Acht verpflichtende Handlungsfelder: Was sich konkret ändert
Bisherige KRITIS-Betreiber, zum Beispiel Krankenhäuser und Laborverbünde, kennen das IT-Sicherheitsgesetz (IT-SiG). NIS2 geht jedoch in die Tiefe und verschärft die Haftung. Die Umsetzung erfordert zusätzliche Technische und Organisatorische Maßnahmen (TOMs). Die härtesten Änderungen betreffen die direkte, persönliche Haftung der Geschäftsleitung und eine massive Ausweitung der Meldepflichten.
Die acht Handlungsfelder im Detail
- Umfassendes Risiko-Management: Systematische Analysen müssen lückenlos alle IT- und OT-Systeme sowie Drittanbietende und Cloud-Dienste erfassen. Die Dokumentation muss regelmäßig aktualisiert werden, nicht nur alle zwei Jahre.
- Angriffserkennung wird konkretisiert: SIEM, NDR, IDS/IPS oder XDR sind jetzt der Standard. Aktive Incident-Response-Prozesse und automatisierte Alarmierung sind Pflicht.
- Pflicht zur Lieferketten-Absicherung: Sicherheitsanforderungen müssen verbindlich auf Zuliefernde und Dienstleistende übertragen werden. Die Lieferkette wird Teil der Compliance.
- IAM und Zero Trust: Die Einführung von Zero-Trust-Modellen, MFA und revisionssicherer Dokumentation des Zugriffs ist vorgeschrieben.
- Persönliche Haftung der Geschäftsleitung: Das Top-Management haftet bei grober Fahrlässigkeit. Sicherheitsstrategie, ISMS und Risikoanalysen müssen von der Geschäftsleitung aktiv genehmigt und mitgetragen werden.
- Awareness von Mitarbeitenden wird Pflicht: Regelmäßige Schulungen, Phishing-Simulationen und Sensibilisierungskampagnen sind jetzt obligatorisch.
- Business Continuity & Resilienz: BCM und Disaster Recovery (DR) müssen detailliert geplant, regelmäßig getestet und auf Cyberkrisen-Szenarien ausgerichtet werden.
- Drastisch verkürzte Meldepflichten: Die Erstmeldung muss innerhalb von 24 Stunden erfolgen (statt 72 Stunden). Fortschritts- und Abschlussmeldungen folgen innerhalb von 72 Stunden bzw. nach einem Monat. Kommunikationspläne sind vorzuhalten.
