NIS-2-Umsetzung gescheitert – Firmen sollten trotzdem handeln
Die Umsetzung der EU-Richtlinie NIS-2 in Deutschland ist vorerst gescheitert. »Die Bedrohung durch Cyberangriffe wächst, und die NIS-2-Richtlinie gilt in der EU bereits. Wer jetzt nicht handelt, riskiert nicht nur Strafen, sondern auch gravierende Sicherheitslücken«, erklärt Florian Korhammer, CISO bei Retarus, im folgenden Kommentar.
Die Umsetzungsfrist wird weiter überschritten. Nach der Bundestagswahl wird die neue Bundesregierung einen komplett neuen, zweiten Anlauf nehmen müssen. Während die Politik scheitert, verdeutlichen steigende Bedrohungen durch Cyberangriffe mehr denn je, warum Unternehmen mit der Umsetzung nicht auf klare Vorgaben aus Berlin warten sollten. Denn auch ohne ein neues nationales Gesetz gilt die NIS-2-Richtlinie bereits in der EU. Wer jetzt nicht handelt, riskiert neben Strafen auch massive Sicherheitslücken.
Die aktuelle Lage
Besseres Schwachstellen- und Risikomanagement, ein verschärftes Meldewesen, State-of-the-Art-Bedrohungserkennung – NIS-2 ist ein hochkomplexes Werk mit einem wichtigen Ziel: die Cyber-Resilienz des europäischen Gemeinwesens zu fördern. Angesichts der sich international verschärfenden Bedrohungslage ist die Richtlinie überfällig. Jetzt kommt es darauf an, dass die betroffenen Unternehmen und Institutionen die Anforderungen zügig und gewissenhaft umsetzen – ohne zu schludern.
Bisher sieht es bei der Umsetzung der NIS-2-Richtlinie eher durchwachsen aus. Kaum einer der 27 Mitgliedstaaten konnte die neue Richtlinie bisher vollständig implementieren, auch wenn einige Länder mittlerweile einen durchaus respektablen Reifegrad erreicht haben. Für die Säumer auf der anderen Seite gibt es zwar noch einen zweimonatigen Gnadenaufschub. Der sollte die Mitglieder jedoch nicht dazu verleiten, ihre Hausaufgaben diesbezüglich zu vernachlässigen und jetzt nachzulassen. Immerhin geht es hier um das Wohl und die Sicherheit der europäischen Gemeinschaft, weshalb nicht nur die Drohung durch etwaige Compliance-Strafen, die Streichung von Fördergeldern oder der eigene finanzielle Schaden ein Motivator sein sollte, sondern auch das Bestreben, diese Güter zu schützen. Kritische Infrastruktur verlangt im Anbetracht der stetig steigenden Bedrohungslage eine höhere Cyber-Resilienz.
Ist NIS-2 zu anspruchsvoll?
Die Anforderungen von NIS-2 sind sinnvoll und realistisch umsetzbar, darin sind sich fast alle Sicherheitsexperten einig. Auch das Ziel, die allgemeine Cyber-Resilienz europäischer Institutionen und Lieferketten durch ein verbessertes Risiko- und Schwachstellenmanagement sowie Meldewesen zu stärken, ist lobenswert. Angesichts der aktuellen Bedrohungslage reichen punktuelle Cybersicherheitsmaßnahmen nicht aus, vielmehr ist ein ganzheitlicher Ansatz erforderlich. Idealerweise gäbe es dazu globale Initiativen, aber eine EU-weit einheitliche Strategie für mehr Cyber-Resilienz ist zumindest ein guter Anfang.
NIS-2 sorgt für einheitliche Sicherheitsstandards und höhere Cyber-Resilienz
Viele wollen von NIS-2 nichts mehr hören, scheint das Thema doch in den letzten Jahren ausreichend in die Öffentlichkeit getragen worden zu sein. Umso wichtiger ist es jetzt zu betonen, dass es sich bei der Richtlinie nicht um eine ineffiziente EU-Bürokratie handelt, wie manche Schwarzmaler behaupten. Sie enthält sinnvolle Mindeststandards, die zu einer EU-weiten Angleichung der Cyber-Resilienz führen.
Um kritische Infrastrukturen und ihre Bürger zu schützen, müssen die Mitgliedstaaten an einem Strang ziehen und vergleichbare Standards einführen. Nur so lässt sich garantieren, dass geschäftskritische Prozesse auch in Krisenzeiten funktionieren, was in vielen Branchen nicht nur eine unternehmerische, sondern auch eine moralische Verpflichtung darstellt. Ein Kommunikationsausfall während einer wichtigen Operation beispielsweise hätte im wahrsten Sinne des Wortes fatale Folgen. Der Bundestag wird die Umsetzung von NIS-2 vor der Bundestagswahl nicht mehr beschließen. Unternehmen sollten nicht weiter abwarten und die Umsetzung von NIS-2 nicht als Pflichtübung, sondern als strategische Notwendigkeit betrachten. Um in Zukunft nicht unvorbereitet zu sein, sollten sich alle Verantwortlichen in Unternehmen und Institutionen noch einmal vor Augen führen, dass eine effektive Cyber-Resilienz nur durch gemeinsame Anstrengungen erreicht werden kann.