotokolle helfen Organisationen dabei, Sicherheitsvorfälle zu untersuchen, Verantwortlichkeiten nachzuweisen und Compliance-Anforderungen zu erfüllen.

Zentrale Verwaltung von Sicherheitsrichtlinien

Die konsistente Durchsetzung von Sicherheitsrichtlinien reduziert Risiken über Teams und Standorte hinweg. Funktionen wie verpflichtende Multi-Faktor-Authentifizierung, Freigabebeschränkungen und Gerätekontrollen können die Widerstandsfähigkeit einer Organisation erheblich stärken.

Sichere Zusammenarbeit mit externen Partnern

Viele Cyberrisiken entstehen, sobald Informationen die Grenzen einer Organisation verlassen. Cloud-Plattformen sollten daher eine sichere Zusammenarbeit mit Kunden, Lieferanten, Auditoren und Partnern ermöglichen, ohne auf unsichere Dateifreigaben oder E-Mail-Anhänge angewiesen zu sein.

Resilienz- und Wiederherstellungsfunktionen

Organisationen sollten verstehen, wie Cloud-Anbieter Themen wie Datensicherung, Redundanz, Incident Response und Disaster Recovery handhaben, um ihre Anforderungen an Geschäftskontinuität zu unterstützen.

Wie NIS-2 mit DORA und der CER-Richtlinie zusammenhängt

Die NIS-2-Richtlinie ist Teil eines umfassenderen europäischen Resilienzrahmens. Die CER-Richtlinie (Critical Entities Resilience Directive) konzentriert sich auf den Schutz kritischer Einrichtungen vor einer Vielzahl betrieblicher und physischer Bedrohungen. Der Digital Operational Resilience Act (DORA) legt dagegen spezifische Anforderungen an die digitale Resilienz von Finanzinstituten und ihren IKT-Dienstleistern fest.

Gemeinsam fördern diese Regelwerke ein besseres Risikomanagement, eine stärkere Vorbereitung auf Sicherheitsvorfälle und eine höhere Widerstandsfähigkeit gegenüber Störungen.

NIS-2-Compliance bedeutet Resilienz

Die NIS-2-Richtlinie markiert den Wandel von einer reaktiven Cybersicherheitsstrategie hin zu einem umfassenden Ansatz für organisatorische Resilienz.

Statt sich ausschließlich auf die Verhinderung von Angriffen zu konzentrieren, fordert die Richtlinie Organisationen dazu auf, ihre Risiken zu verstehen, Governance-Strukturen zu stärken, ihre Lieferketten abzusichern und sich frühzeitig auf potenzielle Vorfälle vorzubereiten.

Cloud-Dienste sind nur ein Baustein in diesem Gesamtbild, aber ein wichtiger. Die Wahl eines Anbieters mit starken Sicherheitskontrollen, transparenten Betriebsprozessen und Funktionen für eine sichere Zusammenarbeit kann Unternehmen dabei unterstützen, ihre Cybersicherheitsbasis zu stärken und gleichzeitig den täglichen Sicherheitsaufwand zu reduzieren.

Letztlich bedeutet NIS-2-Compliance nicht, einen Cloud-Anbieter zu finden, der Compliance verspricht. Entscheidend ist die Auswahl von Technologien, die Ihre Organisation dabei unterstützen, Cyberrisiken wirksam zu steuern, Verantwortlichkeit nachzuweisen und in einer zunehmend komplexen Bedrohungslandschaft widerstandsfähig zu bleiben.