Müssen Sie NIS-2 in Ihrem Unternehmen umsetzen?

Ja – die NIS2-Richtlinie (EU 2022/2555) stuft Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste ausdrücklich als kritische Akteure im Bereich der digitalen Infrastruktur ein. Wenn Sie Internetzugang, Sprachdienste oder Datenübertragung für externe Kunden bereitstellen und mehr als 50 Mitarbeiter beschäftigen oder einen Umsatz von mehr als 10 Mio. EUR erzielen, gelten Sie ausnahmslos als kritisches Unternehmen. Kleinere Internetdienstanbieter können auf Beschluss der nationalen Regulierungsbehörde einbezogen werden, sofern sie Dienste von kritischer Bedeutung erbringen. Kontaktieren Sie uns – wir führen eine kostenlose Überprüfung durch.

Schlüsselakteure (zu denen auch Internetdienstanbieter gehören) unterliegen strengeren Aufsichtsvorschriften als wichtige Akteure. Die Unterschiede sind erheblich: höhere Obergrenzen für Geldbußen (10 Mio. € gegenüber 7 Mio. €), eine aktive und proaktive Aufsicht durch die Behörden (nicht nur reaktiv nach einem Vorfall) sowie die Verpflichtung zur Registrierung und regelmäßigen Berichterstattung. Bei Schlüsselakteuren können die Aufsichtsbehörden unangekündigte Kontrollen durchführen, externe Prüfungen verlangen und Anordnungen zur sofortigen Einstellung der Geschäftstätigkeit erlassen. Bei wichtigen Akteuren erfolgt die Aufsicht reaktiv – sie findet hauptsächlich nach einem Vorfall statt.

Das Business-Continuity-Management bei einem Internetdienstanbieter (ISP) ist ein formelles, dokumentiertes System, das sicherstellt, dass der Betreiber in der Lage ist, seine Dienste nach einem Ausfall oder Angriff aufrechtzuerhalten oder schnell wiederherzustellen. NIS2 schreibt konkret Folgendes vor: einen Business-Continuity-Plan (BCP), der die Verfahren zur Aufrechterhaltung der Dienste bei verschiedenen Ausfallszenarien beschreibt, einen Disaster-Recovery-Plan (DRP) mit messbaren RTO- und RPO-Zielen sowie die regelmäßige Überprüfung beider Pläne (mindestens einmal jährlich) sowie die Dokumentation der Testergebnisse. ITH erstellt und testet beide Pläne im Rahmen der NIS2-Implementierung für Internetdienstanbieter.

NIS2 erlegt den Internetdienstanbietern (ISP) als Schlüsselakteuren eine dreistufige Meldepflicht für schwerwiegende Vorfälle auf: (1) Frühwarnung innerhalb von 24 Stunden nach Feststellung – grundlegende Informationen zur Art des Vorfalls, (2) vollständige Meldung des Vorfalls innerhalb von 72 Stunden – detaillierte Bewertung, Ausmaß und potenzielle Auswirkungen, (3) Abschlussbericht innerhalb von 30 Tagen – Beschreibung der ergriffenen Abhilfemaßnahmen und der gezogenen Schlussfolgerungen. CSIRT Polska ist die zentrale Stelle für die Entgegennahme von Meldungen. Unser rund um die Uhr besetztes SOC automatisiert diesen gesamten Prozess – von der Erkennung über die Einstufung bis hin zum Versand des erforderlichen Berichts im Namen Ihres Internetdienstanbieters.

Die Haftung der Führungskräfte ist einer der wichtigsten Bestandteile von NIS2 und ist durchaus konkret. Die Richtlinie verpflichtet die Behörden der Mitgliedstaaten, Mechanismen zur persönlichen Haftung von Personen in Führungspositionen einzuführen. In Polen bedeutet dies die Möglichkeit, eine Geldstrafe in Höhe von bis zu 300 % des Monatsgehalts zu verhängen und in Extremfällen ein Verbot der Ausübung von Führungsaufgaben zu erlassen. Die Haftung ist aufsichtsrechtlicher Natur – die Geschäftsführung ist für die Einführung und Aufrechterhaltung des Sicherheitssystems verantwortlich, auch wenn sie nicht am täglichen technischen Betrieb beteiligt ist. Daher sind Schulungen für die Führungskräfte ein obligatorischer Bestandteil unserer Umsetzung.

Ja – ITH führt die Umsetzung von NIS2 als externes Expertenteam durch und reduziert dabei den Aufwand für die interne IT-Abteilung auf ein Minimum. Den gesamten administrativen, dokumentarischen und rechtlichen Aufwand übernehmen wir. Dies umfasst: das Audit, die Erstellung von Richtlinien und Verfahren, Schulungen, die technische Umsetzung der Sicherheitskontrollen sowie die kontinuierliche SOC-Überwachung rund um die Uhr (24/7). Für Internetdienstanbieter ohne eigenes Sicherheitsteam ist dies das effektivste und schnellste Implementierungsmodell.