NIS 2.0 – Neue Vorschriften zur Cybersicherheit in der EU

Bereits im Jahr 2021 erließ das Weiße Haus einen Durchführungsbeschluss, der US-Bundesbehörden dazu verpflichtete, einen Plan zur Einführung einer Zero-Trust-Architektur zu erarbeiten. Darauf folgte ein Memorandum mit der Vorgabe, bis Ende 2024 konkrete Zero-Trust-Sicherheitsziele zu erreichen.

Wie Sie möglicherweise wissen, hat die US-Börsenaufsichtsbehörde SEC (Securities and Exchange Commission) im vergangenen Jahr in den Vereinigten Staaten neue Vorschriften erlassen, die börsennotierte Unternehmen dazu verpflichten, schwerwiegende Cybersicherheitsvorfälle offenzulegen. Zweifel an der Durchsetzungskraft dieser Vorschriften ließ die SEC gar nicht erst aufkommen: Erste Strafverfolgungen haben bereits stattgefunden.

In den USA bewegt sich also derzeit einiges – doch nicht nur dort drängen politische Entscheidungsträger auf die Einführung von Zero-Trust-Prinzipien oder schreiben diese sogar vor. In diesem Jahr wird die Europäische Union ihre Richtlinie für die Sicherheit von Netzwerk- und Informationssystemen (NIS) überarbeiten und verschärfen. Wie groß die Reichweite von EU-Vorschriften sein kann, hat sich in der Vergangenheit bereits durch die Einführung der Datenschutz-Grundverordnung gezeigt.

NIS 2.0

Die Richtlinie NIS 2.0 tritt im Oktober 2024 in Kraft und verpflichtet Leitungsorgane innerhalb von Organisationen bestimmter Kategorien, Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit zu implementieren. Die betroffenen Kategorien umfassen:

• Energie
• Transportwesen
• Bankwesen
• Finanzmarktinfrastruktur
• Gesundheit
• Trinkwasser
• Abwasser
• Digitale Infrastruktur
• ICT-Service-Management (B2B)
• Öffentliche Verwaltung
• Leerzeichen
• Post- und Kurierdienste
• Abfallwirtschaft
• Herstellung, Produktion und Vertrieb von Chemikalien
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Herstellung
• Anbieter digitaler Dienste
• Recherche

Anhand der Übersicht wird deutlich, dass sich die Richtlinie auf kritische physische und digitale Infrastruktur in den EU-Mitgliedstaaten konzentriert. Dennoch ist ihr Einfluss groß. Sie gilt nicht nur für Organisationen innerhalb der EU, sondern für alle Organisationen weltweit, die Dienstleistungen für einen der geschützten Sektoren innerhalb der EU erbringen. Wie bei den SEC-Richtlinien treten strenge Vorgaben für die zeitnahe Meldung von Vorfällen in Kraft.

Die Peitsche …

Bis hierhin ist deutlich geworden, worum es geht: Regierungsbehörden in Regionen mit Hunderten Millionen Einwohnern haben erkannt, dass das Risiko unzureichender Cybersicherheitsmaßnahmen so groß ist, dass strenge Vorschriften und sogar schwere Strafen gerechtfertigt sind. Das Zuckerbrot lockt schon seit vielen Jahren – jetzt folgt die Peitsche.

… zum Zuckerbrot

Was aber ist in diesem Szenario das Zuckerbrot? Was sind die positiven Aspekte einer Stärkung der Sicherheitsmaßnahmen? In erster Linie folgt daraus natürlich ein reduziertes Risiko von Cyberangriffen und eine gestärkte Compliance. Doch bringt es noch zusätzlichen Nutzen? Durch die Implementierung robuster Cybersicherheitsmaßnahmen ergeben sich für Organisationen erhebliche Vorteile bei Kostensenkung, Wettbewerbsfähigkeit, Geschäftskontinuität und Kundenvertrauen. Das ist deutlich mehr als ein Zuckerbrot.

Für die nötige Unterstützung ist gesorgt. Die Richtlinie NIS 2.0 selbst enthält klare Leitlinien zur Verbesserung Ihres Cybersicherheitsstatus. Es dürfte kaum überraschen, dass als erste Maßnahme zur Verbesserung der Cyber-Hygiene die Einführung von Zero-Trust-Prinzipien empfohlen wird. Tatsächlich wird Zero Trust bei der Auseinandersetzung mit diesen langwierigen regulatorischen und rechtlichen Anforderungen immer wieder als das Maß aller Dinge angeführt, das es anzustreben gilt.

„User sollten sich bei Anwendungen anmelden, nicht bei Netzwerken“

Unterstützung erhalten Sie auch von Zscaler, wo seit 2007 die Eckpfeiler der Zero-Trust-Architektur entwickelt und erstellt werden. Wenn Sie mit jemandem über die Implementierung von Zero Trust und die Einhaltung gesetzlicher Vorschriften in Ihrer Branche sprechen möchten, nehmen Sie Kontakt zu uns auf. Alternativ können Sie an einem unserer monatlichen Einführungswebinare teilnehmen, um mehr zu erfahren und ihre Fragen zu stellen. Klicken Sie hier und suchen Sie nach „Beginnen Sie hier“, um die nächste Session zu finden und sich dafür anzumelden.