Orientierungshilfe zur NIS2-Richtlinie

Parallel zum KRITIS-Dachgesetz wird aktuell die NIS2-Richtlinie (NIS – Network and Information Security) vorangetrieben, die die Cyber Security der EU-Mitgliedstaaten auf ein höheres und zugleich einheitliches Niveau bringen soll. Sie umfasst damit einen noch größeren Anwendungsbereich und höhere Regelungsintensität als das KRITIS-Dachgesetz. Damit wird sie in Deutschland die Anforderungen an die Netzwerk- und Informationssicherheit sowie den physischen Schutz kritischer Infrastrukturen erheblich beeinflussen. Da bislang keine Übergangsfrist vorgesehen ist, sollten Unternehmen also bereits jetzt ermitteln, ob sie die Richtlinie tangiert und ihre bestehenden Sicherheitskonzepte ausreichen. Als Orientierungshilfe hat die Assa Abloy Sicherheitstechnik das Whitepaper „NIS2-Anforderungen für Unternehmen: Wie Firmen mit digitaler Zutrittskontrolle ihre cyberphysische Resilienz erhöhen können“ veröffentlicht. Neben Tipps zum stufenweisen Aufbau von Absicherungsmaßnahmen sind darin auch eine Checkliste zur Prüfung eventueller Schwachstellen in der Schließtechnik sowie konkrete Lösungsvorschläge enthalten.

Betroffene Unternehmen müssen nachweisen, dass sie durch Risikoanalyse, Informationssicherheit, Maßnahmenbewertung und -umsetzung, Incident Response Management, Krisenmanagement und Schulungen in der Lage sind, für ausreichende Cybersicherheit zu sorgen.Eine wesentliche Änderung gegenüber der Vorgängerrichtlinie betrifft die Ausweitung und Aufteilung in Sektoren mit unterschiedlich hoher Kritikalität. Nach bestimmten Schwellenwerten und Sektoren leitet sich ab, ob und in welchem Umfang Unternehmen welche Anforderungen erfüllen müssen. Feststeht laut Assa Abloy, dass die Zahl der von NIS2 erfassten Einrichtungen deutlich steigen wird. Allein in Deutschland sollen künftig rund 30.000 Unternehmen betroffen sein.

Außerdem nimmt die Ausrichtung der NIS2 den Schutz der physischen Umgebungen von IT-Systemen vor Sicherheitsvorfällen mehr in den Fokus. Die Implementierung leistungsfähiger Schließ- und Zutrittskontrolltechnik wird damit zur Pflicht.