NIS2 kommt – und betrifft dabei deutlich mehr Unternehmen als bisher, stellt höhere Anforderungen und steigert den Durchsetzungsdruck. In unserem Video erläutern unsere Experten Sebastian Nipp und Gerardo Immordino die EU-Cybersicherheitsrichtlinie, geben konkrete Tipps für die Umsetzung und zeigen auf, warum NIS2 nicht nur eine Verpflichtung ist, sondern die Umsetzung der geforderten Maßnahmen einige Vorteile mit sich bringt. Zur optimalen Vorbereitung auf NIS2 finden Sie am Ende des Beitrags außerdem unsere kostenlose Checkliste zum Download.
Bis 17. Oktober 2024 muss die sogenannte "Network and Information Systems Directive 2 (NIS2)" in nationales Gesetz umgewandelt und anschließend rechtsverbindlich von betroffenen Unternehmen umgesetzt werden. Sie wird die Richtlinie (EU) 2016/1148 (NIS-Richtlinie) aufheben und damit die bisher umfassendste europäische Cybersicherheitsrichtlinie sein. Ziel der NIS2-Richtlinie ist es, die Anforderungen an die Cybersicherheit und ihre Durchsetzung in den EU-Mitgliedstaaten zu harmonisieren, indem ein Maßstab für Mindestmaßnahmen festgelegt wird. Diese Standards sollen:
- Sicherheit und Integrität von Netzwerken und Informationssystemen in der EU stärken
- Widerstandsfähigkeit von Netz- und Informationssystemen in der Europäischen Union gegenüber Cyberbedrohungen erhöhen
NIS2 baut auf früheren Rechtsvorschriften wie NIS1 und DSGVO auf, ergänzt diese jedoch um neue, höhere Anforderungen. Im Vergleich zu bestehenden Gesetzen und Kontrollrahmen legt NIS2 einen stärkeren Schwerpunkt auf Sicherheit und Geschäftskontinuität, einschließlich der Sicherheit der Lieferkette. Dadurch werden deutlich mehr Unternehmen als zuvor in die Pflicht genommen (160.000) - z.B. auch Schweizer Unternehmen, die zwar nicht direkt von der EU-Gesetzgebung betroffen, aber in oder mit der EU tätig sind.
NIS2: Wir fragen, unsere Experten antworten
NIS2 stellt neue, höhere Anforderungen. Wie genau sehen diese aus? Wie gehen Unternehmen die Umsetzung der Richtlinie am besten an? Und welche Vorteile hat es, die geforderten Maßnahmen umzusetzen, statt sie nur als Verpflichtung zu betrachten? Diese und weitere Fragen rund um NIS2 beantworten unsere Expertem Sebastian Nipp und Gerardo Immordino in unserem Video. Außerdem verraten Sie Ihre Top Tipps zur optimalen Vorbereitung!
Wen betrifft NIS2 und was passiert bei Verstößen?
Die NIS2-Richtlinie identifiziert 18 kritische Sektoren (hohe Kritikalität und sonstige kritische Sektoren). Unternehmen mit mindestens 50 Mitarbeitenden sowie einem Jahresumsatz von mindestens 10 Mio. € sind betroffen. Je nach Größe und Umsatz des Unternehmens sind unterschiedlich hohe Anforderungsgrade möglich.
|
|
Bei Verstößen gegen die NIS2-Richtlinie sind vor allem Sanktionen in Form von Geldbußen vorgesehen – die Strafe richtet sich jeweils danach aus, welcher Betrag höher ist:
- Bei Unternehmen mit hoher Kritikalität: Strafe bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes
- Bei Unternehmen aus dem kritischen Sektor: Strafen von bis zu 7 Mio. € oder 1,2 % des weltweiten Umsatzes
Außerdem ist zu beachten, dass das Management haftbar ist und bei Missachtung der Richtlinie zur Verantwortung gezogen werden kann, z.B. durch ein vorübergehendes Verbot der Ausübung von Führungsaufgaben. Der aktuelle Referentenentwurf sieht sogar vor, dass Managementorgane mit ihrem privaten Vermögen für Verstöße haften müssen.
Welche Anforderungen legt NIS2?
Neben einer Benchmark für Mindestmaßnahmen legt NIS2 auch klare Richtlinien für die Meldung von Sicherheitsvorfällen und potenziellen Schwachstellen fest. Sie weist Unternehmen an, einen Plan für den Umgang mit Sicherheitsvorfällen und das Management des Geschäftsbetriebs während und nach einem Sicherheitsvorfall zu erstellen. Die konkreten Anforderungen umfassen folgende vier Ziele und entsprechende Prinzipien:
Sicherheitsrisiko verwalten
Governance, Risikomanagement, Assetmanagement, Lieferkettenmanagement
Schutz vor Cyberangriffen
u.a. Richtlinie und Verfahren zum Schutz von Diensten, Identitäts- und Zugangskontrolle, Datensicherheit
Cybersicherheitsvorfälle erkennen
Sicherheitsüberwachung, proaktive Erkennung von Sicherheitsereignissen
Auswirkungen von Vorfällen minimieren
Reaktions- und Wiederherstellungsplan, gelernte Lektionen
Die Meldepflicht für Vorfälle sieht wie folgt aus:
Meldung von Vorfällen
Meldung von Vorfällen mit erheblichen Auswirkungen auf die Erbringung von Dienstleistungen innerhalb von 24 Stunden
Bericht
Meldung eines ausführlichen Berichts innerhalb von 72 Stunden
Abschlussbericht
Meldung eines Abschluss- und Fortschrittberichts innerhalb eines Monats
Die Zeit rennt: Bis Ende Q4/2024 müssen Unternehmen NIS2 umgesetzt haben. Sie wissen bereits, dass Ihr Unternehmen von der neuen EU-Richtlinie betroffen ist und wollen nun starten? Unsere kostenlose Checkliste zeigt Ihnen anhand einer konkreten Roadmap, wie Sie sich in 8 Schritten optimal auf die Umsetzung von NIS2 vorbereiten.
Sie können die Checkliste aber auch gerne nutzen, wenn Sie nicht direkt von NIS2 betroffen sind – sie bildet generell eine gute Grundlage für mehr Cybersecurity in Ihrem Unternehmen.
Unsere Experten
Sebastian Nipp ist seit 2023 Leiter der Business Unit Cloud Security & Infrastructure und bereits seit 2011 bei der novaCapta GmbH tätig, unter anderem als Head of Microsoft Dynamics. In seiner aktuellen Rolle konzentriert er sich auf folgende Themen: Aufbau + Nutzung von M365 sowie der Azure Infrastruktur und die Absicherung der Plattform mittels Microsoft Cyber Security Produkte.
Sebastian Nipp hat rund zweieinhalb Jahre lang einen Großkunden mit über 60.000 Mitarbeitenden betreut und das Unternehmen intensiv auf dem Weg zu Microsoft 365 zum Erfolg geführt. Diese Erfahrung hat seine Begeisterung für IT-Infrastruktur und das Potenzial von M365-Produkten, besonders im Bereich Security, geweckt.
Sebastian Nipp
Gerardo Immordino ist seit Mai 2024 Geschäftsführer der novaCapta Schweiz AG. Zuvor war er bereits als Leiter der von ihm gegründeten Business Unit Managed Modern Endpoint für die novaCapta tätig. Er und sein internationales Team (Schweiz, Deutschland und Lettland) haben langjährige Erfahrung und umfassende Kenntnisse auf den Gebieten Endpoint-, Azure Management und Security und unterstützen Kunden bei operativen sowie strategischen Herausforderungen in diesem Bereich.
Gerardo Immordino hat zudem viele Jahre Erfahrung in der Beratung, Umsetzung sowie im Betrieb und Support von Microsoft-Lösungen und war an der erfolgreichen Leitung und Durchführung von komplexen Projekten in verschiedenen Branchen und Bereichen beteiligt.
Gerardo Immordino
Erfahren Sie mehr
NIS2-Richtlinie: Das müssen Sie wissen
NIS2 Compliance Navigator
Security Awareness für mehr mehr Schutz vor Cyberangriffen
IPG
DORA: Stärkung der Resilienz im europäischen Finanzwesen
IPG
Cybersecurity Evolution: NIS-2
Eine Frage des Frameworks
99% der Cyberangriffe abwehren: Mit den richtigen Maßnahmen
TIMETOACT
EU-Nachhaltigkeitsrichtlinie (CSRD) – das müssen Sie wissen!
IPG
Neues Datenschutzgesetz – Schutz vor Sanktionen dank IAM
Whitepaper: Endpoint Management & Protection
IPG
IAM-Projekt – 360 Grad Assessment
IPG
Identity Provider – ein Schlüssel für viele Schlösser
IPG
IAM-Prozesse – Betrachtungswinkel und Prozesssichtweisen
Das Einmaleins zum Aufbau eines Intranets
IT: Schlüssel zum erfolgreichen Nachhaltigkeitsmanagement?!
Vorschau: IT-Trends 2024 - Teil 1
Vorschau: IT-Trends 2024 - Teil 2
Was Sie von Copilot erwarten können – und was nicht
Best Practices für Copilot for Microsoft 365
TIMETOACT
Amazon EC2: Instanz und Preismodell richtig wählen
TIMETOACT startet mit Implementierung von Envizi ESG Suite
IPG
Verringerung von Cyberrisiken: Was ist versicherbar?
TIMETOACT GROUP
IT-Governance als Wegbereiter für Operational Excellence
Interview: Wie Unternehmen Cyber Security herstellen
Automatisierter Testing Prozess mit Power Apps
Dokumentenmanagement mit GPT optimieren
Microsoft Fabric: Für wen sich der Einstieg lohnt
IPG
Digitale Identitäten als Ausweis
Mit Microsoft Copilot in die Zukunft des Arbeitens
Arbeitsgewohnheiten analysieren mit Viva Insights
10 Must-haves im Change Management
So gelingt die Reise in die Cloud
Whitepaper: Microsoft 365 Governance mit AvePoint
TIMETOACT
So einfach sparen Sie mit IBM Turbonomic IT-Kosten!
Vorteile und Umsetzung eines Single-Point-of-Truths
Union Investment: Integrierte Governance in M365
Barrierefreiheit richtig umsetzen
Die Bedeutung einer Governance
Microsoft 365 Cloud Governance E-Book
TIMETOACT
10 Gründe für Managed Services mit edcom
Kissling + Zbinden: Zentrales Arbeiten in «Projektraum 365»
Fehler in der Entwicklung von KI-Assistenten
8 Tipps für ein erfolgreiches Automatisierungsprojekt
Eventreihe: KI Governance
IPG
Berechtigungen mit Hilfe künstlicher Intelligenz
TIMETOACT
Amazon EC2: Performance richtig messen und optimieren!
IPG
Der Weg in die Cloud: Optimierung Ihres IAM
TIMETOACT
Elastic Block Storage: Performance und Kosten optimieren
TIMETOACT
Data Lake vs Data Warehouse: Welche Lösung ist die Richtige?
TIMETOACT
AWS Cloud: So optimieren Sie Ihre Kosten mit IBM Turbonomic!
IPG
Access Management – es betrifft uns mehr, als wir glauben!
TIMETOACT
Kleine Einführung ins Thema Softwarelizenzen
IPG
Zero Trust dank modernem Authorization Management
IPG
Die schlaue Seite der Identity und Access Governance
IPG
Sicherer Zugriff von Extern ohne VPN
TIMETOACT
HCL Connections 8 ist jetzt verfügbar
TIMETOACT
Unternehmensprozesse digitalisieren – am besten mit Low-Code
TIMETOACT
Welches Low-Code-Tool ist das richtige für mein Unternehmen?
In 8 Schritten zu KI-Innovationen im Unternehmen
8 Tipps zur Entwicklung von KI-Assistenten
TIMETOACT GROUP
Lizenzmanagement
TIMETOACT GROUP
Effiziente Lizenznutzung bei Heras
TIMETOACT GROUP
Artificial Intelligence – No more experiments?!
TIMETOACT GROUP
Wie hoch sind Ihre technischen Schulden?
Microsoft Security und Rapid Cyberattack Assessment
TIMETOACT
Azure Cloud: Kosten mit IBM Turbonomic optimieren!
Microsoft Security Remediation Service
Conditional Access für volle Kontrolle bei Datenzugriffen
Microsoft Solution Assessment Cloud Security
Microsoft Cyber Security Assessment
DMARC-Authentifizierung wird zum verbindlichen Standard
Informationssicherheit mit Azure Information Protection
"Ein Intranet ist keine Nebentätigkeit"
Managed SOC
Security, Identity & Access Governance
Cloud Landing Zones: Sicher landen in der Public Cloud
Passwörter heute – der Status quo
Security & Compliance
Standardisiertes Endpoint Management mit Microsoft Intune
Interview zum Power Platform Center of Excellence
Roadmap zu digitalen Produkten
Kleine Geschichte des Passworts
Identity & Access Management
Managed Service Support für Stabilität zentraler Plattform
M365 Tenant Security Workshop
Assessment für Modern Managed Services
Computer Aided Cloud Transformation
Active Directory Domain Services Health Check
BSI: Sicherheitswarnung für 17.000 Exchange-Server
Microsoft 365 Backup mit der novaCapta
Azure Virtual Desktop und Windows 365
Die Awareness kommt mit dem ersten Cyberangriff
Microsoft Data Security Engagement
Microsoft Sentinel Engagement
