Mit der NIS2-Richtlinie, die nun in weiten Teilen der EU in Kraft ist, sehen sich Energie- und Fertigungsunternehmen mit einem deutlich strengeren Cybersicherheitsregime konfrontiert. Die meisten Mitgliedstaaten haben die Richtlinie in nationales Recht umgesetzt, allerdings mit unterschiedlichen Definitionen, Meldefristen und Prüfungserwartungen. Dieses Flickwerk bedeutet, dass Unternehmen, die in mehreren Rechtsordnungen tätig sind, verschiedene Pflichten gleichzeitig erfüllen müssen – eine Herausforderung, die einige bereits unvorbereitet getroffen hat.
Nach NIS2 gelten sowohl für „wesentliche“ als auch für „wichtige“ Einrichtungen strengere Anforderungen in Bezug auf Risikomanagement, Sicherheit in der Lieferkette, Incident-Meldungen und Verantwortlichkeit auf Vorstandsebene. Für Energie- und Fertigungsunternehmen, deren Systeme das tägliche Leben und kritische Lieferketten stützen, ist dies keine reine Formalität mehr, sondern eine strategische Frage der Resilienz und des guten Rufs.
Energieinfrastrukturen sind ein zentrales Ziel für Cyberkriminelle und staatlich unterstützte Akteure. Die Richtlinie verpflichtet Betreiber dazu, ihre Systeme zu härten, Lieferanten zu überprüfen und robuste Erkennungs- und Reaktionsfähigkeiten einzuführen.
Stellen Sie sich beispielsweise einen regionalen Übertragungsnetzbetreiber vor, der Umspannwerke und Netzregelungsplattformen in zwei EU-Ländern betreibt. Da jedes Land NIS2 unterschiedlich umgesetzt hat, muss der Betreiber zwei Regelwerke parallel verfolgen und sicherstellen, dass seine Kontrollen, Prozesse und Meldungen den strengeren Anforderungen entsprechen. Er muss zudem Multi-Faktor-Authentifizierung (MFA) für Fernzugriffe und Auftragnehmer-Logins durchsetzen, kritische Netzwerke segmentieren und alle Änderungen dokumentieren.
Wenn eine Ransomware-Gruppe die Zugangsdaten eines Auftragnehmers kompromittiert und die Steuerlogik eines Umspannwerks manipuliert, ist der Betreiber verpflichtet, innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden einen detaillierten Bericht einzureichen – während gleichzeitig der Betrieb wiederhergestellt und die öffentliche Kommunikation gemanagt werden muss. Ohne einen gut eingeübten Incident-Response-Plan können diese parallelen Anforderungen interne Teams schnell überfordern.
Hersteller von kritischen Komponenten für Luft- und Raumfahrt, Automobilindustrie oder Chemie gelten nun als „wichtige Einrichtungen“ im Sinne von NIS2. Dies bringt verpflichtende Cybersicherheits- und Meldepflichten sowohl für IT- als auch für OT-Systeme (Operational Technology) mit sich.
Stellen Sie sich einen Hersteller mit mehreren Standorten, Hunderten von IoT-Sensoren, Robotik und einer komplexen Lieferkette vor. Nach NIS2 muss er:
Wenn ein Lieferant kompromittiert wird und ein manipuliertes Firmware-Update an einen Robotercontroller sendet, was die Produktion stoppt, muss der Hersteller die betroffenen Linien isolieren, die Behörden unverzüglich informieren und nachweisen, dass „geeignete und verhältnismäßige“ Kontrollen vorhanden waren. Die Geschäftsleitung trägt die Verantwortung dafür, dass dieser Rahmen existiert und regelmäßig überprüft wird.
Eine der bedeutendsten Änderungen der NIS2-Richtlinie betrifft die Managementverantwortung. Artikel 20 der Richtlinie (Governance) legt klare Pflichten für Geschäftsführer und Führungskräfte fest und macht Cybersicherheit zu einer Führungsaufgabe, nicht nur zu einem technischen Thema.
Leitungsorgane haben nun drei zentrale Verpflichtungen:
Für viele Unternehmen, in denen Cyberrisiken traditionell als technisches und nicht als strategisches Thema gesehen wurden, stellt dies einen echten Mentalitätswandel dar. Bußgelder und Haftung können nicht nur das Unternehmen, sondern in bestimmten Fällen auch einzelne Führungspersonen betreffen, wenn diese Pflichten vernachlässigt werden.
Da NIS2 nicht nur eine technische, sondern auch eine Governance- und Lieferkettenherausforderung darstellt, profitieren Organisationen von externer Expertise, die beide Bereiche abdeckt. Integrity360 arbeitet mit Energieversorgern und Herstellern in ganz Europa zusammen, um:
Durch die Kombination aus Beratung, Managed Services und praktischer technischer Expertise helfen wir Organisationen, über reine Compliance hinauszugehen und echte Resilienz aufzubauen – wodurch Wahrscheinlichkeit und Auswirkungen von Störungen reduziert werden.
Wenn Ihr Unternehmen in der Energie-, Fertigungs- oder einer anderen von NIS2 abgedeckten Branche tätig ist, ist jetzt der richtige Zeitpunkt zum Handeln. Auch in Ländern, in denen die nationale Umsetzung verzögert ist, erwarten Aufsichtsbehörden, dass Unternehmen sich auf die Einhaltung vorbereiten. Ein einzelner Vorfall oder eine verpasste Meldefrist kann Bußgelder, Reputationsschäden und Betriebsstörungen zur Folge haben.
Beginnen Sie damit, Ihre Pflichten in allen Rechtsordnungen zu kartieren, Ihre Kontrollen und Lieferketten zu bewerten und den Vorstand einzubinden. Testen Sie dann Ihre Pläne, bevor sie benötigt werden. Mit dem richtigen Ansatz und dem richtigen Partner kann NIS2 von einer Compliance-Herausforderung zu einem Katalysator für stärkere, widerstandsfähigere Betriebsabläufe werden.
Um zu erfahren, wie Integrity360 Ihr Unternehmen bei der Einhaltung von NIS2 unterstützen kann, sprechen Sie noch heute mit einem unserer Spezialisten.