Erneuerte Richtlinie So kann die Industrie die NIS-2-Umstellung meistern

Die erneuerte Richtlinie zur Sicherheit von Netz- und Informationssystemen verlangt einen umfassenden Schutz der IT- und OT-Infrastruktur. Wie Industriebetriebe die hohen Anforderungen trotz Zeitdruck erfüllen können und welche Rolle automatisierte Lösungen dabei spielen.

Cyberangriffe auf Wirtschaftsbetriebe verursachen Jahr für Jahr große finanzielle Einbußen. Laut einer Studie des Digitalverbands Bitkom entsteht der deutschen Wirtschaft jährlich ein Schaden in Höhe von 203 Milliarden Euro. Sind betroffene Unternehmen zudem Teil der kritischen Infrastruktur (kurz: Kritis) und spielen eine wichtige Rolle für die Grundversorgung oder die öffentliche Sicherheit, kann ein Ausfall zudem weitaus verheerendere Folgen haben als der reine wirtschaftliche Verlust. Das aktuelle Update der Richtlinie zur Sicherheit von Netz- und Informationssystemen (kurz: NIS) definiert deshalb strengere Cybersicherheitsregeln für Kritis-Unternehmen. Anforderungen, für die Industriebetriebe mit ihrer komplexen IT- und OT-Infrastruktur innovative Lösungen finden müssen.

NIS 2: Das ist neu

Die 2016 in der Europäischen Union eingeführte NIS 1-Regelung galt für zehn Kritis-Sektoren, darunter Energie, Verkehr, Wasser und Ernährung. NIS 2 erweitert den Adressatenkreis auf acht weitere Wirtschaftsbereiche, unter anderem Weltraum, Forschung und Anbieter digitaler Dienste. Zudem schließt die aktualisierte EU-Richtlinie in Deutschland nun auch Unternehmen im besonderen öffentlichen Interesse (kurz: UBI) ein. Dabei handelt es sich um die Sektoren Chemie, Rüstung und Volkswirtschaft. Ebenfalls neu bei NIS 2: Die Richtlinie unterscheidet zwischen wesentlichen Diensten wie dem Energiesektor und wichtige Diensten. Hierzu zählen etwa die Chemiewirtschaft und der Industriesektor. Zudem sind innerhalb der Sektoren nicht mehr nur große Unternehmen ab 250 Beschäftigten oder mindestens 50 Millionen Euro Jahresumsatz betroffen. Künftig müssen auch Betriebe mit 50 oder mehr Mitarbeitenden sowie einem Jahresumsatz ab zehn Millionen Euro die Anforderungen umsetzen. Schätzung zufolge wird sich damit die Zahl der betroffenen Unternehmen in Europa um 100.000 neue Betriebe und Organisationen erhöhen. Die Ausweitung soll sicherstellen, dass sich für die öffentliche Ordnung relevante Organisationen stärker vor den wachsenden Gefahren absichern.