Neues Gesetz: Deutscher Mittelstand zwei Monate vor NIS-2-Start unvorbereitet

Kurz vor Inkrafttreten der NIS-2-Richtlinie zur Cybersicherheit am 17. Oktober 2024 ist das Thema bei vielen Unternehmen nicht in der Chefetage angekommen, so der Gewerbeversicherungsspezialist Finanzchef24. Aktuellen Zahlen der Bundesregierung zufolge sind in Deutschland rund 29.500 Unternehmen von der neuen EU-Richtlinie betroffen, die nun ins deutsche Recht übernommen wird. Finanzchef24 geht von bis zu 40.000 Unternehmen aus – ca. 30 % mehr als von der Regierung angegeben. Das Bundeskabinett hatte den NIS-2-Entwurf mit umfangreichen Änderungen am 24. Juli 2024 beschlossen.

Bild: Finanzchef24

Diese Richtlinie soll die Wirtschaft resilienter gegen Cyberangriffe machen. „Mit unserem Gesetz erhöhen wir den Schutz vor Cyberangriffen, egal ob sie staatlich gelenkt oder kriminell motiviert sind. Künftig müssen mehr Unternehmen in mehr Sektoren Mindestvorgaben für die Cybersicherheit und Meldepflichten bei Cybervorfällen erfüllen. Wir steigern das Sicherheitsniveau – und senken damit das Risiko für Unternehmen, Opfer von Cyberangriffen zu werden“, sagte Bundesinnenministerin Nancy Faeser zur Verabschiedung.

Cybergefahr wird größer

Das Gesetz gilt zunächst für Unternehmen, die mehr als 50 Mitarbeiter beschäftigen und mehr als 10 Millionen Euro Umsatz erwirtschaften – und die in kritischen Wirtschaftsbereichen tätig sind. „Das Problem: Vielen Unternehmen ist gar nicht bewusst, dass sie in einem kritischen oder besonders wichtigen Sektor unterwegs sind“, sagt Payam Rezvanian, Mitglied der Geschäftsleitung bei Finanzchef24 mit Blick auf Mittelständler aus den Bereichen Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Banken und Finanzmärkte.

Die kürzlich durch einen Update-Fehler verursachten weltweiten IT-Ausfälle sollten für alle ein Weckruf sein, sich widerstandsfähiger gegen IT-Notfälle aufzustellen, heißt es von Finanzchef24.  Auch Europol warnt davor, dass immer mehr kleine Firmen und Privatpersonen attackiert werden. Gerade jene Unternehmen, die unter den Mindestvorgaben liegen, sollten die verbleibende Zeit bis zum Inkrafttreten im Oktober nutzen. Auch für sie lohne es sich bereits heute, die strengeren Sicherheitsmaßnahmen umzusetzen.

Widerstandsfähiger gegen IT-Notfälle

Deshalb sind die strengeren Sicherheits-Vorgaben sehr wichtig. Dazu zählen Aspekte wie regelmäßige Risikoanalysen, Stresstests, Notfallpläne, tägliche Datensicherungen, Sicherheitstrainings für Mitarbeiter, 2-Faktor-Authentifizierung oder eine angemessene Rechteverwaltung. Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheit und -resilienz von Unternehmen zu stärken. Daher sollten Unternehmen die Richtlinie als Anlass nehmen, die IT zu durchleuchten. Die Aufgabe liegt laut Finanzchef24 bei den Geschäftsführern. „Geschäftsführer und IT-Leiter können persönlich haftbar gemacht werden, wenn sie ihre Sicherheitsverpflichtungen nicht erfüllen“, warnt Rezvanian.

Finanzchef24 rät zusätzlich, eine Cyberversicherung zu prüfen. Ab Oktober 2024 wird der Abschluss einer Cyberversicherung für Unternehmen nach Rezvanians Einschätzung wegen der neuen Richtlinie noch schwieriger. „Wer jetzt einen Angebotsprozess für IT-Cyberversicherungen durchläuft, kann im Zuge dessen die Mindestanforderungen ins eigene Unternehmen übertragen. Einige Versicherer bieten sogenannte Antragsmodelle an: Dort können Unternehmer Angaben zur eigenen IT-Sicherheit machen und prüfen, ob sie eine Versicherung erhalten würden. So wird einerseits verhindert, dass Anträge abgelehnt werden und andererseits erhält das Unternehmen Hinweise auf wesentliche IT-Schwachstellen“, sagt Rezvanian.

Das ebne den Weg für einen neuen Antrag mit verbesserter IT-Sicherheit. Versicherer setzen wegen der steigenden Schadensausgaben heute bei Neuverträgen und auch für die Verlängerung der bestehenden Cyberversicherungen Firewalls ebenso voraus wie einen aktuellen Stand der IT-Technik. Darüber hinaus passen Versicherer fortlaufend ihre Konditionen an. Neben oft steigenden Prämien und fallenden Deckungssummen im Neugeschäft erhöhen sie sukzessive die generellen Anforderungen an die IT-Sicherheit.