NIS2-Richtlinie: Was bedeutet sie für leitende Angestellte und ihre Cybersicherheitsstrategie?

In dieser Blogserie haben wir bereits die Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit erörtert, die im Rahmen der neuen NIS-2-Verordnung erforderlich sind. Diese Anforderungen bilden den Rahmen für die Verbesserung der Cybersicherheit in der gesamten Europäischen Union und werden dafür sorgen, dass Sicherheitsteams in den nächsten Jahren sehr gefragt sein werden.

Dieses Mandat für erhöhte Sicherheitsmaßnahmen wird große Auswirkungen auf die Art und Weise haben, wie Unternehmen verwaltet und Cybersicherheitsstrategien ausgearbeitet werden. Die Rolle des Chief Information Security Officer (CISO) wird in Europa nach NIS 2 wahrscheinlich an Bedeutung gewinnen, aber die Verantwortung wird auf alle Top-Führungskräfte in den Unternehmen übergehen. Die nationalen Behörden werden in der Lage sein, die Apps von Cybersicherheitsmaßnahmen zu prüfen und zu bewerten, und schwerwiegende Verstöße können zu vorübergehenden Verboten für Topmanager*innen und zur Aussetzung der Unternehmenstätigkeit führen, wobei die Art der Verstöße möglicherweise veröffentlicht wird. Die Nichteinhaltung der Vorschriften kann auch zu hohen Geldstrafen führen, die von 7 Millionen Euro oder 1,4 % des Jahresumsatzes für Unternehmen, die als wichtige Unternehmen eingestuft sind, bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes für wesentliche Unternehmen reichen.

Darüber hinaus möchte die EU, dass die Vorstände für Probleme zur Verantwortung gezogen werden, anstatt den IT-Teams den schwarzen Peter zuzuschieben. Die Bußgelder, die sich an Führungskräfte richten, sollen zu umfassender Planung und sorgfältigen Investitionen in die Problemvermeidung ermutigen - denn es ist viel kosteneffizienter, einem Vorfall nachzukommen, als die Tür für finanzielle Strafen offenzulassen before , die sich aus after einer Datenschutzverletzung ergeben.

Hier können CISOs glänzen — durch die Entwicklung einer robusten Sicherheitsstrategie, die das Kopfzerbrechen durch Sicherheitsverletzungen vermeidet und die Geschäftskontinuität fördert, werden diese Führungskräfte wahrscheinlich ihr Profil und das ihrer Teams schärfen.

Richtig investieren: technische, betriebliche und organisatorische Faktoren

Aufgrund der zusätzlichen Verantwortung benötigen die Sicherheitsbeauftragten und ihre Teams größere Budgets und die Genehmigung, die Ausgaben in den nächsten Jahren zu erhöhen. Einem Prognosebericht von Gartner zufolge hatte der Markt für Informationssicherheit und Risikomanagement im Jahr 2022 einen Wert von 170 Milliarden Euro, mit einem geschätzten weltweiten Wachstum von 6,5 % bis 2025. Prognosen der Europäischen Kommission gehen davon aus, dass die Ausgaben für die einzelnen Sektoren in den nächsten drei bis vier Jahren aufgrund der NIS 2 um 12 % bis 22 % steigen werden — eine Zahl, deren Nutzen die Kosten bei weitem übersteigen dürfte.

Um dieses Potenzial auszuschöpfen, müssen die Manager*innen wichtige Entscheidungen über die Ausgaben treffen, nicht nur für die IT-Infrastruktur, sondern auch für Personal und Ausbildung. Obwohl die NIS 2 nicht vorschreibt, wie die Schulungen zur Cybersicherheit in den einzelnen Mitgliedstaaten aussehen sollten, legt die Richtlinie fest, dass ein angemessenes Bewusstsein für Cyber-Bedrohungen zu den bewährten Verfahren der Unternehmen gehören sollte. Die Mitgliedstaaten müssen den Cyberschutz für Bürger, Interessengruppen und Unternehmen aktiv fördern und ausbauen und dabei erforderlichenfalls auf weitere Vorschriften zurückgreifen.

Was die Talente betrifft, so haben die Unternehmen die zusätzliche Aufgabe, in einem zunehmend wettbewerbsintensiven Markt Personal einzustellen. Um mit den aufkommenden und sich weiterentwickelnden Bedrohungen der Cybersicherheit Schritt halten zu können, müssen die richtigen Fachleute eingestellt oder die and richtigen Mitarbeiter*innen dazu befähigt werden, diese Fähigkeiten zu erlernen. Viele Unternehmen haben bereits Schwierigkeiten, Absolvent*innen der traditionellen Fachrichtungen Informatik, Ingenieurwesen und Mathematik zu finden, sodass es für Personalvermittler*innen wichtig ist, den traditionellen Talentpool zu erweitern.

Die Aufstockung des Personals durch externe Mitarbeiter*innen ist eine Möglichkeit, den Mangel zu beheben, aber wahrscheinlich nicht ausreichend. Nach Ansicht der Europäischen Kommission müssen Unternehmen ihr Wertversprechen an ihre Mitarbeiter*innen überdenken. Strategien, die sich ausschließlich auf den Output und nicht auf das menschliche Element konzentrieren, sind heute überholt. Technologie und Automatisierung müssen eingesetzt werden, um die Mitarbeiter*innen zu entlasten und ihnen die Möglichkeit zu geben, sich von lästigen Aufgaben auf solche zu verlagern, die den größten Mehrwert bringen, und gleichzeitig ihre Karriere weiterzuentwickeln. Geschäftsprozesse müssen zuerst betrachtet werden, wobei Bereiche wie das Gerätemanagement ein gutes Beispiel dafür sind, wie sich wiederholende Arbeiten im Sinne der Effizienz und der Mitarbeiterzufriedenheit rationalisiert werden können. In ähnlicher Weise kann der Einsatz von maschinellem Lernen die Arbeit von Informationssicherheitsteams verbessern und es den Mitarbeiter*innen ermöglichen, ein tieferes Verständnis für bösartige Akteur*innen zu erlangen, wie es nur Menschen können.

Aufdeckung bestehender Lösungen für sich entwickelnde Probleme

Die EU hat einen Rahmen geschaffen, der die Entscheidungsfindung auf höchster Ebene im Bereich der Informationstechnologie in absehbarer Zukunft stark beeinflussen wird. Diese Maßnahmen sind umfassend genug, um den Umgang von Unternehmen mit Risiken und den enormen Geldverlusten durch Cyberangriffe erheblich zu verbessern. Dies ist auch eine fantastische Gelegenheit für Unternehmen, sich mit der bereits verfügbaren und für sie erreichbaren Technologie vertraut zu machen. Moderne Sicherheitslösungen sind weniger komplex und invasiv geworden und sind viel besser in der Lage, Bedrohungen für Unternehmen jeder Größe zu verhindern.

Unabhängig davon, ob ein Unternehmen direkt von der NIS 2 betroffen ist oder nicht, müssen die für den Erfolg des Unternehmens Verantwortlichen nicht nur die einschlägigen Vorschriften, sondern auch die Vorschriften selbst gründlich berücksichtigen:

• Trends, die Unternehmen und Branchen beeinflussen
• die Vielfalt und die Auswirkungen von Arbeitsumgebungen
• sowie die moderne und sich entwickelnde Bedrohungslandschaft