Im Oktober 2024 wird die NIS2-Richtlinie der EU in nationale Gesetzesform gebracht werden – und damit vieles im Umgang mit kritischer Infrastruktur und Cybersicherheit verändern. Vor allem werden weit mehr heimische Unternehmen und Organisationen davon betroffen sein als bisher. Viele von ihnen betreten damit komplettes Neuland. Warum und wie sie das möglichst bald tun sollten, zeigt Andreas Meneder-Nieuwenhuizen von der Deutschen Telekom Cyber Security Austria auf. Ein Interview von Michael Dvorak, Herausgeber CIDO GUIDE. Fotos: Milagros Martinez-Flener

Andreas Meneder-Nieuwenhuizen ist Head of Professional Services der Deutschen Telekom Cyber Security Austria Ist ihre Infrastruktur systemkritisch? Nein? Sind Sie sicher? In knapp einem Jahr ist sie das aber vielleicht schon, wenn die NIS2-Richtlinie der EU zur Sicherheit der Netz- und Informationssysteme auch für heimische Unternehmen amtlich wird. Und zwar für eine ganze Menge von ihnen. War bisher die Einordnung als „kritische Infrastruktur“ nämlich nur einem kleinen Kreis von zumeist großen Playern in Sektoren wie Energie, Finance, Verkehr oder Healthcare vorbehalten, erweitert sich der Fokus nun deutlich – sowohl, was die Branchen als auch was die Firmengrößen angeht. Durch die Erkenntnisse der Krisenjahre vorangetrieben, werden Lieferketten und Ökosysteme zum großen Multiplikator. Und zugleich erhöhen sich auch die Anforderungen für alle, die in diese, nun nicht mehr ganz so exklusive, Kategorie fallen.

„Gerade für KMUs wird das zu einer extremen Herausforderung“, sagt Andreas Meneder-Nieuwenhuizen. Er ist Head of Professional Services der Deutschen Telekom Cyber Security Austria, die seit März 2023 die Kunden in Österreich mit fachlichem Know-how und operativen Ressourcen als Teil der Deutschen Telekom unterstützt. Aus seiner Sicht wird es für die Unternehmen größtenteils auch ein Spiel gegen die Zeit – und für viele eines auf unbekanntem Terrain. Eines, für das es jetzt einen Plan braucht.

Was ist das Neue, das die NIS2-Richtlinie für den Umgang mit dem Thema Cyber-Sicherheit bringt?

Andreas Meneder-Nieuwenhuizen: Erstens wird die Definition der kritischen Infrastruktur nun stark erweitert und dabei auch weiter differenziert. Neben den sogenannten „wesentlichen Einrichtungen“ – in erster Linie die klassischen kritischen Infrastrukturen – gibt es künftig auch sogenannte „wichtige Einrichtungen“. Das trifft vorrangig Branchen und Unternehmensgrößen, die bislang noch nicht als systemkritisch eingestuft waren. Die Requirements sind für beide allerdings die gleichen – mit dem einzigen Unterschied, dass das Innenministerium bei wichtigen Einrichtungen nicht direkt vor Ort Prüfungen durchführt.

Gleichzeitig werden die bisherigen quantitativen Schwellenwerte dafür, was als kritische Infrastruktur gilt, also zum Beispiel die Kapazitäten in einem Krankenhaus, inhaltlich drastisch überarbeitet und zugleich die operativen Anforderungen deutlich erhöht.  Außerdem ist davon auszugehen, dass auch die Pönalzahlungen für grobe Verfehlungen massiv angehoben werden. Bislang waren solche Strafen in der Regel bei 100.000 Euro gedeckelt. Die NIS2-Richtlinie geht in die Richtung Datenschutzgrundverordnung (DSGVO) – also zwei Prozent vom Konzernumsatz oder 10 Millionen Euro.

Was sind dabei die entscheidenden Game Changer für heimische Unternehmen?

Meneder-Nieuwenhuizen: Was gerade für Österreich sehr spannend wird: Der Manufacturing-Sektor ist künftig auch betroffen und damit zumindest indirekt auch große Teile der Lieferkette für ein Produktionsunternehmen mit kritischer Infrastruktur, also zum Beispiel für die Automobilindustrie. Die Zulieferer werden zwar nicht automatisch per Gesetz dazu verpflichtet, dass sie nun auch die Anforderungen einer kritischen Infrastruktur zu erfüllen haben, aber sehr wohl indirekt. Die Hersteller sind künftig nämlich verpflichtet, bei Lieferanten, die kritische Teile ihrer Infrastruktur beliefern, sicherzustellen, dass die geltenden gesetzlichen Vorgaben auf vertraglicher Basis erfüllt werden – und das auch regelmäßig zu auditieren. Wer also Teil einer Lieferkette bleiben will, muss damit zwangsläufig auch Teil der Sicherheitskette auf Basis der NIS2-Richtlinie werden.

Wer Teil einer Lieferkette bleiben will, muss damit zwangsläufig auch Teil der Sicherheitskette auf Basis der NIS2-Richtlinie werden. Auswirkungen auf alle Branchen

Welche anderen wichtigen Sektoren sind von den Änderungen betroffen?

Meneder-Nieuwenhuizen: Das reicht von der öffentlichen Verwaltung über die Abfallwirtschaft bis zur Post und zu Kurierdiensten. Auch der Retail, insbesondere der Lebensmittelhandel, fällt grundsätzlich hier hinein. Die größte Auswirkung, die sich abzeichnet, ist aber eher eine branchenübergreifende, nämlich, dass nun auch mittelständische Unternehmen viel stärker in den Fokus rücken – die zumeist einen ganz anderen Security-Level haben als die meisten Organisationen der klassischen kritischer Infrastruktur. Wenn hier das IT-Team ein paar Leute umfasst, hat man schon genug damit zu tun, die laufenden Security-Anforderungen abzudecken. Viele verfügen hier auch noch nicht über die Grundlage einer ISO-Zertifizierung und entsprechend implementierten Strukturen und Prozessen. Für diese Unternehmen wird der breite Wulst an Themen und Anforderungen, der mit NIS2 auf sie zukommt, zu einer riesigen Challenge – technisch, logistisch und juristisch.

Wie ist das für den Mittelstand überhaupt zu schaffen?

Meneder-Nieuwenhuizen: Klar ist: Es ist für ein KMU oftmals unrealistisch, in Eigenregie ein komplettes Informationssicherheitssystem und Risk Management aufzubauen, das all diese Anforderungen abdeckt. Deshalb evaluieren wir intensiv, wie wir unsere Kunden dabei möglichst effektiv unterstützen und unsere Tools darauf ausrichten können – und zwar so, dass es auch für KMUs operativ machbar und leistbar ist. Wir lassen dazu unsere Erfahrungen aus Kundenszenarien mit unterschiedlichsten spezifischen Sicherheitsanforderungen und Branchenstandards einfließen. Gleichzeitig bringen wir hier das vielfältige Security-Know-how – von Verschlüsselung über Netzwerksicherheit bis zu Business Continuity – ein, das wir in der Deutschen Telekom auch für unsere eigene Sicherheit permanent weiterentwickeln. Und daneben spielt gerade bei diesem Thema die Verzahnung zwischen fachlicher Security-Expertise und rechtlichem Background hier auch massiv hinein. Es bedarf also einer Kombination aus möglichst vielschichtigem Wissen und hochgradig standardisierten und automatisierten Tools, um komplexe Anforderungen zu meistern, wie sie die NIS2-Richtlinie mit sich bringt.

Klar ist: Es ist für ein KMU oftmals unrealistisch, in Eigenregie ein komplettes Informationssicherheitssystem und Risk Management aufzubauen, das all diese Anforderungen abdeckt. Proaktiv planen

Eine der häufigsten Herausforderung bei Richtlinien wie NIS2 ist, dass im Vorfeld die konkreten Anforderungen nicht genau bekannt sind. Wie kann man sich dennoch auf die Umsetzung vorbereiten?

Meneder-Nieuwenhuizen: Zum Teil sind je nach Branche und Thema schon vorab Informationen verfügbar – manchmal sind sie schon veröffentlicht, manchmal muss man intensiver danach suchen. Wir nutzen hier unsere Kontakte zu österreichischen Behörden, um schon möglichst frühzeitig zum Beispiel unsere Einschätzungen zu überprüfen: Wird diese oder jene Interpretation einer Anforderung ausreichend sein? Und wir orientieren uns natürlich auch an den Erfahrungen unserer Konzernmutter, die bei der Umsetzung der NIS2-Richtlinie in Deutschland in vielen Arbeitskreisen eingebunden ist, um möglichst frühzeitig zu erkennen: Wo geht die Entwicklung dort hin? Dieses Wissen lässt sich vielfach auch auf Österreich übertragen und an unsere Kunden weitergeben.

Wenn man plötzlich zur kritischen Infrastruktur wird – wie geht man solch eine Herausforderung methodisch an?

Meneder-Nieuwenhuizen: Auch, wenn es bei der Umsetzung voraussichtlich noch quasi eine Schonzeit bis zum ersten Audit gibt, sollte man möglichst bald klären: In welche Kategorie wird man als Unternehmen hineinfallen und welche Informationen gibt es dazu bereits hinsichtlich konkreter operativer Requirements? Das liefert eine Basis, um im nächsten Schritt, beispielsweise mit einem Friendly Audit, zu evaluieren: Was ist schon implementiert? Wo stehe ich, wo muss ich hin? Um welche Themen muss ich mich am dringendsten kümmern? Wo brauche ich externe Unterstützung, was kann ich eventuell selbst abdecken? Wo muss ich entsprechend budgetieren?

In vielen Unternehmen ist man bei der technischen Absicherung wie bei der Angriffserkennung schon sehr gut aufgestellt, andere sind prozessual und systemisch, etwa beim Risk Management, schon sehr strukturiert. Wichtig dabei ist es, den Fokus nicht nur auf das eigene Unternehmen zu beschränken, sondern zugleich auch immer das größere Bild der jeweiligen Branche und der jeweiligen Lieferketten zu berücksichtigen.