Neue EU-Richtlinie

NIS 2 zwingt Firmen zu erhöhter Cybersicherheit

Bisher war es Unternehmen selbst überlassen, ob sie Risikomanagementmaßnahmen treffen oder das Risiko eines Cyber-Vorfalls akzeptieren. Durch NIS 2 ändert sich das.(Bild: Photocreo Bednarek - stock.adobe.com)

Durch die EU-Richtlinie NIS 2 werden tausende Unternehmen in Österreich zu mehr Cybersicherheit verpflichtet. Weiters haben Mitgliedstaaten unter anderem die Pflicht, nationale Cybersicherheitsstrategien festzulegen.

Die Umsetzung der Maßnahmen der Richtlinie könnte die Schäden ähnlicher Vorfälle wie dem CrowdStrike-Ausfall Mitte Juli reduzieren, sagte der Cybersicherheitsexperte Marc Nimmerrichter.„NIS 2 ist die Gurtpflicht im Cyberraum“, vergleicht er das Gesetz, „man wird jetzt verpflichtet, sich anzuschnallen beziehungsweise sich zu schützen“.

„Notwendig und sinnvoll“
Bisher sei es Unternehmen selbst überlassen gewesen, ob sie Risikomanagementmaßnahmen treffen oder das Risiko akzeptieren. Die Richtlinie der EU sei daher „notwendig und sinnvoll“, da bei Ausfällen nicht nur ein Unternehmen betroffen sei, sondern die gesamte Lieferkette und insbesondere bei der kritischen Infrastruktur ein Dominoeffekt ausgelöst würde, so Nimmerrichter vom IT-Security-Unternehmen Certitude.

Obwohl die Vorgaben noch nicht in österreichisches Recht umgesetzt wurden, sei sichtbar, dass Unternehmen, insbesondere größere, aufgrund dieser Regulatorik in Cybersicherheit investieren. Maßnahmen in diesem Bereich würden in der Regel monatelange Vorbereitung benötigen. „Da sollten Unternehmen schon tätig werden“, rät Nimmerrichter.

Niemand hat überall Zugriff
Für Unternehmen würde die Richtlinie unter anderem bedeuten, dass künftig „niemand mehr immer überall Zugriff hat, auch nicht der Geschäftsführer – das ist ein zu großes Sicherheitsrisiko“. Betroffen sind mittlere (ab 50 Mitarbeiterinnen und Mitarbeitern oder Jahresumsatz und Jahresbilanzsumme jeweils über zehn Millionen Euro) und große Unternehmen mehrerer Sektoren. Kleine Unternehmen können betroffen sein, wenn sie in der digitalen Infrastruktur tätig sind.

Ob die NIS 2-Richtlinie bis 17. Oktober 2024 in österreichisches Recht gegossen wird, wie von der EU vorgesehen, ist fraglich. Anfang Juli erreichte ein Gesetzesvorschlag nicht die nötige Zweidrittelmehrheit im Parlament.