Durchblick im Gesetzes-Dschungel: Teil 3 NIS2 und DORA – jetzt ist Zeit zum Handeln
Anbieter zum Thema
Um DORA- und NIS2-konform zu sein, müssen Unternehmen verschiedene Maßnahmen ergreifen, die sich auf Risiko- und Vorfallsmanagement sowie IT-Sicherheit konzentrieren. Hier sind einige der wichtigsten Schritte.
NIS2 und DORA verlangen von Unternehmen erhebliche Investitionen in die Cybersicherheits-Infrastruktur. Eine Herausforderung kann sein, „die Anforderungen beider Vorschriften in eine kohärente Compliance-Strategie zu integrieren, insbesondere für multinationale Unternehmen, die unterschiedliche nationale Auslegungen der NIS2 berücksichtigen müssen“, erklärt Paul Moll, Field Marketing Manager Central Europe bei Watchguard. Die kontinuierliche Einhaltung dieser dynamischen Vorschriften erfordere außerdem ständige Wachsamkeit, regelmäßige Aktualisierungen der Sicherheits-Maßnahmen und einen proaktiven Ansatz für den Umgang mit neuen Bedrohungen.
„Die größten Herausforderungen sind sicherlich der hohe Aufwand, der Ressourcenbedarf und die Komplexität der Anforderungen, die zur Umsetzung notwendig sind“, ergänzt Christian Lueg, Head of Communication & PR DACH bei Eset. Man darf aber nicht vergessen, dass die Bemühungen und schließlich eine erfolgreiche Umsetzung einen deutlichen Mehrwert bieten und Schäden durch Cyberangriffe minimieren können. „Viele Maßnahmen, gerade im technischen Bereich, unterscheiden sich im Kern nicht von den Anforderungen der NIS2-Richtlinie“, so Lueg. Es gäbe viele Überschneidungen bei den Anforderungen. Unternehmen sollten sich daher am besten an IT-Dienstleister wenden, die ihnen mit Rat und Tat zur Seite stehen.
Neuerungen bei NIS2
- Erweiterung des Betroffenenkreises
- Mehr Maßnahmen (wie Risikoanalyse, Lieferkettensicherheit)
- Strengere Meldepflichten (innerhalb 24 Std.)
- Strengere Aufsicht
- Mitarbeiterschulungen (auch für Geschäftsführung)
- Verschärfte Haftung der Geschäftsführung
Die Zeit rennt
„Für alle Unternehmen, die sich bislang nicht mit dem Thema auseinandergesetzt haben: Jetzt ist Zeit zum Handeln! Angesichts der hohen Strafen bei Nichteinhaltung der Vorschriften und der immer ausgefeilteren Cyber-Bedrohungen müssen Unternehmen die Umsetzung proaktiv angehen. Dazu gehört die Erfüllung der grundlegenden Anforderungen von NIS2 und DORA sowie die Verankerung einer Kultur der Cybersicherheit im gesamten Unternehmen“ mahnt Michael Haas, Regional Vice President Central Europe bei Watchguard. Um die Komplexität von NIS2 und DORA zu bewältigen, sei ein strategischer Ansatz erforderlich, der die Bemühungen zur Einhaltung der Vorschriften integriere, fortschrittliche Cybersicherheitstools nutzt und die Zusammenarbeit innerhalb des Unternehmens, mit Sicherheitspartnern und in der gesamten Branche fördere. Auf diese Weise könnten Unternehmen die Vorschriften einhalten und ihre Sicherheitslage verbessern, um sich gegen künftige Cyber-Bedrohungen zu wappnen.
Wer kann helfen?
Doch an wen können sich Unternehmen in Bezug auf die DORA- und NIS2-Anforderungen wenden? Hier gibt es mehrere Möglichkeiten. Die nationalen Cybersicherheits-Behörden sind für die spezifischen NIS2-Anforderungen der einzelnen Mitgliedstaaten zuständig. Darüber hinaus bieten branchenspezifische Gremien, wie zum Beispiel Finanzaufsichtsbehörden, Ressourcen und Rahmenwerke für die Einhaltung von DORA an. Unternehmen können sich auch an Beratungsunternehmen für Cybersicherheit wenden, die auf die Einhaltung von Vorschriften spezialisiert sind und maßgeschneiderte Beratung, Risikobewertungen und Unterstützung bei der Umsetzung anbieten. Außerdem bietet auch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) umfassende Informationen zur DORA-Verordnung. Dennoch gibt es Kriterien, die Betroffene auf dem Schirm haben sollten. Zum einen wären da die kommenden Fristen. Die Organisationen sollten sich dieser bewusst sein, da bei Nichteinhaltung Strafen verhängt werden. Des Weiteren sollten Unternehmen regulatorische Kontrollen im Blick haben, die sowohl durch NIS2 als auch durch DORA verschärft sein werden. „Unternehmen sollten sich auf mögliche Prüfungen vorbereiten und detaillierte Aufzeichnungen über ihre Bemühungen zur Einhaltung der Vorschriften führen“, bestätigt Moll. Zu guter Letzt gilt es, unabhängig von einzuführenden Regularien, neu auftretende Bedrohungen auf dem Radar zu haben, denn diese entwickeln sich stetig weiter.
Wissenswertes zu DORA und NIS2
Die DORA-Verordnung (Digital Operational Resilience Act) ist am 17. Januar 2023 in Kraft getreten und muss bis zum 17. Januar 2025 umgesetzt werden. Die Verordnung soll einen einheitlichen Rahmen für ein effektives und umfassendes Management von Cybersicherheits- und ITK-Risiken auf den Finanzmärkten schaffen. Dabei wird der Schwerpunkt von der Gewährleistung der finanziellen Widerstandsfähigkeit von Finanzunternehmen verlagert: auf die Sicherstellung der Aufrechterhaltung eines widerstandsfähigen Betriebs im Falle einer schwerwiegenden Betriebsunterbrechung, die die Sicherheit des Netzes und der Informationssysteme gefährden könnte.
Davon betroffen sind Finanzunternehmen und als kritisch eingestufte Drittanbieter von ITK-Services. DORA soll zur Stärkung der digitalen operationalen Resilienz der betroffenen Unternehmen dienen.
Am 27.Dezember 2022 wurde die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2) der Europäischen Union veröffentlicht. Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen. In Deutschland läuft dazu aktuell ein Gesetzgebungsverfahren. Eine vom BSI Online zur Verfügung gestellte Betroffenheitsprüfung (https://voge.ly/BSI-NIS2/) enthält konkrete, an der NIS2-Richtlinie orientierte Ja/Nein-Fragen, um Unternehmen in vier Kategorien einzuordnen: Betreiber Kritischer Infrastrukturen, besonders wichtige Einrichtungen, wichtige Einrichtungen und nicht betroffene Unternehmen.
Was kann helfen?
Aus technischer Sicht können zum Beispiel Frühwarnsysteme eingesetzt werden, um eine kontinuierliche Überwachung zur Erkennung potenzieller Bedrohungen zu gewährleisten. Hier kommen Partner zur Unterstützung der Unternehmen ins Spiel. „Die Unternehmen, die noch keine Lösung für Endpoint Detection und Response (EDR) etabliert haben, müssen diesem Thema höchste Priorität einräumen. In Abstimmung mit dem IT-Dienstleister, ob diese Technologie von der eigenen IT-Abteilung genutzt wird oder ob der Dienstleister mit eigener Expertise die Verwaltung als Managed Detection und Response (MDR) übernimmt“, erläutert Lueg.
Als letzter Tipp gilt, die Governance-Strukturen mit klaren Verantwortlichkeiten zu definieren. Hierzu gehört auch die Überwachung von Risiken ausgehend von Drittanbietern. Auch diese müssen DORA- und NIS2-konform arbeiten sowie entsprechende Sicherheitsmaßnahmen nachweisen.
Ihnen gefällt dieser Artikel? Mehr exklusive Inhalte finden Sie in unserer E-Paper-Ausgabe!
Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!
Hier geht es zum aktuellen E-Paper!(ID:50153746)
