Die Bedeutung von NIS-2 in KRITIS-Bereichen

Förderung der Cyber-Resilienz innerhalb der EU

Die fortschreitende Digitalisierung und die damit einhergehende Zunahme von Cyberangriffen stellen Unternehmen, insbesondere solche aus den Sektoren kritischer Infrastrukturen (KRITIS), vor neue, komplexe Herausforderungen. Um diesen entgegenzuwirken, hat die Europäische Union die Richtlinie NIS-2 (Network and Information Systems Security Directive) ins Leben gerufen. Diese Richtlinie zielt darauf ab, ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen innerhalb der EU zu gewährleisten. Für kritische Infrastrukturen wie im Gesundheitswesen und im Finanz- und Versicherungssektor bildet die neue EU-Direktive einen maßgeblichen Rahmen, um die Resilienz gegenüber Cyberbedrohungen zu stärken. Gleichzeitig sichert sie die Integrität und Verfügbarkeit von Dienstleistungen, die für das gesellschaftliche und wirtschaftliche Wohl essenziell sind.

Die Umsetzung von NIS-2 birgt sowohl für Betreiber kritischer Infrastrukturen als auch für deren Nutzer einen signifikanten Mehrwert. Durch die Schaffung eines robusten Rahmens für IT-Sicherheit leistet die Richtlinie einen entscheidenden Beitrag zur Vertrauensbildung bei Verbrauchern und zur Stabilisierung des Binnenmarktes. Unternehmen profitieren von einem einheitlichen Sicherheitslevel und klaren Vorgaben, während Verbraucher von sichereren Dienstleistungen und der Gewissheit profitieren, dass die Integrität ihrer Daten geschützt wird.

Ursprung und Entwicklung von NIS-2

Die NIS-2-Richtlinie ist keineswegs ein spontaner Entschluss der Europäischen Union, sondern eine direkte Antwort auf die steigende Anzahl und Komplexität von Cyberangriffen sowie die zunehmende Digitalisierung der Gesellschaft. Bereits im Jahr 2016 wurde mit der NIS-1-Richtlinie ein erster entscheidender Schritt zur Stärkung der Cybersicherheit in der EU getan. Die Erfahrungen und Entwicklungen der folgenden Jahre machten jedoch deutlich, dass eine überarbeitete und erweiterte Version erforderlich ist, um die wachsenden Sicherheitsanforderungen zu erfüllen. NIS-2 ersetzt daher die ursprüngliche NIS-1-Richtlinie und bringt signifikante Anpassungen und Erweiterungen mit sich, die auf den gewonnenen Erkenntnissen und einem veränderten Cyberbedrohungsbild basieren.

Um den dynamischen Herausforderungen der Cybersicherheit gerecht zu werden, nimmt die NIS-2-Richtlinie eine Vielzahl an Unternehmen aus unterschiedlichen Branchen in die Pflicht. Ein wesentlicher Meilenstein war die klare Definition und Erweiterung des Geltungsbereichs, welcher eine breitere Palette von Sektoren und digitalen Diensten einschließt. Die Richtlinie adressiert dabei nicht nur KRITIS-Sektoren wie Energie, Transport, Banken und Gesundheitswesen, sondern auch Anbieter digitaler Dienste, die von entscheidender Bedeutung für die Aufrechterhaltung der gesellschaftlichen und wirtschaftlichen Aktivitäten sind.

NIS-2 im KRITIS-Bereich

NIS-2 ist speziell so konzipiert, dass es den einzigartigen Anforderungen und Herausforderungen des KRITIS-Bereichs gerecht wird. Die Richtlinie legt einen starken Fokus auf präventive Maßnahmen und die Einführung von Risikomanagementpraktiken, um die Systeme gegen Cyberbedrohungen abzusichern. Insbesondere im Bereich der Gesundheitsversorgung, einem Kernbereich der KRITIS, fordert NIS-2 verbesserte Maßnahmen zur Abwehr von Cybersecurity-Risiken. Auch Banken und Finanzinstitute, die auch zu KRITIS-Betriebern zählen, müssen ihre Strategien anpassen, um den neuen gesetzlichen Anforderungen gerecht zu werden.

NIS-2 im Gesundheitswesen

Die Umsetzung der NIS-2-Richtlinie und die Etablierung einer dauerhaften IT-Sicherheit bedeutet für die Gesundheitsbranche eine erhebliche Herausforderung, aber auch eine Chance. Krankenhäuser, die mehr als 30.000 vollstationäre Patienten jährlich betreuen, wurden bereits durch das BSI-Gesetz als KRITIS eingestuft. Zudem sind seit dem Inkrafttreten des Patientendaten-Schutz-Gesetzes (PDSG) sämtliche Krankenhäuser unabhängig von ihrer Größe verpflichtet, nachweislich adäquate organisatorische und technische Maßnahmen zu treffen, um die Sicherheit der Patientendaten zu gewährleisten. Diese Maßnahmen umfassen die Umsetzung des Basisschutzstandards B3S, der speziell für den Gesundheitssektor entwickelt wurde.

Darüber hinaus verschärft nun die NIS-2-Richtlinie diesen Rahmen und verpflichtet alle Akteure im Gesundheitswesen, einschließlich solcher, die sich mit der Bereitstellung lebenserhaltender Medizinprodukte befassen, ihre Cybersecurity-Strukturen zu stärken. In Anbetracht der wachsenden Bedrohung durch Cyberangriffe ist dies ein entscheidender Schritt, um die Kontinuität der medizinischen Versorgung und die Integrität sensibler Patientendaten zu sichern.

Die Umsetzung der NIS-2-Richtlinie erfordert somit nicht nur technische Anpassungen, sondern auch ein Umdenken in der Risikobewertung und im Krisenmanagement innerhalb der Gesundheitsbranche. Es geht darum, ein Bewusstsein für die Bedeutung der IT-Sicherheit zu schaffen und gleichzeitig die Resilienz gegenüber potenziellen Cyberangriffen zu erhöhen. Durch die Festlegung von Mindeststandards für die IT-Sicherheit und die Einführung eines verpflichtenden Meldesystems für Sicherheitsvorfälle bietet NIS-2 einen Rahmen, der nicht nur die Resilienz dieser essenziellen Dienste gegenüber Cyberbedrohungen erhöht, sondern auch das Vertrauen der Verbraucher in die Digitalisierung stärkt. Um den Schutz der Patienten und die Vertraulichkeit ihrer Daten zu gewährleisten, ist die Investition in eine solide Cybersecurity-Strategie daher unerlässlich für Krankenhäuser und andere Einrichtungen im Gesundheitswesen.

NIS-2 im Finanz- und Versicherungswesen

Besonders aufgrund ihrer weitgehend elektronischen Prozesse (z.B. Online-Banking) rücken auch stark digitalisierte Branchen wie die Finanz- und Versicherungsindustrie verstärkt in den Fokus potenzieller Cyberbedrohungen. Auch wenn sich die meisten Institute auf entsprechende Bedrohungen gut vorbereitet sehen, zählen Risiken bei Informations- und Kommunikationstechnologien (IKT) in den nächsten Jahren zu den größten Herausforderungen.

Gemeinsam mit der DORA-Verordnung, die bis zum 17.01.2025 umgesetzt werden muss, stellt die NIS-2 Richtlinie eine signifikante Entwicklung in der Verbesserung der Cybersicherheitsmaßnahmen kritischer Infrastrukturen von betroffenen Finanz- und Versicherungsdienstleistern innerhalb der EU dar.

Vor dem Hintergrund, dass diese Anbieter eine essenzielle Rolle in der Wirtschaft spielen, indem sie Dienstleistungen wie die Bargeldversorgung, kartengestützten und konventionellen Zahlungsverkehr, sowie Wertpapier- und Derivategeschäfte und Versicherungsdienstleistungen anbieten, ist die Einführung und Harmonisierung der Sicherheits- und Resilienzpraktiken innerhalb der EU erforderlich. Die Anforderungen der BAIT (Bankaufsichtliche Anforderungen an die IT), VAIT (Versicherungsaufsichtliche Anforderungen an die IT) und der KRITIS-Verordnung unterstreichen die Notwendigkeit, vielfältige Schwellenwerte und Sicherheitsstandards zu berücksichtigen.

Mit der EU-Direktive NIS-2 selbst wird also eine höhere IT-Sicherheit im Finanzsektor angestrebt, die dazu beiträgt, die Integrität und die Verfügbarkeit der finanziellen Infrastruktur zu gewährleisten. Insbesondere für Banken und Versicherungen bedeuten diese Richtlinien eine Aufforderung, ihre IT-Sicherheitsmaßnahmen zu verstärken und adäquate Maßnahmen zur Risikominimierung umzusetzen. Dies umfasst nicht nur die Abwehr von Cyberangriffen, sondern auch die Implementierung eines robusten Risikomanagements sowie die Einhaltung strengerer Compliance-Anforderungen.

Fazit

Die Implementierung von NIS-2 bringt für Unternehmen im KRITIS-Bereich spezifische Anforderungen mit sich, deren Erfüllung notwendig ist, um die Einhaltung der EU-Direktive zu demonstrieren. Diese Anforderungen umfassen die Etablierung eines umfassenden Sicherheitskonzepts, das unter anderem die Identifizierung von Risiken, den Schutz kritischer Systeme, die Aufdeckung von Sicherheitsvorfällen und die Reaktion auf diese sowie die Wiederherstellung nach einem Vorfall beinhaltet. Für Unternehmen in der Gesundheits- und Finanzbranche bedeutet dies, dass sie nicht nur ihre bestehenden Sicherheitsmaßnahmen evaluieren, sondern auch in fortschrittliche Technologien und Fachkompetenzen investieren müssen, um den gestiegenen Anforderungen gerecht zu werden.

Die Nichteinhaltung der NIS-2-Richtlinie kann dabei erhebliche Konsequenzen nach sich ziehen, einschließlich finanzieller Strafen, die je nach Schwere der Verstöße und dem Grad der Fahrlässigkeit bis zu 10 Mio. Euro bzw. 2 % des Jahresumsatzes verhängt werden können. Darüber hinaus besteht das Risiko von Reputationsverlusten, die das Vertrauen der Nutzer und Verbraucher untergraben und langfristig die Position des Unternehmens im Markt schwächen können. Es ist daher im Eigeninteresse der Betreiber kritischer Infrastrukturen, die Anforderungen der NIS-2-Richtlinie ernst zu nehmen und umzusetzen.