Die politische Einigung über das Gesetz zur Umsetzung der EU-Richtlinie NIS-2 und der Stärkung der Cybersicherheit noch vor der Bundestagswahl ist gescheitert. SPD, Grüne und FDP konnten sich nicht auf zentrale Punkte einigen. Damit bleibt über zwei Jahre nach der Verabschiedung der EU-Richtlinie die dringend notwendige gesetzliche Verschärfung aus. Die Umsetzungsfrist wird weiter überschritten. Nach der Bundestagswahl wird die neue Bundesregierung einen komplett neuen, zweiten Anlauf nehmen müssen.
Während die Politik scheitert, verdeutlichen steigende Bedrohungen durch Cyberangriffe mehr denn je, warum Unternehmen mit der Umsetzung nicht auf klare Vorgaben aus Berlin warten sollten. Denn auch ohne ein neues nationales Gesetz gilt die NIS-2-Richtlinie bereits in der EU. Wer jetzt nicht handelt, riskiert neben Strafen auch massive Sicherheitslücken.
Die aktuelle Lage
Besseres Schwachstellen- und Risikomanagement, ein verschärftes Meldewesen, State-of-the-Art-Bedrohungserkennung – NIS-2 ist ein hochkomplexes Werk mit einem wichtigen Ziel: die Cyber-Resilienz des europäischen Gemeinwesens zu fördern. Angesichts der sich international verschärfenden Bedrohungslage ist die Richtlinie überfällig. Jetzt kommt es darauf an, dass die betroffenen Unternehmen und Institutionen die Anforderungen zügig und gewissenhaft umsetzen – ohne zu schludern.
Bisher sieht es bei der Umsetzung der NIS-2-Richtlinie eher durchwachsen aus. Kaum einer der 27 Mitgliedstaaten konnte die neue Richtlinie bisher vollständig implementieren, auch wenn einige Länder mittlerweile einen durchaus respektablen Reifegrad erreicht haben. Für die Säumer auf der anderen Seite gibt es zwar noch einen zweimonatigen Gnadenaufschub. Der sollte die Mitglieder jedoch nicht dazu verleiten, ihre Hausaufgaben diesbezüglich zu vernachlässigen und jetzt nachzulassen.
Immerhin geht es hier um das Wohl und die Sicherheit der europäischen Gemeinschaft, weshalb nicht nur die Drohung durch etwaige Compliance-Strafen, die Streichung von Fördergeldern oder der eigene finanzielle Schaden ein Motivator sein sollte, sondern auch das Bestreben, diese Güter zu schützen. Kritische Infrastruktur verlangt im Anbetracht der stetig steigenden Bedrohungslage eine höhere Cyber-Resilienz. Die NIS-2-Verordnung ist dafür ein geeignetes Instrument – solange die Umsetzung nicht weiter lahmt und gewissenhaft erfolgt.
Die gescheiterten Gespräche in Deutschland verdeutlichen, dass sich Unternehmen nicht auf eine schnelle politische Lösung verlassen können. Umso wichtiger ist es, dass sie selbst aktiv werden und sich auf die Umsetzung von NIS-2 konzentrieren. Doch woran scheitert die erfolgreiche Umsetzung der neuen Verordnung?
Ist NIS-2 zu anspruchsvoll?
Die Anforderungen von NIS-2 sind sinnvoll und realistisch umsetzbar, darin sind sich fast alle Sicherheitsexperten einig. Auch das Ziel, die allgemeine Cyber-Resilienz europäischer Institutionen und Lieferketten durch ein verbessertes Risiko- und Schwachstellenmanagement sowie Meldewesen zu stärken, ist lobenswert. Angesichts der aktuellen Bedrohungslage reichen punktuelle Cybersicherheitsmaßnahmen nicht aus, vielmehr ist ein ganzheitlicher Ansatz erforderlich. Idealerweise gäbe es dazu globale Initiativen, aber eine EU-weit einheitliche Strategie für mehr Cyber-Resilienz ist zumindest ein guter Anfang.
Die meisten Unternehmen sind durchaus bereit, ihren Teil dazu beizutragen. Leider sind die Anforderungen naturgemäß sehr komplex. Sich durch den Dschungel der Vorschriften zu wühlen, sie zu verstehen und umzusetzen, erfordert Geduld. Hinzu kommt, dass sich viele Institutionen vor NIS-2 nur wenig mit den Themen auseinandergesetzt haben. Das verschärfte Meldewesen erfordert beispielsweise, dass nun ein Dienstleisterregister geführt und konkrete Prozesse für die Meldepflicht definiert werden müssen – beides wurde vor NIS-2 vielerorts viel zu wenig beachtet. Hinzu kommt das Aufkommen von KI-gestützten Cyberangriffsmethoden, die zusätzliche Komplexität verursachen.
Partner unterstützen bei der Compliance
Sollten Unternehmen verständlicherweise von der Komplexität und dem Aufwand und vielleicht auch dem Mangel an Inhouse-Expertise überfordert sein, bietet sich die Zusammenarbeit mit einem externen Dienstleister an. Mit einem breiten Dienstleistungsportfolio – von Kryptografie über Backup-Services bis zur Absicherung wichtiger Kommunikationskanäle – helfen sie Unternehmen, sich punktuell NIS-2-konform aufzustellen und geschäftskritische Prozesse wie Kommunikation und Wertschriftenhandel abzusichern.
Die Verantwortung kann durch eine solche Zusammenarbeit jedoch nicht abgeschoben werden. Die Unternehmen bleiben für das Management ihrer Sicherheitsinfrastruktur, die Sicherstellung der eigenen Cyber-Resilienz und die funktionierende Zusammenarbeit mit ihren Partnern verantwortlich.
Einheitliche Sicherheitsstandards und höhere Cyber-Resilienz
Viele wollen von NIS-2 nichts mehr hören, scheint das Thema doch in den letzten Jahren ausreichend in die Öffentlichkeit getragen worden zu sein. Umso wichtiger ist es jetzt zu betonen, dass es sich bei der Richtlinie nicht um eine ineffiziente EU-Bürokratie handelt, wie manche Schwarzmaler behaupten. Sie enthält sinnvolle Mindeststandards, die zu einer EU-weiten Angleichung der Cyber-Resilienz führen.
Um kritische Infrastrukturen und ihre Bürger zu schützen, müssen die Mitgliedstaaten an einem Strang ziehen und vergleichbare Standards einführen. Nur so lässt sich garantieren, dass geschäftskritische Prozesse auch in Krisenzeiten funktionieren, was in vielen Branchen nicht nur eine unternehmerische, sondern auch eine moralische Verpflichtung darstellt. Ein Kommunikationsausfall während einer wichtigen Operation beispielsweise hätte im wahrsten Sinne des Wortes fatale Folgen. Der Bundestag wird die Umsetzung von NIS-2 vor der Bundestagswahl nicht mehr beschließen. Unternehmen sollten nicht weiter abwarten und die Umsetzung von NIS-2 nicht als Pflichtübung, sondern als strategische Notwendigkeit betrachten. Um in Zukunft nicht unvorbereitet zu sein, sollten sich alle Verantwortlichen in Unternehmen und Institutionen noch einmal vor Augen führen, dass eine effektive Cyber-Resilienz nur durch gemeinsame Anstrengungen erreicht werden kann.
