Mögliche Fallstricke bei dem Einsatz der NIS2
Bei der Umsetzung der NIS2-Richtlinie können Unternehmen verschiedene Fehler begehen, die nicht nur die Sicherheit gefährden, sondern auch zu erheblichen Sanktionen und persönlicher Haftung führen können. Die Quellen identifizieren insbesondere folgende kritische Bereiche:
1. Vernachlässigung der Governance und Management-Verantwortung
Ein zentraler Fehler liegt darin, Cybersicherheit lediglich als IT-Thema und nicht als Chefsache zu betrachten.
Mangelnde Einbindung der Leitungsebene: Die Leitungsorgane müssen die Risikomanagementmaßnahmen nicht nur billigen, sondern deren Umsetzung auch aktiv überwachen.
Ignorieren der persönlichen Haftung: Mitglieder der Geschäftsführung können für Verstöße gegen die Sorgfaltspflichten im Bereich des Risikomanagements persönlich haftbar gemacht werden.
Fehlende Fortbildung: Es ist eine explizite Pflicht für Leitungsorgane, an Schulungen teilzunehmen, um Cyberrisiken bewerten zu können. Das Versäumnis dieser Schulungspflicht stellt einen direkten Compliance-Verstoß dar.
2. Zu enger Fokus beim Risikomanagement
Unternehmen begehen oft den Fehler, sich nur auf technische Cyber-Abwehr zu konzentrieren und andere Risiken zu ignorieren.
Fehlender „gefahrenübergreifender Ansatz“: Die NIS2 fordert den Schutz der Systeme vor allen physischen und digitalen Ereignissen. Fehlerhaft wäre es, physische Gefahren wie Diebstahl, Feuer, Überschwemmungen oder Stromausfälle aus den Sicherheitskonzepten auszuklammern.
Unzureichende Berücksichtigung der Lieferkette: Unternehmen müssen die Sicherheitspraktiken ihrer unmittelbaren Anbieter und Dienstleister bewerten. Ein Verzicht auf die Prüfung der Lieferketten-Sicherheit (z. B. durch vertragliche Vereinbarungen) wird explizit als Risiko benannt.
Mangelnde Wirksamkeitsprüfung: Es reicht nicht aus, Maßnahmen einmalig zu implementieren. Ein Fehler ist das Fehlen von Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.
3. Fehler im Meldewesen
Das mehrstufige Meldeverfahren ist streng zeitgebunden; Verzögerungen können hier als schwere Verstöße gewertet werden.
Verpassen der 24-Stunden-Frist: Die „Frühwarnung“ muss innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls erfolgen. Viele Unternehmen unterschätzen die Geschwindigkeit, die hierfür erforderlich ist.
Unvollständige Berichterstattung: Nach der Frühwarnung muss innerhalb von 72 Stunden eine detaillierte Bewertung erfolgen. Ein häufiger Fehler ist die mangelnde Vorbereitung auf diese kurzen Intervalle.
Unterlassene Nutzerinformation: Wenn ein Vorfall die Empfänger der Dienste beeinträchtigen könnte, müssen diese unverzüglich informiert werden. Dies zu versäumen, kann das Vertrauen untergraben und rechtliche Folgen haben.
4. Mängel in der organisatorischen Basis („Cyberhygiene“)
Oft scheitert die Umsetzung an grundlegenden organisatorischen Versäumnissen.
Fehlende Cyberhygiene: Die Richtlinie fordert grundlegende Verfahren wie Software-Updates, sichere Passwort-Vorgaben und Netzwerksegmentierung. Das Vertrauen auf komplexe Tools bei gleichzeitiger Vernachlässigung dieser Basis-Maßnahmen ist ein strategischer Fehler.
Unzureichende Authentifizierungslösungen: Die NIS2 verlangt die Verwendung von Multi-Faktor-Authentifizierung (MFA), wo dies angemessen ist. Der Verzicht darauf stellt eine erhebliche Sicherheitslücke dar.
5. Falsche Einschätzung der Betroffenheit
Ein grundlegender Fehler ist die Fehlinterpretation des Anwendungsbereichs.
Unterschätzung des „Size-Cap“-Kriteriums: Unternehmen könnten fälschlicherweise annehmen, aufgrund ihrer Größe (z. B. als KMU) nicht betroffen zu sein, obwohl sie aufgrund ihrer Sektor zugehörigkeit oder ihrer Rolle als einziger Anbieter eines kritischen Dienstes dennoch unter die Richtlinie fallen.
Fehlende Registrierung: Betroffene Einrichtungen müssen bestimmte Basisinformationen (Name, IP-Adressen, Sektoren) an die Behörden übermitteln. Dies zu unterlassen, behindert die staatliche Aufsicht und ist sanktionierbar.
Redaktioneller Kommentar: Diese Text gibt nicht die Meinung der CANCOM wieder, noch ist es eine juristische Beratung oder Empfehlung.
Kommentare