Schritt für Schritt zur NIS-2-Konformität:

Der online CEO-Workshop am 10.10.2024 

Die NIS-2-Richtlinie ist ein entscheidender Schritt zur Stärkung der Informationssicherheit und betrifft viele Unternehmen 
– allerdings kommt sie auch mit einigen Herausforderungen daher, denn sie bringt erweiterte Pflichten für das Management in Bezug auf Informationssicherheit mit.  

Die NIS-2-Richtlinie führt nämlich eine neue persönliche Haftung der Leitungsorgane für die Durchführung von Cybersicherheitsmaßnahmen ein.  Und das bedeutet konkret, dass Vorstände und Geschäftsführer/innen persönlich haftbar sind, wenn ein Unternehmen die Anforderungen der Richtlinie nicht erfüllt und es zu einem Cyberangriff bzw. damit verbundenen Schaden kommt.

Unsere Veranstaltung bietet Ihnen einen kompakten Überblick über die neuen gesetzlichen Anforderungen und zeigt Ihnen, welche Maßnahmen Sie ergreifen müssen, um diese zu erfüllen.

In unserem Workshop werden unter anderem folgende Themen behandelt:

•    Die neue Gesetzeslage und ihre Auswirkungen auf Ihr Unternehmen.
•    Die persönlichen Verpflichtungen der Geschäftsleitung und die Anpassung des Bußgeldrahmens.
•    Erweiterte Melde- und Nachweispflichten 
•    sowie technische, operative und organisatorische Maßnahmen zur IT-Sicherheit.

Warum sollten Sie als CEO dabei sein?

Gemäß dem aktuellen Referentenetwurf des § 38 des angepassten BSI-Gesetzes sind die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen verpflichtet regelmäßig an Schulungen teilzunehmen. Darin sollen ausreichende Kenntnisse und Fähigkeiten im Bereich Risikoerkennung /-bewertung und -management erworben werden.

Und genau diese vermitteln wir in unserem Workshop – mit schriftlichem Nachweis für die erfolgreiche Teilnahme!

Unser Online-Workshop bietet Ihnen neben wertvollen Informationen zur neuen Gesetzeslage auch erste praktische Ansätze um Ihr Unternehmen optimal auf die NIS-2 Richtlinie vorzubereiten.

Ab Oktober 2024 ist die Umsetzung der Richtlinie gesetzlich verpflichtend. Nutzen Sie diese Gelegenheit, um wertvolle Insights zu gewinnen und Ihr Unternehmen bestmöglich auf die Zukunft der Informationssicherheit vorzubereiten – mit Teilnahmezertifikat als Nachweis.

NIS-2 als Chance: Wie Unternehmen von der neuen Sicherheitsrichtlinie profitieren können

Die Umsetzung der NIS-2-Richtlinie (Network and Information Systems Directive) bietet Unternehmen zahlreiche Vorteile, die über die bloße Einhaltung gesetzlicher Vorgaben hinausgehen:

1. Erhöhte Cybersicherheit

- Verbesserte Schutzmaßnahmen: Die Umsetzung von NIS-2 erfordert, dass Unternehmen ihre IT-Infrastruktur stärken, wodurch das Risiko von Cyberangriffen verringert wird.

- Früherkennung von Bedrohungen: Durch kontinuierliches Monitoring und verbessertes Risikomanagement können Bedrohungen frühzeitig erkannt und abgewehrt werden.

2. Stärkung des Vertrauens

- Vertrauenswürdigkeit bei Kunden und Partnern: Ein nachweislich hoher Sicherheitsstandard stärkt das Vertrauen von Kunden und Geschäftspartnern in das Unternehmen.

- Reputation: Unternehmen, die hohe Sicherheitsstandards einhalten, können sich als sichere und zuverlässige Partner am Markt positionieren.

3. Wettbewerbsvorteil

- Marktvorteil durch Compliance: Unternehmen, die frühzeitig und vollständig die NIS-2-Richtlinie umsetzen, können dies als Wettbewerbsvorteil nutzen und sich von Mitbewerbern abheben.

- Angebotsspektrum erweitern: Mit der Einhaltung der NIS-2 können Unternehmen neue Geschäftsfelder erschließen, die hohe Sicherheitsstandards voraussetzen.

4. Optimierung der Geschäftsprozesse

- Effizienzsteigerung: Die Implementierung von Sicherheitsmaßnahmen kann zur Optimierung von IT- und Geschäftsprozessen führen.

- Risikomanagement: Ein besseres Verständnis und eine strukturierte Herangehensweise an Risikomanagement können insgesamt zu effizienteren Geschäftsabläufen beitragen.

5. Rechtliche und finanzielle Vorteile

- Vermeidung von Strafen: Durch die Einhaltung der NIS-2-Richtlinie vermeiden Unternehmen potenzielle Bußgelder und rechtliche Konsequenzen.

- Finanzielle Stabilität: Verbesserte Sicherheitsmaßnahmen können das Risiko von finanziellen Verlusten durch Cyberangriffe verringern.

6. Förderung der Innovationsfähigkeit

- Technologische Fortschritte: Die Anforderungen der NIS-2 können Unternehmen dazu motivieren, in neue Technologien und Sicherheitslösungen zu investieren.

- Innovationskultur: Eine stärkere Fokussierung auf Cybersicherheit kann eine Kultur der kontinuierlichen Verbesserung und Innovation fördern.

7. Verbesserte Notfallreaktion und -wiederherstellung

- Notfallpläne und -übungen: Durch die NIS-2 werden Unternehmen dazu verpflichtet, Notfallpläne zu entwickeln und regelmäßig zu testen, was die Reaktionsfähigkeit bei Sicherheitsvorfällen verbessert.

- Wiederherstellungsfähigkeit: Schnelleres und effizienteres Wiederherstellen nach einem Vorfall minimiert Ausfallzeiten und schützt wichtige Geschäftsprozesse.

8. Zusammenarbeit und Informationsaustausch

- Netzwerke und Partnerschaften: Die NIS-2 fördert den Informationsaustausch zwischen Unternehmen und Behörden, was zu einer besseren Gesamtstrategie zur Bekämpfung von Cyberbedrohungen führt.

- Branchenübergreifende Zusammenarbeit: Der Austausch von Best Practices und Erfahrungen innerhalb der Branche und darüber hinaus kann zu einer kollektiven Erhöhung der Sicherheitsstandards führen.

Ist Ihr Unternehmen betroffen?

In der NIS2-Richtlinie der EU sind elf „wesentliche“ („Essential“) und sieben „wichtige“ („Important“) Sektoren bzw. Branchen gelistet, die von den neuen Regelungen betroffen sind.
 

In der Übersicht:

Betreiber wesentlicher Dienste (Essential Service Operators):

- mindestens 50 Mitarbeitende und/oder einem Jahresumsatz oder einer Jahresbilanzsumme von mindestens 10 Millionen Euro.

- Branchen: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und -verteilung sowie digitale Infrastruktur.

Betreiber Wichtige Dienste (Important Service Operators):

- mindestens 250 Mitarbeitende und/oder einem Jahresumsatz von mindestens 50 Millionen Euro oder einer Jahresbilanzsumme von mindestens 43 Millionen Euro.

- Branchen: Abwasser, öffentlicher Verwaltung, Weltraum, Lebensmittel, Chemikalien, Hersteller von Medizinprodukten, Post- und Kurierdienste, Abfallwirtschaft und Forschung.

Grundsätzlich gelten große und mittlere Unternehmen als von der NIS-2 erfasst.

Kleinunternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz unter 10 Millionen Euro sind normalerweise nicht betroffen.

Allerdings gibt es eine Ausnahme, wenn die Dienste des Unternehmens als besonders kritisch eingestuft werden. Bestimmte Dienste, wie z.B. die von Anbietern öffentlicher elektronischer Kommunikationsnetze oder Vertrauensdienste, unterliegen unabhängig von der Unternehmensgröße immer den Bestimmungen der NIS-2.

Maßnahmen zum Risikomanagement

Die NIS-2 verlangt von Unternehmen, dass sie angemessene Risikomanagementmaßnahmen ergreifen, um Sicherheitsvorfälle zu verhindern oder deren Auswirkungen zu minimieren. Diese Maßnahmen müssen technischer, operativer und organisatorischer Natur sein und dem aktuellen Risiko sowie dem Stand der Technik entsprechen. Dabei sind die Kosten, die Unternehmensgröße und die Wahrscheinlichkeit eines Sicherheitsvorfalls zu berücksichtigen.

Ein zentrales Element der NIS-2 sind die zehn spezifischen Mindestmaßnahmen, die Unternehmen erfüllen müssen. Diese umfassen unter anderem

• Risikoanalysen
• Backup-Management
• Notfallwiederherstellung
• Krisenmanagement
• Mitarbeiterschulungen in Cybersicherheit
• Sicherheitsmaßnahmen für die Lieferkette.

Unternehmen müssen ihre Lieferanten hinsichtlich ihrer Cybersicherheitsrisiken bewerten und sicherstellen, dass Vertragsbeziehungen mit Lieferanten vermieden werden, die bedeutende Cybersicherheitsbedenken aufweisen.

Die NIS-2 stellt sicher, dass Unternehmen effektive Strategien entwickeln, um ihre Dienste und die ihrer Kunden vor potenziellen Sicherheitsvorfällen zu schützen. Diese Maßnahmen sind zwar nun gesetzlich verpflichtend, helfen Ihnen aber darüber hinaus das Vertrauen der Kunden zu wahren, den Geschäftsbetrieb zu gewährleisten und den Fortbestand ihres Unternehmens zu sichern.

Fahrplan zur Umsetzung der NIS-2-Richtlinie in deutsches Recht

Die finale Gestaltung der deutschen NIS-2-Umsetzung ist noch nicht beschlossen. Der aktuelle Entwurf zeigt leichte Unterschiede bei den betroffenen Sektoren sowie den Unternehmensgrößen und Umsatz-/Bilanzgrenzen. In Deutschland könnten auch kleinere Unternehmen mit weniger als 50 Mitarbeitenden betroffen sein. Ein endgültiger Zeitplan für die Veröffentlichung aller Regelungen steht noch aus. Das deutsche NIS-2-Umsetzungsgesetz soll offiziell am 1. Oktober 2024 in Kraft treten und das bisherige BSIG ablösen. 

Beginnen Sie jetzt mit den NIS-2-Vorbereitungen, da die Zeit bereits knapp wird.

Wichtige Meilensteine der NIS-2-Richtlinie von der EU bis Deutschland:

• 27.12.2022: Veröffentlichung der europäischen NIS-2-Richtlinie im EU-Amtsblatt
• 16.01.2023: Inkrafttreten der europäischen NIS-2-Richtlinie
• April & Juli 2023: Erster und zweiter deutscher Referentenentwurf der NIS2-Umsetzung
• 27.09.2023: Dritter deutscher Entwurf (Diskussionspapier für den Dialog mit der Wirtschaft und Verbändeabstimmung)
• 07.05.2024: Veröffentlichung eines neuen Referentenentwurfs für das NIS2UmsuCG durch das Bundesministerium des Innern und für Heimat (BMI)
• Noch offen: Erwarteter weiterer Entwurf für das NIS2UmsuCG
• Noch offen: Verkündung des NIS2UmsuCG (IT-Sicherheitsgesetz 3.0), dem deutschen NIS2-Umsetzungsgesetz
• 01.10.2024: Geplantes Inkrafttreten des deutschen NIS2UmsuCG
• Spätestens 17.10.2024 (EU-Deadline): Vollständige Umwandlung der europäischen NIS-2-Richtlinie in deutsches Recht
• 18.10.2024 (EU-Vorgabe): Das deutsche NIS-2-Umsetzungsgesetz tritt in Kraft - Unternehmen müssen sich an die Vorschriften halten

Die Umsetzung von NIS-2 in Deutschland wird voraussichtlich verschoben. Viele Expertinnen und Experten zweifeln am Stichtag im Oktober und vermuten eine Verschiebung auf das Frühjahr 2025 oder später.

- Neue konkrete Daten zur Umsetzung waren zum Veröffentlichungszeitpunkt (Juli 2024) nicht verfügbar.
- Der letzte Bearbeitungsstand des Referentenentwurfs zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz bestätigt jedoch die Verschiebung.

Unternehmen, die demnächst als KRITIS-Unternehmen eingestuft werden, haben zwar etwas mehr Zeit, um die NIS-2-Anforderungen umzusetzen. 
Um optimal vorbereitet zu sein, sollten Unternehmen aber nicht auf den finalen deutschen Gesetzestext warten, sondern das Thema jetzt angehen. Denn Security-Maßnahmen einzuführen, kostet Zeit, und auf den letzten Drücker werden meist die Berater-Ressourcen knapp.