Die Umsetzung der EU-Richtlinie NIS2 steht aktuell im Fokus – doch Cybersecurity Compliance ist weitaus mehr als nur ein europäischer Rechtsakt. Wie sich das IT-Sicherheitsrecht in Deutschland und Europa angesichts zunehmender Cyberbedrohungen und einer immer stärkeren Abhängigkeit von digitaler Infrastruktur in diesem und im vergangenen Jahrzehnt entwickelt hat und welchen Weg wir in Richtung einer ganzheitlichen Cybersecurity Compliance gehen, beleuchtet Prof. Dr. Dennis-Kenji Kipker vom cyberintelligence.institute in seinem Einführungsvortrag.

Mit der europäischen NIS2-Richtlinie wird Cybersicherheit für rund 30.000 Unternehmen in Deutschland verpflichtend und nicht mehr nur für die bisherigen kritischen Infrastrukturen (KRITIS). Das betrifft auch Mittelständler aus Branchen wie Maschinenbau und Produktion, Herstellung und Handel mit chemischen Stoffen, wenn sie mehr als 50 Mitarbeitende haben und als wichtige oder besonders wichtige Einrichtungen gelten.

Was genau von NIS2 betroffene Unternehmen machen müssen, definiert in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG. Manuel Atug liefert den "Blick in den Maschinenraum" zum aktuellen Stand der NIS2-Umsetzung in Deutschland: Was sind die Anforderungen, welche Pflichten kommen auf die Unternehmen zu, welche Maßnahmen schreibt NIS2 vor, welche Fristen gelten – und wie findet man heraus, ob man betroffen ist?

Manuel Atug, Experte für die Sicherheit kritischer Infratrukturen, beantwortet Ihre Fragen.

Die zunehmende Komplexität und Vernetzung von IT-Infrastrukturen erfordert ein robustes und dynamisches Management der Informationssicherheit, um den steigenden Bedrohungen und gesetzlichen Anforderungen gerecht zu werden. Die NIS2-Verordnung fordert Organisationen dazu auf, ihre Sicherheitsmaßnahmen zu stärken und kontinuierlich weiterzuentwickeln. In diesem Kontext spielen das Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 und der IT-Grundschutz eine zentrale Rolle.

Der Vortrag beleuchtet das Zusammenwirken von ISMS, ISO 27001 und IT-Grundschutz im Hinblick auf die Anforderungen von NIS2. Er erläutert, wie diese Standards und Frameworks nicht nur dazu beitragen, die gesetzlichen Vorgaben zu erfüllen, sondern auch die Widerstandsfähigkeit und Sicherheit von IT-Systemen in einer sich schnell verändernden Bedrohungslandschaft zu verbessern. Durch die Integration dieser Ansätze können Organisationen eine ganzheitliche und effiziente Sicherheitsstrategie entwickeln, die sowohl den gesetzlichen Anforderungen entspricht als auch langfristig zur Cyber-Resilienz beiträgt.

Die Verabschiedung der NIS2-Richtlinie stellt Organisationen vor neue, strengere Cybersicherheitsanforderungen. Der Vortrag zeigt auf, wie Unternehmen ihre Incident-Response-Maßnahmen bzw. ihre Anforderungen an Dienstleister an die Vorgaben der NIS2-Richtlinie anpassen müssen, um sowohl die regulatorische Compliance zu gewährleisten als auch die Fähigkeit zur effektiven Bewältigung von Sicherheitsvorfällen zu stärken. Darüber hinaus wird auf mögliche Herausforderungen und die Zusammenarbeit mit externen Partnern und Behörden eingegangen.

30.000 Unternehmen im unmittelbaren Anwendungsbereich der NIS2 sollen es also sein - aber das ist nur die Spitze des Eisbergs: Sie verhalten sich nur dann richtlinienkonform, wenn sie auch bei ihren Dienstleistern und Lieferanten die Einhaltung derselben Cybersicherheitskriterien einfordern. Lieferkettensicherheit ist das Stichwort, unter dem künftig auch IT-Dienstleister und Zulieferer damit rechnen müssen, eng an die Leine genommen zu werden, auch wenn sie selbst gar nicht direkt von NIS2 betroffen sid. Aber wer unterliegt einer solchen mittelbaren Verpflichtung? Welche Anforderungen sind zu erfüllen? Und wie soll das nachgewiesen werden? Der Vortrag gibt denjenigen, die indirekt von NIS2 betroffen sind, Orientierung im Unterholz der Regulierung.