Anforderungen der NIS-2 für produzierende Unternehmen

Ihr Experte für Fragen

Dr. Oliver Hanka
Partner für Industrial- & Product Cyber Security bei PwC Deutschland
Tel.: +49 160 510-5836
E-Mail

Was NIS-2 für verarbeitende und produzierende Unternehmen bedeutet

Die zunehmende Cyberkriminalität ist auf keine Unternehmensgröße oder Branche beschränkt. Auch produzierende Unternehmen sind zunehmend durch zahlreiche mögliche Angriffe bedroht und benötigen ein individuell angepasstes Sicherheitskonzept. 

Große Unternehmen (min. 250 Mitarbeitende oder Jahresumsatz min. 50 Millionen Euro) unterliegen bereits heute Anforderungen, um den Schutz vor Cyberangriffen zu gewährleisten und auszubauen. Das noch häufig genutzte Schema von isolierten „Inselzertifizierungen“ muss mit NIS-2 jedoch verlassen werden. Statt einzelner gesicherter Systeme und Prozesse wird nun eine ganzheitliche Perspektive erforderlich, wobei bestehende Zertifizierungen und Maßnahmen sinnvoll eingebunden werden können.

Um die Widerstandsfähigkeit von Unternehmen in der EU insgesamt zu stärken und über die Mitgliedsstaaten hinweg zu vereinheitlichen, wird der Geltungsbereich gegenüber der bisher gültigen NIS-Richtlinie deutlich ausgeweitet und umfasst zukünftig auch produzierende Unternehmen mittlerer Größe (min. 50 Beschäftigte oder mehr als 10 Millionen Jahresumsatz bzw. Jahresbilanzsumme). Im Gegensatz zu kritischen Einrichtungen und großen Unternehmen sind die Anforderungen für diese jedoch reduziert.

NIS-2 fordert Unternehmen auf, ein Risikomanagement und ein Business Continuity Management aufzubauen. Dabei sind konzernweite Richtlinien und Vorgaben von Bedeutung, die jedoch pro Abteilung (bspw. OT) angepasst und ausgebaut werden müssen. Mit Hilfe dieser Konzepte ist es möglich, Angriffen vorzubeugen und die richtigen Maßnahmen einzuleiten, falls dennoch ein Angriff erfolgreich ist. Einige dieser Maßnahmen beinhalten die durch NIS-2 geforderte Berichtspflicht. Kommt es zu einem Angriff sind Unternehmen verpflichtet, das Bundesamt für Sicherheit in der Informationstechnik (BSI) anhand von Berichtserstattungen in den Prozess einzuschließen. Um all diese Anforderungen zu erfüllen, muss die Geschäftsleitung den Aufbau dieser Anforderungen innerhalb des Unternehmens unterstützen und sich der persönlichen Haftung bei Verfehlungen bewusst sein.

Unabhängig von der Unternehmensgröße, helfen wir Ihnen, die geforderten Anforderungen zielgerichtet umzusetzen.

Bausteine der NIS-2-Konformität

NIS-2 ist von betroffenen Unternehmen verpflichtend umzusetzen, bietet dabei jedoch auch Chancen

Die geforderten Managementprozesse Risikomanagement und Business Continuity Management erfordern eine ganzheitliche Perspektive, da sie zentral aufgebaut und für involvierte Abteilungen sinnvoll angepasst und ergänzt werden müssen. Damit werden innerhalb des Unternehmens Vorgänge transparent und können so optimiert werden.

Nach Implementierung reduzieren Risiko- und Business Continuity Management effektiv mögliche Schäden an der Unternehmensinfrastruktur und verhindern bzw. begrenzen etwaige Produktionsausfälle in Ausmaß und Dauer. Dazu zählt auch der Schutz gegen Ransomware-Angriffe. Aufgrund der umfassenden Gültigkeit von NIS-2 ist gleichzeitig auch eine verbesserte Absicherung der Lieferketten in der EU insgesamt zu erwarten.

Durch die Verpflichtung zur mehrstufigen Meldung und der allgemeinen Registrierung beim BSI wird dies in die Lage versetzt, schnell Hilfestellung bei der Bewältigung des Zwischenfalls zu gewähren, koordinierte Vorgänge über Unternehmen oder Branchen hinweg zu erkennen und entsprechend zu reagieren.

Eine Umsetzung der Anforderungen aus NIS-2 muss durch die Geschäftsführung gebilligt werden. Bei Nichterfüllung der Anforderungen wird die Geschäftsführung persönlich haftbar gemacht. Aus diesem Grund ist die regelmäßige Teilnahme der Geschäftsführung an Schulungen wichtig, wobei Inhalte, wie z. B. das Risikomanagement und dessen Auswirkungen, behandelt werden.

Unser Ansatz

Sowohl für mittlere als auch große Unternehmen unterschiedlicher Branchen hat sich die Begleitung der notwendigen Veränderungsprozesse und die Einbeziehung der beteiligten Mitarbeiter bewährt. Dies ermöglicht nachhaltige Verbesserungen der Cybersicherheit und entsprechender Befähigung im Unternehmen.

Dabei bauen wir auf unsere Industrial Cyber Security Erfahrung in CSMS-Frameworks, über Penetration-Testing in IT und OT, bis hin zur Absicherung von Legacy Systemen in Produktionsumgebungen.