Die digitale Infrastruktur ist heute ein zentraler Baustein der modernen Wirtschaft und Gesellschaft. Gleichzeitig wächst die Zahl von Cyberangriffen und Sicherheitslücken, die Unternehmen, Behörden und Privatpersonen gefährden. Die neue Richtlinie für Netz- und Informationssicherheit (NIS2) – nun umgesetzt in nationales Recht – soll diese Risiken eingrenzen und eine einheitliche Sicherheitskultur in der EU etablieren. Doch wie genau wirkt sich diese Reform auf Dienstleister aus, die ihre Systeme online anbieten? Und welche konkreten Pflichten treffen sie?
Von der Systemkritik zur Dienstleistungsverantwortung: Wer ist betroffen?
Die NIS2-Richtlinie erweitert den Kreis der Betroffenen deutlich gegenüber der Vorgängerregelung. Während unter NIS1 vor allem Energieversorger, Krankenhäuser oder öffentliche Transportnetze betroffen waren, umfasst NIS2 nun auch viele weitere Branchen. Dazu zählen Cloud-Dienste, Softwareanbieter, IT-Dienstleister, Online-Marktplätze wie Amazon oder eBay, aber auch Finanzdienstleister, die digitale Zahlungsverkehrsplattformen betreiben. Selbst Unternehmen mit weniger als 50 Mitarbeitern müssen sich an die Sicherheitsstandards halten, wenn sie digitale Dienstleistungen für andere anbieten – etwa durch Hosting, Webdesign oder Content-Management-Systeme.
Besonders kritisch sind „systemkritische Dienstleistungen“, die ohne Unterbrechung laufen müssen. Dazu gehören etwa die Bereitstellung von Online-Banking, die Verwaltung von Gesundheitsdaten oder die Abwicklung von E-Identifizierung. Hier gelten strengere Anforderungen an die Sicherheitsmaßnahmen, da ein Ausfall oder eine Manipulation direkte Folgen für die öffentliche Sicherheit hätte. Die EU-Kommission hat hier eine klare Hierarchie eingeführt: Dienstleister müssen zunächst ihre eigenen Systeme schützen, bevor sie sich auf die Sicherheit ihrer Kunden verlassen können.
Technische und organisatorische Maßnahmen: Was muss konkret umgesetzt werden?
Die NIS2-Richtlinie verlangt eine Kombination aus technischen und organisatorischen Sicherheitsmaßnahmen. Dazu gehören regelmäßige Risikoanalysen, die Identifikation von Schwachstellen und die Implementierung von Schutzmaßnahmen wie Firewalls, Verschlüsselung oder Zugriffskontrollen. Besonders wichtig ist die Dokumentation aller Maßnahmen – Unternehmen müssen nachweisen, dass sie ihre Systeme regelmäßig prüfen und anpassen. Die EU empfiehlt dabei eine „Zero-Trust“-Architektur, bei der keine Zugriffe automatisch genehmigt werden, sondern jeder Schritt explizit autorisiert werden muss.
Ein zentrales Element ist zudem die Zusammenarbeit zwischen Dienstleistern und Behörden. Unternehmen müssen sich an Meldepflichten halten: Bei einem Cyberangriff, der die Sicherheit kritischer Infrastruktur gefährdet, müssen sie den Behörden innerhalb von 24 Stunden davon unterrichten. Dies gilt auch für Angriffe, die bereits stattgefunden haben, aber noch nicht entdeckt wurden. Die EU hat hier eine klare Zeitvorgabe eingeführt, um die Reaktion auf Vorfälle zu beschleunigen.
- Unternehmen mit mehr als 250 Mitarbeitern müssen mindestens alle zwei Jahre eine unabhängige Sicherheitsprüfung durchführen.
- Cloud-Dienste müssen sicherstellen, dass ihre Kunden die Datenverschlüsselung auf den eigenen Geräten nutzen können.
- Finanzdienstleister müssen ihre Online-Plattformen gegen Phishing und Social Engineering schützen.
- Online-Marktplätze wie Amazon oder eBay müssen sicherstellen, dass ihre Nutzerdaten verschlüsselt werden.
- Krankenhäuser und andere Gesundheitsdienstleister müssen ihre E-Health-Systeme gegen Ransomware schützen.
Praktische Herausforderungen und rechtliche Grauzonen
Doch trotz der klaren Vorgaben gibt es noch offene Fragen. Die NIS2-Richtlinie lässt Raum für Interpretation, etwa bei der Frage, wie streng die Anforderungen für kleinere Unternehmen sind. Während große Konzerne wie Deutsche Telekom oder SAP bereits über eigene Sicherheitsabteilungen verfügen, müssen viele Mittelstandsunternehmen ihre Prozesse neu aufbauen. Zudem bleibt unklar, wie die EU bei Verstößen gegen die Sicherheitsvorgaben reagiert – werden Unternehmen bestraft oder nur informiert?
Ein weiteres Problem ist die internationale Dimension. Viele Unternehmen arbeiten mit Partnern in Drittstaaten zusammen, die möglicherweise weniger strenge Sicherheitsstandards haben. Die NIS2-Richtlinie sieht hier keine automatische Ausnahmeregelung vor, doch die Umsetzung in der Praxis könnte schwierig sein. Besonders kritisch wird es, wenn ein Angriff von außen kommt und die EU-Mitgliedstaaten gemeinsam handeln müssen. Hier könnte die Zusammenarbeit zwischen den Behörden noch verbessert werden.
Ein weiterer Punkt ist die Frage der Haftung. Wer haftet bei einem Cyberangriff – der Dienstleister, der Kunde oder der Hersteller der Software? Die NIS2-Richtlinie legt hier keine klaren Regeln fest, was zu Rechtsunsicherheiten führen kann. Unternehmen müssen sich daher auf eine mögliche Schadensersatzklage vorbereiten und ihre Versicherungen prüfen.
Fazit: Eine Chance für mehr Sicherheit – aber mit Herausforderungen
Die NIS2-Richtlinie ist ein wichtiger Schritt zur Stärkung der digitalen Sicherheit in der EU. Sie schafft eine einheitliche Grundlage für alle Dienstleister und zwingt sie, ihre Systeme konsequent zu schützen. Doch die Umsetzung wird nicht einfach sein. Viele Unternehmen stehen vor der Herausforderung, ihre Sicherheitsprozesse neu aufzubauen, während gleichzeitig neue Fragen offen bleiben.
Für die Zukunft wird es entscheidend sein, dass die EU die Umsetzung der Richtlinie eng begleitet und bei Verstößen konsequent gegensteuert. Gleichzeitig sollten Unternehmen sich auf die Herausforderungen vorbereiten – etwa durch die Zusammenarbeit mit Sicherheitsberatern oder die Einführung von Schulungsprogrammen für Mitarbeiter. Nur so lässt sich die digitale Infrastruktur der Zukunft sicherer machen.
No comment