NIS2 ist eine europäische Cybersicherheitsrichtlinie, die Unternehmen dazu verpflichtet, ihre digitale Widerstandsfähigkeit zu verbessern. Auch wenn Ihre Organisation nicht direkt unter die Richtlinie fällt, ist es ratsam, die grundlegenden Maßnahmen umzusetzen: Sie schützen Ihre Website, E-Mail und Kundendaten vor Ausfällen und Missbrauch. Dieser Artikel erklärt, was NIS2 beinhaltet, für wen es relevant ist und welche konkreten Schritte Sie unternehmen können.
Was ist NIS2?
NIS2 steht für die überarbeitete Netzwerk- und Informationssicherheitsrichtlinie der Europäischen Union. Ziel dieser Richtlinie ist es, Organisationen besser vor Cyberbedrohungen wie Datenlecks, Ransomware und Ausfällen digitaler Dienste zu schützen. Die Richtlinie stellt Anforderungen an das Risikomanagement, die Meldung von Vorfällen und die Verantwortung der Geschäftsführung für die digitale Sicherheit.
Während sich frühere Vorschriften vor allem auf große, kritische Sektoren konzentrierten, ist der Anwendungsbereich von NIS2 breiter. Das bedeutet, dass mehr Organisationen mit Verpflichtungen im Bereich Cybersicherheit konfrontiert werden, auch mittelgroße Unternehmen und Zulieferer essenzieller Dienstleistungen.
Für wen ist das relevant?
Nicht jeder Unternehmer fällt direkt unter die formellen Verpflichtungen von NIS2. Ob Ihre Organisation darunterfällt, hängt von Ihrer Branche und Größe ab. Dennoch ist die Richtlinie in der Praxis für deutlich mehr Unternehmen relevant, als es auf den ersten Blick scheint:
- Unternehmen, die direkt unter die Richtlinie fallen, müssen eine nachweisbare Cybersicherheitsstrategie verfolgen.
- Zulieferer und Partner dieser Unternehmen bekommen oft vertraglich Anforderungen auferlegt, auch wenn sie selbst nicht direkt unter die Richtlinie fallen.
- Jeder Unternehmer, der online tätig ist, profitiert von den zugrunde liegenden Prinzipien: eine sichere Website, abgesicherte E-Mails und ein funktionierender Wiederherstellungsplan im Fall von Vorfällen.
Kurz gesagt: Auch ohne gesetzliche Verpflichtung ist es ratsam, Ihre digitale Basis nach den Grundsätzen von NIS2 in Ordnung zu bringen.
Welche Maßnahmen gehören zu NIS2?
Die Richtlinie verlangt einen risikobasierten Ansatz für die Cybersicherheit. In der Praxis läuft das auf einige erkennbare Bausteine hinaus:
- Risikomanagement: ermitteln, welche Systeme und Daten anfällig sind, und entsprechende Maßnahmen darauf abstimmen.
- Zugangssicherheit: starke Passwörter, wo möglich Zwei-Faktor-Authentifizierung und eingeschränkte Zugriffsrechte.
- Verschlüsselte Verbindungen: Nutzung von SSL/TLS für Websites und sichere Protokolle für E-Mails.
- Backups und Wiederherstellungsplan: regelmäßige, getestete Backups, damit Sie sich nach einem Vorfall schnell erholen können.
- Vorfallsregistrierung: dokumentieren, was bei Störungen oder Angriffen passiert, damit Sie daraus lernen und bei Bedarf melden können.
- Kettenverantwortung: auch die Sicherheit von Lieferanten und Dienstleistern berücksichtigen.
Konkrete Schritte für Ihre Website und Ihr Hosting
Für Website-Betreiber und Unternehmer übersetzt sich NIS2 vor allem in praktische Hygiene im Bereich Hosting, E-Mail und Domainverwaltung. Die folgenden Schritte bieten einen konkreten Ausgangspunkt.
Verschaffen Sie sich einen Überblick über Ihre digitale Umgebung
Notieren Sie, welche Websites, Domains, Postfächer und Verbindungen Sie nutzen und wer darauf Zugriff hat. Ohne Überblick ist Risikomanagement nicht möglich.
Überprüfen Sie SSL und Sicherheitseinstellungen
Sorgen Sie dafür, dass jede Website standardmäßig über HTTPS läuft und Zertifikate automatisch erneuert werden. Bei Webhosting mit kostenlosem SSL müssen Sie sich darum selbst nicht kümmern.
Sichern Sie Ihre geschäftliche E-Mail
Sorgen Sie für korrekte SPF-, DKIM- und DMARC-Einträge, damit Spoofing und Phishing über Ihre Domain verhindert werden. Dies gehört zu einer guten geschäftlichen E-Mail.
Richten Sie automatische Backups ein
Sorgen Sie dafür, dass Ihre Website und E-Mail täglich gesichert werden, und testen Sie regelmäßig, ob eine Wiederherstellung auch tatsächlich funktioniert.
Überprüfen Sie die Domainverwaltung und den Eigentümer
Sorgen Sie dafür, dass Domainnamen auf den Namen der richtigen Organisation registriert sind, mit aktuellen Kontaktdaten und einer Sperre gegen unerwünschte Übertragungen.
Legen Sie Richtlinien und Vereinbarungen fest
Dokumentieren Sie, wer für die Sicherheit verantwortlich ist, was bei einem Vorfall passiert und wie Sie Zulieferer hinsichtlich digitaler Sicherheit bewerten.
Im Plesk-Kontrollpanel Ihres Hostings finden Sie oft bereits direkt Einstellungen für SSL, Backups und E-Mail-Sicherheit, sodass Sie diese Grundmaßnahmen schnell überprüfen oder aktivieren können.
Häufig gestellte Fragen
Fällt mein Unternehmen automatisch unter NIS2?
Das hängt von Ihrer Branche und der Größe Ihrer Organisation ab. Wenn Sie unsicher sind, wenden Sie sich an einen Rechtsberater oder Ihren Branchenverband für eine konkrete Einschätzung.
Ist NIS2 nur für große Unternehmen relevant?
Nein. Auch kleinere Unternehmen, die Teil einer Kette mit größeren Organisationen sind, bekommen häufig Anforderungen über Verträge oder Einkaufsbedingungen auferlegt.
Reichen ein SSL-Zertifikat und ein Backup aus, wenn ich nicht unter die Richtlinie falle?
Das ist eine gute Grundlage, aber Risikomanagement, Zugangssicherheit und ein Vorfallprozess gehören ebenfalls zu einem ausgereiften Sicherheitsansatz, unabhängig davon, ob Sie formell dazu verpflichtet sind.
Was passiert, wenn ich nichts unternehme?
Ohne grundlegende Maßnahmen besteht ein größeres Risiko für Datenlecks, Ausfälle und Imageschäden, und im Falle eines Vorfalls wird es schwieriger nachzuweisen, dass Sie sorgfältig gehandelt haben.
Wo kann ich mich bei Fragen zu meiner Hosting-Umgebung hinwenden?
Bei Fragen zu SSL, Backups oder E-Mail-Sicherheit können Sie sich an die Wissensdatenbank oder den Support Ihres Hosting-Anbieters wenden.
Fazit
Bei NIS2 geht es um das strukturelle Management digitaler Risiken: wissen, was man hat, den Zugang und die Verbindungen absichern, für Backups und einen Wiederherstellungsplan sorgen und Verantwortung für die gesamte digitale Kette übernehmen. Auch ohne direkte Verpflichtung ist es ratsam, diese Grundlage für Ihre Website, E-Mail und Domains in Ordnung zu bringen.