Die Anforderungen der NIS-2-Richtlinie stellen viele kleine und mittelständische Unternehmen vor große Herausforderungen. Oft bleibt unklar:

• Ist mein Unternehmen betroffen?
• Bis wann müssen die Anforderungen umgesetzt werden?
• Welche technischen Voraussetzungen sind erforderlich?

In unserem Artikel erfahren Sie, wie Sie die NIS-2-Richtlinie umsetzen können und welche Rolle Mobile Device Management (MDM) dabei spielt.

Die NIS-2: Ziele und Anforderungen

Die NIS-2-Richtlinie ist eine überarbeitete und erweiterte Version der 2016 in Kraft getretenen europäischen Sicherheitsrichtlinie NIS. Ihr Ziel ist es, die Cybersicherheit in den EU-Mitgliedsstaaten zu stärken – insbesondere angesichts zunehmend ausgefeilter Angriffe auf kritische Infrastrukturen.
Obwohl die NIS-2 theoretisch im Oktober 2024 in Kraft treten sollte, wird die Umsetzung in Deutschland voraussichtlich erst im März 2025 erfolgen. Nutzen Sie diese zusätzliche Zeit, um notwendige Vorkehrungen zu treffen.

Welche Unternehmen sind betroffen?

Mit einer schnellen Google-Suche finden Sie zahlreiche (auch kostenlose) Tools, um zu überprüfen, ob Ihr Unternehmen überhaupt von der NIS-2 betroffen ist. Die NIS-2 gilt für Unternehmen in kritischen Infrastrukturen, darunter:

• Energie- und Wasserversorgung
• Transport und Verkehr
• IT und Telekommunikation
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen
• Digitale Infrastruktur
• Öffentliche Verwaltung
• Raumfahrt

Betroffen sind Unternehmen mit:

• 50 oder mehr Mitarbeitenden
• Einem Jahresumsatz oder einer Bilanzsumme von über 10 Millionen Euro
• Auch kleinere Unternehmen können unter die NIS-2 fallen, wenn sie in kritischen Infrastrukturen tätig sind.

Neuerungen durch die NIS-2

Eine wichtige Neuerung ist die Einführung der sogenannten „Size-Cap“-Regel, die eine differenzierte Einstufung der betroffenen Unternehmen ermöglicht.

Für Unternehmen, die bereits Sicherheitsvorkehrungen gemäß DSGVO oder KRITIS getroffen haben, wird die Anpassung an die NIS-2 voraussichtlich überschaubar sein. Unternehmen ohne bestehende Maßnahmen können hingegen vor größeren Herausforderungen stehen. Orientierung bieten die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Wie können Sie die NIS-2 nun umsetzen?

Auch wenn Ihr Unternehmen nicht direkt betroffen ist, lohnt es sich, über Cybersicherheit nachzudenken. Schließlich unterliegen alle Unternehmen der DSGVO und müssen Daten von Kund*innen, Mitarbeitenden und Lieferant*innen schützen. Dabei müssen Sie gar nicht viel Zeit und Budget investieren, denn es gibt bereits günstige und zeitsparende Methoden, um alle digitalen Daten und Vorgänge in Ihrem Unternehmen abzusichern und Angreifer*innen einen Schritt voraus zu sein.

Unsere kleine Checkliste kann Ihnen helfen, erste Schritte effektiv umzusetzen, um in der Zukunft auch den NIS-2 Anforderungen zu genügen: 

1. Analysieren Sie die aktuelle Sicherheitslage:

Beginnen Sie mit einer umfassenden Bewertung der Sicherheitslage Ihres Unternehmens, um potenzielle Schwachstellen zu identifizieren. Achten Sie dabei auch auf vermeintliche Kleinigkeiten, wie die Nutzung eigener technischer Geräte durch Mitarbeitende, etwa USB-Sticks, Datenkabel oder Ähnliches. Auch der Einsatz privater Laptops oder mobiler Endgeräte sollte berücksichtigt werden. Ermitteln Sie außerdem den Wissensstand Ihrer Mitarbeitenden im Bereich der Cybersecurity, um den Schulungsbedarf gezielt einschätzen zu können.

2. Bauen Sie einen Plan für das Risikomanagement auf:

Im Bereich der Cybersicherheit gilt: Prävention und aktive Abwehrmaßnahmen sind nicht nur zeitsparender, sondern auch deutlich kosteneffizienter, als auf einen Angriff zu reagieren und den entstandenen Schaden zu beheben. Daher ist es unerlässlich, einen Plan zu erstellen, der alle identifizierten Schwachstellen wirksam absichert. Stellen Sie beispielsweise fest, dass Mitarbeitende regelmäßig private E-Mail-Konten für berufliche Zwecke nutzen, sollten Sie dies nicht nur untersagen, sondern auch durch technische Maßnahmen wie Blocker effektiv unterbinden. Auf mobilen Endgeräten lässt sich dies etwa durch den Einsatz eines Mobile Device Management (MDM)-Systems realisieren.

3. Planen Sie regelmäßige Schulungen:

Der größte Risikofaktor bleibt der Mensch. Deshalb ist es sehr wichtig, dass Sie regelmäßige Schulungen zu den Themen Datenschutz und aktuelle Sicherheitsbedrohungen durchführen.
Im Jahr 2024 führte das BSI eine große Umfrage in Bezug auf die Kenntnisse zu Cybersicherheitsmaßnahmen durch: Dabei gaben 26% der Befragten an, sich mit der Auswahl an Maßnahmen überfordert zu fühlen. Daher sollten die Schulungen praktische Tipps enthalten, die Ihre Mitarbeitenden direkt im Arbeitsalltag umsetzen können, um Sicherheitsrisiken zu minimieren. Zusätzlich kann es hilfreich sein, an strategisch wichtigen Orten in Ihrem Unternehmen kleine schriftliche Erinnerungen anzubringen, um das Bewusstsein für Cybersicherheit weiter zu stärken.

4. Erstellen Sie einen Plan, falls ein Vorfall auftritt (Incident Response Plan):

Trotz bester Sicherheitsvorkehrungen kann es zu Problemen kommen. In diesem Fall sollten Sie bereits einen Plan bereitgestellt haben, wie Sie darauf reagieren: Welche Systeme müssen sofort deaktiviert werden? Wie werden die Mitarbeitenden informiert? Was gilt überhaupt als Verstoß gegen Sicherheitsrichtlinien und wie wird dieser geahndet?
Alle Antworten auf diese Fragen sollten zudem von leichter Vorfall bis hin zu schwerem (kritischem) Sicherheitsvorfall gruppiert werden. Zusätzlich sollten Sie festhalten, wann und wie etwaige betroffene Drittpersonen, z.B. Kunden oder Partnerunternehmen, informiert werden.

5. Binden Sie Partner und Lieferanten ein:

Stellen Sie sicher, dass auch die Unternehmen, mit denen Sie zusammenarbeiten, die Datenschutzvorgaben einhalten und idealerweise über eine umfassende Cybersicherheitsstrategie verfügen. Ein Sicherheitsvorfall bei einem Ihrer Partner könnte schließlich auch Ihr Unternehmen gefährden. Informieren Sie Ihre Partnerunternehmen über die Sicherheitsrichtlinien Ihres Unternehmens und legen Sie bei Bedarf spezielle Verhaltensregeln für externe Parteien fest. Beispiele hierfür könnten eine verpflichtende Anmeldung vor Betreten des Firmengeländes oder ein Verbot von Foto- und Videoaufnahmen sein. Darüber hinaus sollten externe Unternehmen keinen direkten Zugriff auf Ihr Unternehmensnetzwerk erhalten. Geben Sie Zugänge oder Dateien nur dann frei, wenn es absolut notwendig ist.

Mit MDM den NIS-2 Anforderungen gewachsen

Egal, ob Ihr Unternehmen weniger als 50 Mitarbeitende oder mehr hat: Mobile Geräte sind aus der modernen Arbeitswelt nicht mehr wegzudenken. Wenn man jedoch die Sachlage ehrlich betrachtet, wird schnell klar, wie wenig sich Unternehmen, gerade in Bereichen, die bisher keine verschärften Maßnahmen für die Cybersicherheit ergreifen mussten, bislang mit der Sicherheit der im Unternehmen verwendeten mobilen Geräte auseinandergesetzt haben.

Dies ist jedoch angesichts von immer weiter zunehmenden Bedrohungen sehr kritisch. Ein erster, jedoch sehr effektiver Schritt, um die Cybersicherheit in Ihrem Unternehmen zu erhöhen, ist die Absicherung der mobilen Geräte oder mobilen Endpunkte. Diese stellen den Übergang von Ihrem Unternehmensnetzwerk zur Außenwelt dar und somit auch ein potenzielles Einfallstor für Angreifer.

Die Vorgaben der NIS-2-Richtlinie können durch den Einsatz eines Mobile Device Management (MDM) Systems effizient umgesetzt werden, da MDM-Lösungen umfassende Sicherheits- und Compliance-Tools bieten, die die Einhaltung der Richtlinie erleichtern. Hier sind einige Möglichkeiten, wie ein MDM-System die Anforderungen der NIS-2 unterstützen kann:

1. Schutz kritischer Infrastruktur und Netzwerke

Gerätesicherheit: MDM ermöglicht die zentrale Verwaltung und Überwachung aller mobilen Geräte, die auf Netzwerke der kritischen Infrastruktur zugreifen, und stellt sicher, dass diese den Sicherheitsstandards entsprechen.

Regelmäßige Updates: Mit einem MDM lassen sich Betriebssystem- und App-Updates automatisieren, um bekannte Sicherheitslücken schnell zu schließen.

2. Erkennung und Meldung von Sicherheitsvorfällen

Gerätewarnungen: Ein MDM kann Sicherheitsverletzungen wie Rooting, Jailbreaking oder den Einsatz nicht autorisierter Apps erkennen und sofort Meldungen an Administrator*innen senden.

Vorfallsmanagement: Automatisierte Maßnahmen, wie das Sperren eines Geräts oder das Entfernen von Unternehmensdaten, können bei einem Sicherheitsvorfall eingeleitet werden. Mehr dazu finden Sie auch in diesem Artikel.

3. Einhaltung von Richtlinien und Dokumentation

Compliance-Berichte: MDM-Systeme generieren regelmäßig Berichte über die Einhaltung von Sicherheitsrichtlinien, was für die Nachweispflicht gegenüber Aufsichtsbehörden erforderlich ist.

Richtlinienmanagement: Administrator*innen können spezifische Vorgaben, die aus der NIS-2 hervorgehen, direkt in Form von Sicherheitsrichtlinien in das MDM integrieren.

4. Wiederherstellung nach Sicherheitsvorfällen

Remote-Wipe: Verlorene oder gestohlene Geräte können aus der Ferne gelöscht werden, um sensible Daten zu schützen.

Geräterestriktionen: Ein MDM kann Geräte nach einem Vorfall temporär in den Kiosk-Modus versetzen, um nur grundlegende Funktionen verfügbar zu machen, bis die Sicherheitslage geklärt ist.

5. Mitarbeiterschulung und Sensibilisierung

Gerätewarnungen für Nutzer: Neben Administrator*innen können auch Benutzer*innen informiert werden, wenn sie gegen Sicherheitsvorgaben verstoßen, was das Bewusstsein für die Sicherheitsrichtlinien stärkt.

Richtlinienakzeptanz: MDM-Systeme können sicherstellen, dass Nutzer*innen Unternehmensrichtlinien aktiv akzeptieren, bevor sie Zugriff auf Netzwerke oder Daten erhalten.

Fazit:

Auch wenn die zahlreichen Vorgaben und Richtlinien oftmals verwirrend und überfordernd wirken, so ist es doch möglich, den erhöhten Anforderungen der NIS-2 planvoll und effektiv zu begegnen. Neben der Aufstellung eines Plans, der alle Bereiche der Cybersicherheit abdeckt, ist auch ein Mobile Device Management System (MDM) ein wichtiger Schritt, um die Sicherheit zu erhöhen.