Startseite > Security > „Ich empfehle jedem betroffenen Unternehmen, nicht zu warten“

NIS-2 und andere EU-Vorgaben

„Ich empfehle jedem betroffenen Unternehmen, nicht zu warten“

13. März 2024, 11:00 Uhr | Interview: Diana Künstler

Tobias Mielke, Fachexperte für Managementsysteme sowie technischer Gutachter und Auditor bei der TÜV Informationstechnik (TÜV NORD Group)

Neben NIS-2 betreffen auch zahlreiche andere EU-Vorgaben mittlerweile deutsche Unternehmen und deren IT-Sicherheit. Harmonisierung ist hier laut Tobias Mielke von TÜVIT wichtig, „damit wir am Ende keinen Flickenteppich in der EU bekommen“. Über die NIS-2-Key-Facts und mehr spricht er im Interview.

connect professional: Ab dem 18. Oktober gilt Anwendungspflicht für betroffene Unternehmen der NIS-2-Richtlinie¹. Was sind Ihre grundsätzlichen Empfehlungen an Unternehmen? Wie sollten die sich in der kurzen verbleibenden Zeit dem Thema annähern?

Tobias Mielke: Der Punkt ist: Es steht alles in der Richtlinie. Und das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (kurz NIS2UmsuCG)² ist natürlich eine Umsetzung der Richtlinie. Das heißt, man kann sich wunderbar an der Richtlinie orientieren. Dort steht alles explizit drin, was umzusetzen ist, wie es umzusetzen ist, wer es umzusetzen hat.

Ein weiterer Punkt ist: Die Unternehmen sollten das eigentlich alles schon umgesetzt haben. Wenn man sich wirklich schon um Informationssicherheit sowie um Cybersecurity Gedanken gemacht hat und entsprechend sensibilisiert ist im Unternehmen, sollten das alles keine neuen Punkte mehr sein, die als Anforderungen gelten, die im Rahmen der NIS-2-Richtlinie beziehungsweise dann im NIS2UmsuCG in Deutschland dann vollzogen werden müssen.

Denn: Sicherheit geht uns alle was an, weil wir alle mit Daten und Informationen hantieren. Sei es von Kunden, sei es von Mitarbeitern, sei es eigene Geschäftsgeheimnisse, die hier geschützt werden müssen. Und die Sensibilisierung hätte schon längst erfolgen werden müssen. Gerade vor dem Hintergrund, wenn man sich beispielsweise Artikel 20 der Richtlinie ansieht, das hier auch dann die entsprechende Geschäftsführung in die Pflicht genommen wird und dafür auch direkt haftbar gemacht werden kann. Dadurch ist der Druck noch einmal immens höher. Nichtsdestotrotz hätten die Unternehmen dies alles bereits umsetzen können, zumindest aber schon mal die ersten Aspekte und Prozesse implementiert haben können. Sei es das Thema Angriffserkennung, sei es Risikomanagement, Meldewesen oder Sensibilisierung der Mitarbeiter etc.

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Ab dem 18. Oktober gilt Anwendungspflicht für betroffene Unternehmen der NIS-2-Richtlinie. Woran sich Unternehmen in der kurzen verbleibenden Zeit orientieren sollten, darüber informiert der technische Gutachter und Auditor.

connect professional: Gesetzt den Fall, ein Umsetzungsgesetz würde nicht bis 17.10. zustande kommen, würde dann die NIS-2-Richtlinie verbindlich greifen?

Mielke: Bis 17.10.2024 sind die Mitgliedsstaaten in der EU aufgefordert, ein entsprechendes Umsetzungsgesetz zu verabschieden. Aber nichtsdestotrotz hat die NIS-2-Richtlinie Entfaltung am 18.10. Also ab 18.10. gilt die NIS-2-Richtlinie und Deutschland muss dann die NIS-2-Richtlinie in ein nationales Gesetz umgesetzt haben, um keine Vertragsverletzungen mit der EU zu riskieren. Nichtsdestotrotz empfehle ich jedem betroffenen Unternehmen, nicht zu warten.

connect professional: Heißt im Prinzip, man muss sich zum einen registrieren. Was geht noch damit einher?

Mielke: Die Möglichkeit zur Registrierung muss natürlich gegeben werden. Das ist der eine Punkt. Ich würde aber trotzdem alles vorbereiten. Es wartet keiner auf einen. Und wenn dann zum Beispiel später das BSI eine Seite publiziert, wo sich die Unternehmen entsprechend registrieren können, dann kann man nicht noch einmal eine Woche warten. Das muss auch dementsprechend vorbereitet werden. Und auch die Maßnahmen, die wiederum für die Unternehmen bei entsprechender nationaler Umsetzung gelten am 18.10., gelten ja nicht dann erst, wenn ich mich registriere. Diese müssen umgesetzt sein, bevor die Unternehmen sich registrieren müssen. Möglich wäre es auch, dass dann entsprechende Bußgelder für die Unternehmen auferlegt werden, wenn diese Maßnahmen nicht adäquat umgesetzt worden sind.

connect professional: Mit der NIS-2- Richtlinie kommen ja neue Sektoren beziehungsweise Bereiche hinzu. Können Sie vielleicht exemplarisch ein paar nennen?

Mielke: Hier müssen wir auch , denn im NIS-2-Umsetzungsgesetz gibt es ja wieder andere Begrifflichkeiten. Wenn ich mich wiederum an der NIS-2-Richtlinie orientiere, müssen wir unterscheiden zwischen den aktuellen KRITIS-Sektoren in Deutschland, die wir jetzt schon haben, plus neue Sektoren mit hoher Kritikalität und sonstigen kritischen Einrichtungen. Und hier gibt es dann wieder neue, zum Beispiel bei hohen kritischen, wie Trinkwasser, Abwasser, Verwaltung von IKT-Diensten oder Weltraum, was ganz neu hinzugekommen ist unter anderem. Und dann bei den sonstigen kritischen Sektoren im Anhang 2 der NIS-2-Richtlinie, da haben wir dann auch Post- und Kurierdienste, die darunterfallen, sowie Gewerbe und Waren, Forschung. Das ist die eine Schiene.

Dann müssen wir das Ganze noch unterteilen in Teilsektoren, was jeweils im Anhang 1 und 2 definiert ist. Darunter müssen auch wiederum noch mal weitere Richtlinien und Verordnungen berücksichtigt werden, ob dann das Ganze auch unter diesen Schwellenwert passt. Das ist natürlich ein weiterer Punkt. Heute haben wir zum Beispiel, wenn wir jetzt aktuell von KRITIS-Unternehmen nach § 8a BSIG sprechen, schon sehr definierte Zahlen, was Schwellenwerte angeht. Hier müssen wir wirklich unternehmensseitig denken: Falle ich mit meinem Unternehmen unter Anhang 1 der NIS-2-Richtlinie oder unter Anhang 2 in dem entsprechenden Sektor beziehungsweise dann im Teilsektor?

Ein Beispiel: Wenn man verarbeitendes Gewerbe und Herstellung von Waren aus dem Anhang 2 der kritischen Sektoren betrachtet, gibt es auch wieder verschiedene Unterteilungen in Herstellung von Medizinprodukten, Maschinenbau, auch Herstellung von Kraftwagen. Die fallen wiederum in diesen Sektor beziehungsweise in den Teilsektor. Und diesen Teilsektor muss man natürlich wieder prüfen. Falle ich denn auch unter diesen? Das zeigt: Das dauert natürlich Zeit und darüber müssen sich Unternehmen Gedanken machen.