„Im Zuge der Umsetzung von NIS2 müssen Unternehmen ihre Systeme und Prozesse auf den Prüfstand stellen. Ziel ist eine robuste IT-Architektur, die den Geschäftsbetrieb und die interne Kommunikation auch im Notfall sicherstellt“, sagt Christian Garske, Business Director IT-Security & Privacy bei Lufthansa Industry Solutions (LHIND). Bei Nichteinhaltung von NIS2 drohen künftig Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes. Eine Besonderheit der neuen Richtlinie ist, dass Geschäftsführer oder Vorstände nun auch persönlich für mögliche Verstöße haftbar gemacht werden können.
Nachlässigkeiten in deutschen Unternehmen
Sicherheitsexperte Garske rät zu einer Kombination aus technischen Lösungen und der Sensibilisierung der Mitarbeitenden: „Unsere Umfrage unter mehr als 1.000 Arbeitnehmerinnen und Arbeitnehmern offenbart Nachlässigkeiten in deutschen Unternehmen und zeigt auch, dass die tatsächliche Bedrohungslage unterschätzt wird. Zwar identifizieren zwei Drittel der Befragten Unachtsamkeit und Unwissenheit als die größte Schwachstelle im Unternehmen. Dennoch hält die Hälfte der Befragten einen Cyberangriff auf das eigene Unternehmen für unwahrscheinlich.“
Doch Sorglosigkeit ist weder bei den Mitarbeitenden noch beim Management angebracht. Laut den jüngsten Zahlen des Branchenverbands Bitkom ist 2022 bereits mehr als jedes zweite Unternehmen in Deutschland von digitaler Sabotage betroffen gewesen. Der jährliche Gesamtschaden beläuft sich demnach schon jetzt auf mehr als 200 Milliarden Euro. Eine Situation, die sich laut LHIND-Berater Garske in den kommenden Jahren eher noch verschärfen dürfte.
EU drängt mit NIS2 auch Mittelständler zum Umdenken und Handeln
„Die ursprüngliche NIS-Richtlinie von 2016 war ein Meilenstein, zielte jedoch auf Großunternehmen und Betreiber kritischer Infrastrukturen ab. Da Cyberkriminalität aber die Stabilität des gesamten Wirtschaftssystems bedroht, hat die EU die Verordnung auf mehr Branchen und Unternehmensgrößen ausgeweitet", so Christian Garske.
Im Rahmen von NIS2 müssen auch mittelständische Unternehmen ab 50 Mitarbeitenden noch in diesem Jahr wirksamere Maßnahmen gegen IT-Angriffe ergreifen. Dazu gehören laut Garske Risikoanalysen, Krisenmanagement, Datensicherung, Zugangskontrollkonzepte und Mitarbeiterschulungen: „Die Verantwortung für diese Maßnahmen kann nicht mehr uneingeschränkt an IT-Abteilungen oder Dienstleister delegiert werden, die Geschäftsführung muss selbst aktiv werden und ihre Kontrollaufgaben wahrnehmen.“
