Am 18. Oktober 2024 h\u00e4tte die NIS2-Richtlinie in nationales Recht umgesetzt werden sollen. W\u00e4hrend Belgien, Kroatien, D\u00e4nemark, Ungarn und Italien diese Frist eingehalten haben, soll die \u00dcberf\u00fchrung in deutsches Recht im Fr\u00fchjahr 2025 erfolgen, was eine grundlegende \u00dcberarbeitung des BSI-Gesetzes mit sich bringen wird. Ein zentraler Aspekt der NIS2-Richtlinie ist die \u00dcbertragung von Verantwortlichkeiten f\u00fcr Cybersicherheit auf die F\u00fchrungsebene von Unternehmen und Organisationen. Dar\u00fcber was es mit NIS2 auf sich hat und was Unternehmen und Kommunen jetzt tun m\u00fcssen, haben wir mit, Dr. Andreas Rebetzky, Digitallotse und CEO der Syngain GmbH, gesprochen:<\/p>\n\n\n\n
DEKOM: Herr Dr. Rebetzky, was ist NIS2 und wozu dient es?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Die NIS2 EU-Richtlinie ist die regulatorische Antwort der europ\u00e4ischen Kommission auf die gestiegenen Herausforderungen an die Cyber-Security von Unternehmen und staatlichen Verwaltungen. Seit 2009 gibt es bereits die BSI-Richtlinie \u201eKritis\u201c, die besonders wichtige Infrastrukturen sichern soll. Die europ\u00e4ische Kommission stellte allerdings fest, dass durch Kritis kein hinreichender Schutz der europ\u00e4ischen Wirtschaft erreicht wurde und die meisten Unternehmen und Organisationen in Europa eine unzureichende Cyberresilienz aufweisen. Es mangelte zudem an einem europ\u00e4ischen Meldesystem f\u00fcr Cyberattacken, die es erlaubt, auf europ\u00e4ischer Ebene zu agieren. Wir k\u00f6nnen also sagen, dass die Organisationen und Unternehmen in den vergangenen Jahren zu wenig f\u00fcr ihre Cybersicherheit getan haben und daher die Europ\u00e4ische Kommission diese verbindliche Regelung erlassen hat. Zentraler Bestandteil dieser NIS2-Regelung ist die Erweiterung des Geltungsbereiches f\u00fcr Unternehmen und Organisationen, die aufgrund ihrer wirtschaftlichen T\u00e4tigkeit in Branchen kritischer Infrastrukturen einer besonders hohen Bedrohungslage durch Cyber-Angriffe ausgesetzt sind. Hintergrund beim \u00f6ffentlichen Dienst ist der dringende Bedarf, die Bev\u00f6lkerung vor Folgen von Cyber-Angriffen auf relevante Funktionen der \u00f6ffentlichen Versorgung zu sch\u00fctzen. Daher wird Non-Compliance mit den Anforderungen aus dem Gesetz entsprechend stark sanktioniert. F\u00fcr besonders schwere Verst\u00f6\u00dfe sind „mindestens 2 Prozent des gesamten weltweiten im vorangegangenen Gesch\u00e4ftsjahr get\u00e4tigten Umsatzes des Unternehmens“ vorgesehen. Au\u00dferdem soll das BSI als Pr\u00fcfbeh\u00f6rde F\u00fchrungskr\u00e4fte zeitweise entmachten d\u00fcrfen.<\/p>\n\n\n\n DEKOM: F\u00fcr wen gilt die NIS2 Richtlinie? Gilt sie auch f\u00fcr den \u00f6ffentlichen Dienst?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> NIS2 gilt f\u00fcr insgesamt 18 Sektoren. Dabei wird unterschieden in essentielle Sektoren und wichtige Sektoren. Der \u00f6ffentliche Dienst ist dabei als essentieller Sektor klassifiziert. Dabei sind Klein- und Kleinstunternehmen nicht betroffen, jedoch gilt das Gesetz ausnahmslos f\u00fcr die \u00f6ffentliche Verwaltung unabh\u00e4ngig von deren Gr\u00f6\u00dfe. Also: Jedes kleine B\u00fcrgermeisteramt muss an der NIS2 Konformit\u00e4t arbeiten!<\/p>\n\n\n\n DEKOM: Wie gut verstehen wir die aktuellen Cyber-Risiken und Bedrohungen in Bezug auf den \u00f6ffentlichen Dienst?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Die aktuelle Sicherheitslage in Bezug auf Cybersicherheit ist besonders herausfordernd. Ein paar Daten und Fakten:<\/p>\n\n\n\n Die Analysen belegen, dass wir uns bereits in einem Cyber-Krieg befinden:<\/p>\n\n\n\n Durch die j\u00fcngsten Ma\u00dfnahmen der Bundesregierung \u2013 der Schlie\u00dfung der Iranischen Konsulate in Deutschland \u2013 wird Deutschland und insbesondere der \u00f6ffentliche Dienst noch st\u00e4rker in den Fokus der iranischen Cyberangriffe geraten. Die Bedrohungslage bleibt hoch, insbesondere durch staatlich gelenkte und kriminell motivierte Cyberangriffe. Die Bundesregierung hat daher umfassende \u00c4nderungen des IT-Sicherheitsrechts beschlossen, um den Schutz vor Cyberangriffen zu erh\u00f6hen.<\/p>\n\n\n\n DEKOM: Wie sollte der \u00f6ffentliche Dienst mit Cyberrisiken umgehen und wie k\u00f6nnte ein Risikomanagement aussehen?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Risikomanagement ist ein wesentlicher Bestandteil der Cybersicherheitsstrategie, besonders unter NIS2. Hier sind einige Details, die dabei ber\u00fccksichtigt werden sollten:<\/p>\n\n\n\n DEKOM: Wie betrifft die NIS2 Richtlinie die Mitarbeiter des \u00f6ffentlichen Dienstes?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Mitarbeiterschulung ist ein zentrales Element einer effektiven Cybersicherheitsstrategie. Hier sind einige Details, die f\u00fcr Schulungsprogramme in der \u00f6ffentlichen Verwaltung besonders wichtig sind:<\/p>\n\n\n\n Gut geschulte Mitarbeiter sind die erste Verteidigungslinie gegen Cyberbedrohungen.<\/p>\n\n\n\n DEKOM: Braucht der \u00f6ffentliche Dienst Notfallpl\u00e4ne f\u00fcr verschiedene Arten von Cyberangriffen?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Notfallpl\u00e4ne sind entscheidend, um im Ernstfall schnell und effektiv reagieren zu k\u00f6nnen. Hier einige wichtige Elemente, die in einem Notfallplan enthalten sein sollten:<\/p>\n\n\n\n DEKOM: Wie sollte der \u00f6ffentliche Dienst umgehen mit Sicherheitsvorf\u00e4llen?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Im Bereich Berichtswesen, besonders im Kontext von NIS2, sollten \u00f6ffentliche Verwaltungen einige wesentliche Elemente beachten:<\/p>\n\n\n\n Ein gutes Berichtswesen stellt sicher, dass Sicherheitsvorf\u00e4lle nicht nur effektiv gehandhabt, sondern auch genutzt werden, um die gesamte Cybersicherheitsstrategie fortlaufend zu verbessern.<\/p>\n\n\n\n DEKOM: Was muss der \u00f6ffentliche Dienst sicherstellen in Bezug auf die technische Infrastruktur, d.h. die IT-Systeme und Netzwerke?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Technische Infrastruktur ist das R\u00fcckgrat jeder Cybersicherheitsstrategie. Hier sind einige Schl\u00fcsselaspekte:<\/p>\n\n\n\n DEKOM: Wie sollten \u00f6ffentliche Einrichtungen zusammenarbeiten, um Bedrohungen zu<\/em><\/strong><\/p>\n\n\n\n erkennen und abzuwehren?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Zusammenarbeit ist essenziell f\u00fcr die St\u00e4rkung der Cybersicherheit. Hier einige Aspekte, die dabei eine Rolle spielen:<\/p>\n\n\n\n Eine starke Zusammenarbeit f\u00f6rdert die Widerstandsf\u00e4higkeit und sorgt daf\u00fcr, dass Bedrohungen fr\u00fchzeitig erkannt und effektiv abgewehrt werden k\u00f6nnen.<\/p>\n\n\n\n DEKOM: Muss ein \u00f6ffentlicher Dienst regelm\u00e4\u00dfig Sicherheits\u00fcberpr\u00fcfungen und Audits durchf\u00fchren und warum?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Kontrollen und Audits sind ein wesentlicher Bestandteil, um die Cybersicherheit kontinuierlich zu \u00fcberwachen und zu verbessern. Hier sind einige Aspekte, die beachtet werden sollten:<\/p>\n\n\n\n Kontrollen und Audits sind entscheidend, um sicherzustellen, dass Sicherheitsma\u00dfnahmen nicht nur implementiert, sondern auch effektiv sind und kontinuierlich verbessert werden<\/p>\n\n\n\n DEKOM: Was kostet die Einf\u00fchrung solcher Sicherheitsma\u00dfnahmen? Hat die \u00f6ffentliche Hand gen\u00fcgend finanzielle und personelle Ressourcen, um eine robuste Cybersicherheitsstrategie umzusetzen? Ohne ausreichende Ressourcen n\u00fctzt der beste Sicherheitsplan wenig. Was sollte beachtet werden?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong><\/p>\n\n\n\n Externe Unterst\u00fctzung: Spezialisierte externe Unterst\u00fctzung kann ebenfalls ein wichtiger Bestandteil einer umfassenden Cybersicherheitsstrategie sein:<\/p>\n\n\n\n DEKOM: Wie geht der Mittelstand in Deutschland damit um?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Der Mittelstand in Deutschland \u2013 aber das gilt auch f\u00fcr Europa \u2013 ist in einer Findungsphase. Die gr\u00f6\u00dferen Mittelstandsunternehmen betreiben in der Regel ein professionelles Cybersicherheitsprogramm. Dies ist ein guter Start, aber f\u00fcr die aktuelle Bedrohungslage oft nicht hinreichend. Mittlere und kleinere Mittelst\u00e4ndler stehen etwas da wie das Kaninchen vor der Schlange. Die aktuelle Cyberresilienz ist unzureichend und NIS2 wirkt wie ein Damoklesschwert. Aber ich kenne auch viele KMUS, die das Thema angehen, externen Rat einholen und einen Plan machen f\u00fcr die n\u00e4chsten Jahre, wie die Resilienz des Unternehmens erh\u00f6ht werden kann. Nichts zu tun ist keine Option. Denn die Wahrscheinlichkeit, von einem Angriff getroffen zu werden, ist hoch und steigt weiter. Unternehmen, die nichts tun, werden zur Zielscheibe der Angreifer, die die Schw\u00e4chen der Unternehmen durch automatisierte Scans erkennen und systematisch die ausnutzen. Aber es gibt auch eine gute Nachricht: Das Bewusstsein der Unternehmen zu handeln ist gestiegen und es gibt Initiativen wie z.B. die MissionTop5, die Experten \u201eon-demand\u201c f\u00fcr Unternehmen und Organisationen bereitstellen, die den Weg zur Resilienz aufzeigen und die Unternehmen begleiten.<\/p>\n\n\n\n DEKOM: Welche Frage w\u00fcrden Sie einem leitenden Mitarbeiter einer Beh\u00f6rde stellen?<\/em><\/strong><\/p>\n\n\n\n Dr. Andreas Rebetzky:<\/strong> Als F\u00fchrungskraft im \u00f6ffentlichen Dienst tragen Sie die Verantwortung f\u00fcr den Ablauf \u00f6ffentlicher Prozesse:<\/p>\n\n\n\n