Fokus Forschung: NIS2 und CRA - Unterstützung oder Beeinträchtigung für Unternehmen bei Datenlecks und Hackerangriffen

Die NIS2-Richtlinie, die im Dezember 2020 verabschiedet wurde, baut auf der ursprünglichen NIS-Richtlinie von 2016 auf und zielt darauf ab, die Cybersicherheit in Europa zu stärken. Sie erweitert die Anforderungen an kritische Infrastrukturen und digitale Dienste und verlangt von den Mitgliedstaaten, strengere Sicherheitsvorkehrungen zu treffen und Sicherheitsvorfälle schneller zu melden.

Zu den wichtigsten Neuerungen der NIS2 gehört die Erweiterung der betroffenen Sektoren. Neben den bisher erfassten Bereichen wie Energie, Gesundheit und Transport werden nun auch digitale Dienstleister (z. B. Cloud-Anbieter, Online-Marktplätze und Suchmaschinen) stärker in die Pflicht genommen. Die Unternehmen müssen nicht nur ihre Netzwerke und Informationssysteme vor Bedrohungen schützen, sondern auch klare Maßnahmen zur Erkennung, Abwehr und Reaktion auf Sicherheitsvorfälle entwickeln.

Ein zentrales Element der NIS2-Richtlinie ist die Meldepflicht für Sicherheitsvorfälle. Sollte ein Vorfall auftreten, müssen Unternehmen diesen innerhalb von 24 Stunden den zuständigen nationalen Behörden melden. Dies stellt sicher, dass auf Vorfälle schnell reagiert und eine koordinierte Antwort auf europäischer Ebene gewährleistet wird. Die Mitgliedstaaten müssen zudem sicherstellen, dass ihre nationalen Cybersicherheitsbehörden über ausreichende Ressourcen verfügen, um die Umsetzung der Richtlinie zu überwachen und die Zusammenarbeit auf internationaler Ebene zu fördern.

NIS2 ist in Deutschland bisher noch nicht aktiv, mit der Umsetzung von NIS-2 ist frühestens im zweiten Quartal 2025 zu rechnen.

Im Gegensatz zur NIS2, die auf die Sicherheit von Netzwerken und Informationssystemen abzielt, richtet sich der Cyber Resilience Act (CRA) vor allem an Hersteller von Produkten mit digitalen Elementen. Der CRA, der im September 2022 von der Europäischen Kommission vorgestellt wurde, verlangt von Herstellern, dass ihre Produkte von Anfang an sicher und widerstandsfähig gegen Cyberangriffe sind. Hierbei handelt es sich um Produkte wie Software, Geräte des Internets der Dinge (IoT) und andere vernetzte Produkte.

Ein wichtiger Aspekt des CRA ist, dass Hersteller von Produkten mit digitalen Elementen verpflichtet werden, sicherheitsrelevante Anforderungen zu erfüllen. Diese beinhalten unter anderem die Durchführung regelmäßiger Sicherheitsprüfungen und die Sicherstellung, dass Produkte auch nach ihrer Markteinführung regelmäßig mit Sicherheitsupdates versorgt werden. Der CRA soll sicherstellen, dass Produkte in der gesamten Lebensdauer sicher bleiben und im Falle von entdeckten Sicherheitslücken schnell gepatcht werden können.

Darüber hinaus müssen Hersteller von Produkten, die Sicherheitslücken oder -vorfälle aufweisen, diese innerhalb eines vorgegebenen Zeitrahmens melden. Dies ist entscheidend, um rasch auf entdeckte Schwachstellen reagieren zu können und so den Schutz für die Endnutzer zu gewährleisten. Der CRA verfolgt somit einen proaktiven Ansatz, indem er Hersteller in die Pflicht nimmt, Cybersicherheit bereits im Entwicklungsprozess von Produkten zu berücksichtigen.

Jochim Selzer gab den Betriebsräten einen Überblick über die NIS2-Richtlinie und den Cyber Resilience Act und deren wichtigste Inhalte. Dabei ging er auf mögliche Folgen für das Arbeitsleben ein und prognostizierte stärkere Regulierungen erlaubter Soft- und Hardware (USB-Sticks, Bluetooth-Peripherie, Drucker, Messenger, Videokonferenzen) sowie den Einsatz von Mehr-Faktor-Authentifizierungen. In der Diskussion wurde seitens der Betriebsräte die enorme Wichtigkeit des datenschutzkonformen Umgangs mit Mitarbeiterdaten auf der einen und die Gewährung der Informationssicherheit auf der anderen Seite hervorgehoben.

Ein weiterer wichtiger Punkt war die Frage, wie die Kontrolle über die vielfältigen Cyberangriffe gewonnen werden kann, ohne dabei die Angestellten in ihrer Arbeit zu behindern und zusätzliche Belastungen zu vermeiden. Durch striktere Sicherheitsvorgaben (z.B. verstärkter Einsatz von Zwei-Faktor-Authentifizierung oder die Einschränkung von externen Geräten) können Mitarbeiter und Mitarbeiterinnen das Gefühl haben, in ihrer Arbeit eingeschränkt zu werden. Das unterstreicht auch die Aussage von Thomas Schläger, IT-Fachmann bei ITSC GmbH „Die Freiheit wird ganz schnell mit Sicherheit eingeschränkt“. Die Anwesenden betonten, dass es enorm wichtig ist, eine gute Balance zwischen Datenschutz, Gesetzeskonformität und Persönlichkeitsrechten zu finden.

Neben dem regen Austausch zu fachrelevanten Themen bestand ein Höhepunkt der Veranstaltung im Besuch der Living Labs des Projekts PerspektiveArbeit Lausitz. Insgesamt konnten vier Labore besichtigt und teilweise ausprobiert werden.