Die im Dezember 2022 verabschiedete europäische Richtlinie NIS-2 muss bis zum 17. Oktober 2024 in nationales Recht überführt werden. Die europäischen Anforderungen werden im deutschen NIS-2-Umsetzungsgesetz realisiert, dass sich aktuell noch in der finalen Abstimmung befindet. Schon länger wird davon ausgegangen, dass dessen Umsetzung für die betroffenen Einrichtungen nicht einfach sein wird. Denn die NIS-2-Richtlinie, die Ausweitung der bestehenden NIS-1-Richtlinie, welche die Widerstandsfähigkeit kritischer Infrastrukturen erhöhen soll, ist in ihrer Ausarbeitung bislang noch von Unklarheiten geplagt. Betroffen sind:
Was ist NIS-2?
Unterm Strich werden die Sicherheitsanforderungen an Cybersecurity und Resilienz erhöht. Unternehmen werden in Zukunft ein NIS-2-konformes Risikomanagement ausführen müssen. Das beinhaltet:
Kommunen sind von der NIS-2-Richtlinie ausgeschlossen, wie Christian Stuffrein (Referent für Digitalisierung beim Deutschen Landkreistag) im IT-Sicherheitspodcast „Be Safe not Sorry“ erklärte, der von Christan Günther (Account Manager bei NCP) co-moderiert wird. Obwohl Kommunen immer mehr in den Fokus von Hackerangriffen geraten, werden sie per Gesetz nicht zur Umsetzung der NIS-2 Anforderungen verpflichtet. Er bedauert dies und hofft, dass durch Eigeninitiative der Kommunen und erhöhte Aufmerksamkeit dennoch mehr Maßnahmen zum Schutz der Kommunen getroffen werden. Auch Katrin Giebel (Geschäftsstellenleiterin der Vitako, der Bundes-Arbeitsgemeinschaft der Kommunalen IT-Dienstleister) empfindet die Ausklammerung des öffentlichen Sektors als „verpasste Chance“, um Cybersicherheit zu gewährleisten.
Problematisch ist zum aktuellen Zeitpunkt die ungenaue Definition der betroffen kritischen Infrastrukturen. Durch ungenaue Begrifflichkeiten kommt es möglicherweise zu Überschneidungen mit dem KRITIS-DachG, dass sich aktuell ebenfalls im Regulierungsprozess befindet. Das kann die Umsetzung erschweren.
Die Implementierung und Überwachung der NIS2-Standards stellt eine erhebliche Herausforderung dar, die Zeit, Ressourcen und finanzielle Mittel erfordert. Hinzu kommt, dass:
Es bleibt also spannend, wie die NIS-2 Betroffenen diese neuen Herausforderungen stemmen werden und vor allem, wie der öffentliche Sektor, insbesondere ob die Kommunen sich adäquat schützen können.
Probleme mit NIS-2
Abgesehen davon, dass die Umsetzungsfrist für die europäische Richtlinie für alle Mitgliedstaaten auf Oktober 2024 festgelegt ist, scheint es keinen einheitlichen Zeitplan unter den Ländern zu geben.
Mitgliedsländer, die das Gesetz bereits verabschiedet haben, sind:
Die Umsetzung unterscheidet sich zwischen diesen Staaten. Obwohl die europäische Richtlinie zusätzliche Sektoren definiert, variiert der Anwendungsbereich unter den Ländern. Während beispielsweise für die Tschechische Republik das „Militär“ als zusätzlicher Sektor gilt, definiert Kroatien „Bildung“ und Polen „Energie“ als solchen.
Auch der Rahmen für die nationale Umsetzung unterscheidet sich erheblich. Während Deutschland noch keine Übergangsfrist eingeführt hat, hat Kroatien eine Frist von 9 Monaten festgelegt. Zudem variiert die Anzahl der betroffenen Unternehmen in den Ländern erheblich, so sind beispielsweise in Deutschland etwa 30.000 Unternehmen betroffen, in Österreich jedoch nur etwa 5.000 Unternehmen.
Die Mehrheit der europäischen Länder ist derzeit noch dabei, die Parameter für das Gesetz festzulegen. Jedoch zeigen die aktuellen Zustände erhebliche Unterschiede. Zum Beispiel sind Lettland, Österreich, Frankreich und einige andere aktiv dabei, ihre Vorschläge zu evaluieren und sind auf dem konkreten Weg diese zu verabschieden. Währenddessen haben Länder wie Griechenland, Italien und Polen bis zum Ende des ersten Halbjahres 2024 keine signifikanten Fortschritte veröffentlicht.
Das könnte Sie auch interessieren:
NCP-Talk mit Chiara - duale Personalmanagement-Studentin
Erzähl uns ein bisschen von Dir: Mein Name ist Chiara und ich arbeite seit Oktober 2022 an der Seite unseres Management-Teams als duale Personalmanagement-Studentin. Das bedeutet, dass ich die Theorie in der Uni zeitgleich mit der Arbeit hier bei NCP verknüpfe und somit direkt ...
Sichere Remote-Zugriffe auf Cloud-Anwendungen
Auf die Cloud verzichtet kaum ein Unternehmen, aber wie lassen sich heterogene Umgebungen schützen? VPNs sind die beste Lösung für sichere Fernzugriffe.
Netzwerksegmentierung: Wie sichere Zonen Ihre IT schützen
Netzwerksegmentierung stoppt Hacker, schützt kritische Daten und vereinfacht die Compliance. Lesen Sie, wie Sie Ihr Netzwerk in sichere Zonen aufteilen.
Wie deutsche VPN-Lösungen kommunale Infrastrukturen schützen
Cyberangriffe auf Städte nehmen zu. Sichere VPN-Lösungen schützen ihre vertraulichen Daten und ermöglichen eine flexible sowie skalierbare digitale Verwaltung auf kommunaler Ebene.
