NIS2: Nur jedes dritte Unternehmen setzt die Richtlinie bereits um

In aktuellen Umfragen und Studien haben ESET und Zscaler den Status quo der Umsetzung der NIS2-Vorgaben bzw. die unternehmensseitigen Erwartungen herausgearbeitet. [...]

38 Prozent der deutschen Unternehmen haben noch nicht mit der Umsetzung der NIS2-Richtlinie begonnen, so eine repräsentative ESET-Umfrage, durchgeführt von YouGov unter Unternehmensentscheidern beim Nachbarn. 15 Prozent sind von der Richtlinie nach eigener Aussage nicht betroffen. Weitere 14 Prozent wissen gar nicht, ob sie ihr nachkommen müssen.

„Es ist erfreulich, dass bereits jede dritte Firma in Deutschland die Anforderungen der NIS2-Richtlinie erfüllt“, sagt Maik Wetzel, Strategic Business Development Director DACH bei ESET. „Umso wichtiger ist es jetzt, die anderen an die Hand zu nehmen und sie bei der Umsetzung zu unterstützen. Denn auch diese Umfrage unterstreicht, dass ein großer Beratungsbedarf besteht. Für Unternehmen ist es fünf vor zwölf, ihre Cybersicherheit stärken – nicht nur aufgrund der NIS2-Richtlinie.“ Und: „Für den Wirtschaftsstandort ist dieses Gesetz zur Stärkung der IT-Sicherheit längst überfällig. Die NIS2-Richtlinie reagiert auf eine rasant steigende Bedrohungslage im Cyberraum, die wir jeden Tag in den Nachrichten verfolgen können. Leider hat sich die Erarbeitung des Gesetzesentwurfs verzögert und dieser Umstand sorgt für Unsicherheit bei Unternehmen. Hier besteht akuter Aufklärungsbedarf.“

Europäische Unternehmen gehen von termingerechter Umsetzung aus 

Eine aktuelle Studie von Zscaler auf Basis einer Befragung von 875 IT-Führungskräften in Europa zeigt eine Diskrepanz zwischen der Zuversicht der Organisationen, eine Konformität mit den Regularien bis zum Stichtag am 17. Oktober diesen Jahres zu erreichen und dem Verständnis zu den Anforderungen. 

80 Prozent der IT-Führungskräfte sind zuversichtlich, dass ihre Organisation Compliance-Anforderungen bis zum Stichtag erfüllen wird. Lediglich 14 Prozent geben an, dass sie diese bereits erfüllt haben. Allerdings ist lediglich etwas mehr als die Hälfte der IT-Führungskräfte der Ansicht, dass ihre Teams die Anforderungen vollständig verstehen. 49 Prozent glauben, dass dies bei der Unternehmensleitung der Fall ist. CISOs stehen vor der dringenden Notwendigkeit, alle relevanten Interessengruppen – von der Vorstandsebene über Abteilungsleiter bis hin zu den Mitarbeitenden in der gesamten Organisation – abzuholen, um die Einhaltung der Vorschriften vor dem Fälligkeitsdatum sicherzustellen.

Die Führungsebene muss handeln

Ein Drittel gibt zudem an, dass NIS2 für das Management oberste Priorität hat und 52 Prozent bestätigen eine wachsende Bedeutung. Dies scheint sich jedoch nicht in der Unterstützung widerzuspiegeln, die den IT-Teams, die mit der Umsetzung des Konformitätsprozesses betraut sind, angeboten wird. Mehr als die Hälfte der IT-Entscheider haben das Gefühl, dass ihre Teams nicht die Unterstützung des Managements erhalten, die für die Einhaltung der Compliance-Frist erforderlich ist, so Zscaler. 

Christoph Schuhwerk, CISO in Residence bei Zscaler: „In der gesamten Region scheint eine große Zuversicht vorzuherrschen, dass Organisationen die NIS2-Konformität bis zum nahenden Stichtag erreichen werden. Die Studie deutet darauf hin, dass diese Zuversicht auf einem wackeligen Fundament gebaut ist. Durch einen starken Fokus auf das termingerechte Erreichen der Ziellinie für die Konformität könnten andere Cybersicherheitsprozesse vernachlässigt werden – was nach Ansicht von 60 Prozent der IT-Manager durchaus möglich ist. Führungskräfte müssen jetzt handeln und ihre IT-Teams unterstützen, so dass sie wichtige Schritte zur Einhaltung der Vorschriften umsetzen können und keine Strafen riskieren.“

Steht eine umfassende Überarbeitung der Rahmenbedingungen an?

Obwohl die NIS2-Richtlinie auf dem bestehenden NIS-Rahmenwerk aufbaut, sind 62 Prozent der Befragten der Ansicht, dass sich die Anforderungen deutlich von den eingesetzten Rahmenwerken unterscheiden. Um der Richtlinie gerecht zu werden, müssen IT-Führungskräfte die größten Veränderungen in den Bereichen Technologie und Cybersicherheitslösungen (34 Prozent), Mitarbeiterschulung (20 Prozent) und Führungskräftetraining (17 Prozent) vornehmen. Auf die Frage nach den drei größten Herausforderungen der Richtlinie wurden am häufigsten folgende Sektoren genannt:

• Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen (31 Prozent)
• grundlegende Cyber-Hygiene und Cybersicherheitsschulungen (30 Prozent)
• Richtlinien und Verfahren für ein wirksames Risikomanagement der Cybersicherheit (29 Prozent).

Obwohl die NIS2-Richtlinie grundlegende Anforderungen an die Cybersicherheit enthält, sind viele Unternehmen in Europa mit ihren Cybersicherheitsstandards noch nicht so weit fortgeschritten. Nur 31 Prozent der Befragten bezeichnen ihre derzeitige Cyber-Hygiene als „exzellent“. Einzelne Branchen wie der Transport- und der Energiesektor geben sich ein noch niedrigeres Votum hinsichtlich ihrer Cyber-Hygiene: Lediglich 14 Prozent der IT-Verantwortlichen im Transportbereich und 21 Prozent in Energieunternehmen schätzen ihre Cyber-Hygiene als ausgezeichnet ein. Diese Zahlen deuten darauf hin, dass zu wenige Betreiber kritischer Infrastrukturen ihre Sicherheitsreviews in den letzten Jahren auf dem aktuellsten Stand gehalten haben, was in der Folge bei der diesjährigen Überprüfung der NIS2-Konformität zu Schwierigkeiten führen könnte.