NIS2-Sensibilisierung: Cybersecurity-Verantwortlichkeit weitet sich auf wesentliche Sektoren aus

NIS2 steht für eine deutliche Ausweitung der Cybersecurity-Erwartungen in der gesamten Europäischen Union. Die EU-Mitgliedstaaten mussten die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen, und NIS2 löste das ursprüngliche NIS-Rahmenwerk ab dem 18. Oktober 2024 ab. (Digital Strategy)

Die Richtlinie gilt für einen deutlich erweiterten Kreis wesentlicher und wichtiger Einrichtungen in Sektoren wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Raumfahrt, Postdienste, Lebensmittel, Chemie, verarbeitendes Gewerbe und digitale Anbieter.

Die wichtigste Verschiebung betrifft die Verantwortlichkeit. NIS2 legt stärkeren Fokus auf die Verantwortung der Geschäftsleitung, Cyberrisiko-Governance, Incident-Reporting, Lieferkettensicherheit, Business Continuity, den Umgang mit Schwachstellen sowie technische und organisatorische Massnahmen.

Für viele Unternehmen liegt die Herausforderung nicht darin, zu verstehen, dass Cybersecurity wichtig ist. Die Herausforderung liegt darin, nachzuweisen, dass Cybersecurity in Governance, Betrieb, Lieferanten, Prozesse und Incident Response eingebettet ist.

Das Bewusstsein für NIS2 sollte mit dem Scoping beginnen. Fällt das Unternehmen direkt in den Anwendungsbereich? Ist es indirekt betroffen, über Kunden, Aufsichtsbehörden, Verträge oder Erwartungen in der Lieferkette? Sobald das geklärt ist, können Unternehmen einen praxisnahen Readiness-Plan festlegen, der Governance, Risikobewertung, Kontrollausbau, Incident-Reporting, Resilienz und Nachweismanagement abdeckt.

Kernaussage: Bei NIS2 geht es nicht nur um technische Kontrollen. Es geht um organisatorische Verantwortlichkeit für die Sicherheit und Kontinuität wesentlicher Dienste.