Matthias Röhr, VP Sales & Business Development (DACH) bei aDvens (Copyright: aDvens)
Ein mittelgroßes Unternehmen mit niedrigem Schutzniveau muss für die Umsetzung von NIS2 mit Investitionen von mehr als einer Million Euro rechnen
„Die Umsetzung von NIS2 ist ein komplexer Prozess, der Zeit und Ressourcen erfordert, um die Anforderungen zu erfüllen. Unternehmen sollten jetzt unbedingt den Stand ihrer aktuellen NIS2-Compliance bewerten, einen Plan zur Umsetzung der Richtlinie erstellen und in Ressourcen und Technologien investieren. Für ein mittelgroßes Unternehmen mit einem niedrigen Schutzniveau und Reifegrad könnte das Aufholen von Rückständen eine Investition von mehr als einer Million Euro bedeuten. Allerdings fangen nicht alle Organisationen bei null an. Wenn ein Unternehmen bereits 15 bis 20 Prozent seines IT-Budgets für Cybersicherheit aufwendet und klug eingesetzt hat, dürfte das erforderliche zusätzliche Budget nicht sehr hoch sein. Hat ein Unternehmen aber in den letzten fünf Jahren beispielsweise nur zehn Prozent des IT-Budgets für Cybersicherheit aufgewendet, muss es nun aufgrund von NIS2 seine jährlichen Cybersecurity-Ausgaben verdoppeln und gleichzeitig einmalig eine größere Summe investieren, um den Rückstand aus fünf Jahren aufzuholen. Daher sollten Unternehmen jetzt prüfen, welche Investitionen in diesem Jahr auf sie zukommen.“
Elmar Albinger, Regional Sales Director bei AlgoSec (Copyright: David Garb)
NIS2 hebt unter dem Schlagwort Cyberhygiene die Wichtigkeit von Zero-Trust-Grundsätzen und Netzwerksegmentierung hervor
„NIS2 weitet die Anforderungen an die IT-Sicherheit von Einrichtungen und Unternehmen deutlich aus. Gleichzeitig fallen durch die Gesetzesnovelle mehr Bereiche unter die Regelungen als zuvor. Ein wichtiges Stichwort der Richtlinie ist die Cyberhygiene, zu der Einrichtungen verpflichtet werden. Neben regelmäßigen Software-Updates und Schulungen für Mitarbeiter gegen Cyberbedrohungen wie Phishing und Social Engineering unterstreicht die Richtlinie die Wichtigkeit von Identitäts- und Zugriffsmanagement, Zero-Trust-Grundsätzen und Netzwerksegmentierung. Gerade die Mikro-Segmentierung von Netzwerken kann die immer größer werdende Gefahr eines Ransomware-Angriffs durch restriktive Filterrichtlinien effektiv eindämmen, wenn Angreifer daran gehindert werden, sich auf ein benachbartes Segment auszubreiten. Sie leistet damit einen nicht zu unterschätzenden Beitrag für die Cyberhygiene eines Unternehmens.“
Jochen Sauer, Architect & Engineering Manager bei Axis Communications (Copyright: Axis Communications)
Mit NIS2 muss sowohl Cyber- als auch physische Sicherheit neu gedacht werden – und zwar als intelligent vernetztes System
„Verantwortliche, die vor dem Hintergrund von NIS2 Sicherheitslösungen planen, umsetzen und betreiben, müssen sicherstellen, dass diese nicht nur den heutigen Anforderungen an physische und Cybersicherheit entsprechen, sondern sich auch an zukünftige Herausforderungen anpassen lassen. Konkret bedeutet dies, dass sie die Lösung als Teil eines komplexen, vernetzten Systems verstehen müssen, nicht als eine Einzellösung neben anderen Einzellösungen. Denn selbst wenn eine bestimmte Komponente eines Systems, beispielsweise Netzwerk-Kameras, nicht als für das System kritisch eingestuft wird, kann diese dennoch eine Schwachstelle enthalten, über die ein Angreifer einen Angriff auf andere, kritische Komponenten starten kann. Dies bedeutet, dass auch Technologien für die physische Sicherheit im Rahmen der NIS2-Richtlinie gründlich evaluiert und neu bewertet werden müssen, um mögliche Risiken aufzuzeigen.“
Henrik Nitsche, Security Solution Manager bei Jamf (Copyright: Jamf)
Die Anforderungen von NIS2 lassen sich nur durch sicheres Gerätemanagement vollständig erfüllen
„Mit der NIS2-Richtlinie schärft die EU den Anforderungskatalog an Unternehmen hinsichtlich IT-Sicherheit signifikant. Die Sicherheit und der Schutz von Endgeräten stellen dabei oftmals einen blinden Fleck dar, da die Prioritäten der Verantwortlichen typischerweise primär auf Systemen und Software liegen. Ohne bestmöglich abgesicherte Endgeräte sind jedoch auch diese geschäftskritischen Systeme weiterhin gefährdet, da Angreifer über die ungesicherten Endgeräte die übrigen Schutzmaßnahmen umgehen können. Viele der Anforderungen, die mit der NIS2-Richtlinie auf Unternehmen zukommen, lassen sich also nur dann realistisch erfüllen, wenn die Sicherheitsverantwortlichen zu jeder Zeit den vollen Überblick darüber haben, was auf ihren Geräten und in ihren Systemen passiert. Das bedeutet, dass Lösungen für die sichere Bereitstellung, den kontinuierlichen Schutz sowie die umfassende Verwaltung von Geräteflotten in Zukunft noch wichtiger werden, um ein entsprechendes Level an Transparenz zu gewährleisten und die NIS2-Anforderungen zu erfüllen.“
Pieter Arntz, Malware Intelligence Researcher bei Malwarebytes (Copyright: Pieter Arntz)
NIS2 muss mit den Entwicklungen der Cybersicherheitslandschaft Schritt halten
„Die NIS2-Richtlinie legt einen verbindlichen Mindeststandard fest, welche Organisationen und Entitäten als essenziell gelten sollen. Dies ist grundsätzlich eine positive Entwicklung, da auf diese Weise der Schutz dieser gezielter und damit effektiver gestaltet werden kann. Wie bei allen Gesetzen und Regulationen besteht jedoch auch in diesem Fall die Gefahr, dass sie schon bald nicht mehr den neuesten Stand der Cybersicherheitsforschung abbildet. Die Cybersicherheitslandschaft verändert sich durch große Sprachmodelle und andere Formen der künstlichen Intelligenz aktuell rapide. Dementsprechend ist es wichtig, dass Forschung, Verteidigung und Regulation damit Schritt halten. Es ist also nicht damit getan, die Richtlinie zu verabschieden und zu implementieren, sie muss auch kontinuierlich evaluiert und aktualisiert werden.“
Troy Stein, General Manager der TechSmith GmbH (Copyright: TechSmith)
Compliance mit NIS2 erfordert eine entsprechend informierte und engagierte Belegschaft, nicht nur kompetente IT-Teams
„Cybersicherheit in Unternehmen ist wie ein Frachtnetz: Es reicht nicht, dass das Netz selbst mehrere Tonnen absichern kann, auch die Bolzen, mit denen es befestigt ist, müssen dieses Gewicht aushalten können. Genauso erfordert die Einhaltung der NIS2-Richtlinie, dass alle Mitarbeiter im Erkennen von und Umgang mit Cyber-Risiken geschult sind, nicht nur die entsprechenden Verantwortlichen. Dafür müssen entsprechende Schulungsprogramme zeitnah auf- und umgesetzt werden. Mit einer einmaligen Schulung oder einer Rund-Mail kurz vor dem NIS2-Stichtag ist es nicht getan, da sich die Cybersicherheitslandschaft – und welche Standards als Best Practice gelten – auch in Zukunft weiterhin wandeln werden. Dies bedeutet, dass die Formate, mit denen die Mitarbeiter geschult werden sollen, diese auch auf lange Sicht erreichen müssen, um Engagement mit dem Thema Cybersicherheit und damit Compliance mit NIS2 sicherzustellen. Dies wird langfristig gedachte Kommunikationsstrategien und innovative Formate erfordern, beispielsweise in Form von kurzen Video-Tutorials, die konkrete Handlungsempfehlungen für den Arbeitsalltag aufzeigen, statt das Thema Cybersicherheit als großes Ganzes zu erklären versuchen.“
