Datenmanagement für NIS2-Compliance – Data Management for NIS2 Compliance

Eine überarbeitete EU-weite NIS-Regulierung war überfällig. Zwar hatte NIS1 die Cyberresilienz in den europäischen Unternehmen bereits wesentlich verbessert. Dennoch macht die fortschreitende Digitalisierung eine kontinuierliche Anpassung notwendig – NIS2 soll die Cybersicherheit nun weiter stärken. In Anbetracht von stetig aufrüstenden Bedrohungsakteuren ist das eine positive Nachricht. Doch was kommt auf die Unternehmen im Rahmen von NIS2 konkret zu?

Was ist neu an NIS2?

Die neue Richtlinie erweitert die Anzahl der betroffenen Sektoren erheblich: Ab Oktober fallen auch B2B-IKT-Dienstleister, Abwasseranlagen, die öffentliche Verwaltung und die Raumfahrt in den Bereich der wesentlichen Einrichtungen. Insgesamt erhöht sich die Anzahl der Sektoren auf 18, sieben neue „Important Entities“ kommen hinzu und die Schwellenwerte für die Aufnahme werden gesenkt. Das bedeutet, dass mehr betroffene Unternehmen sich darum kümmern müssen, die Vorgaben einzuhalten.

Außerdem müssen Unternehmen nun verpflichtend Cyber-Risikomanagement betreiben, sowie in der Lage sein, das Risiko eines Cyberangriffs in ihrer Lieferkette einzuschätzen.  Das sollte idealerweise auf Basis eines Information Security Management Systems (ISMS) mit Reaktionsplänen, Mitarbeiterschulungen, Tests und regelmäßigen Audits umgesetzt werden, die je nach Branche auch unangekündigt erfolgen können. Setzen Unternehmen die neuen Regeln nicht um, so haften die Geschäftsführer künftig persönlich bei etwaigen Schäden. Die Strafen reichen bei „wesentlichen Entitäten“ bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes.

Die Meldepflicht wurde darüber hinaus deutlich verschärft. Als Aufsichtsbehörde fungiert das Bundesamt für Sicherheit in der Informationstechnik (BSI). Bei Verdacht auf Cyber-Zwischenfälle, gezielte kriminelle Handlungen oder mögliche weitere Auswirkungen auf andere Sektoren ist eine Frühwarnung innerhalb von 24 Stunden nach einem signifikanten Vorfall erforderlich. Spätestens nach 72 Stunden sollte ein Update erfolgt sein, in dem die Schwere des Vorfalls und konkrete Anzeichen der Kompromittierung aufgeschlüsselt werden. Auf Anforderung des BSI müssen Unternehmen weitere Zwischenberichte liefern. Stichtag für den Abschlussbericht, der eine detaillierte Beschreibung des Vorfalls enthält, ist spätestens ein Monat nach dem Vorfall. Der Bericht sollte dabei die Art und Ursache der Gefährdung beschreiben, betroffene Systeme und Daten sowie auf die Gegenmaßnahmen und mögliche grenzüberschreitende Auswirkungen auf andere Unternehmen und Sektoren eingehen.

NIS2 will auch die Zusammenarbeit zwischen den EU-Staaten stärken: Ein nationales CSIRT (Computer Security Incident Response Team) in allen EU-Mitgliedstaaten dient künftig dazu, Kommunikation und Abläufe besser zu organisieren. In Deutschland übernimmt diese Rolle das BSI. Die nationalen CSIRTs kooperieren auf EU-Ebene und berichten an die gesamt-koordinierende Cybersicherheits-Behörde ENISA (European Union Agency for Cybersecurity).

Intelligentes Datenmanagement bildet die Grundlage für Cyberresilienz

Mit diesen Regulierungen zielt NIS2 darauf ab, die Cyberresilienz europäischer Unternehmen zu erhöhen, Lieferketten besser abzusichern und Meldepflichten klarer zu regeln. Damit Firmen den strikteren Anforderungen gerecht werden können, ist vor allem eine überarbeitete Datenstrategie gefragt.

Grundlage dafür sind intelligente Datenmanagement- und Sicherheitslösungen. Diese helfen Unternehmen, ihre Cybersicherheit gezielt zu verbessern. Sie bieten Analysen, automatisierte Gefahrenerkennung und Maßnahmen zur Eindämmung auf Basis von Maschinellem Lernen (ML) und Künstlicher Intelligenz (KI) sowie robuste Datensicherungsfunktionen. Replikation und Wiederherstellung gehören dabei zu den essenziellen Funktionen, denn sie stellen die Verfügbarkeit und Ausfallsicherheit kritischer Systeme und Daten sicher. Um die hohen Anforderungen von NIS2 zu erfüllen, braucht es zudem abgesicherte Storage-Lösungen, die Daten sowohl im Ruhezustand als auch während der Übertragung schützen können. Verschlüsselung, Zugriffskontrolle und sichere Protokolle vermindern das Risiko von unberechtigten Datenzugriffen weiter, was ebenfalls der Intention von NIS2 entspricht. Intelligente Erkennung und die Handhabung ungewöhnlicher Aktivitäten mit den Daten unterstützen wirksam und schnell den täglichen Betrieb, ohne Mehrbelastung der Mitarbeiter. Aktuelle Sicherheitszertifikate wie das CSfC, FIPS 140-2 und weitere belegen die hohen Sicherheitsmerkmale der eingesetzten Speicherlösungen.

Wird ein Angriffsversuch entdeckt, fordert die überarbeitete Regulierung sofortige Gegenmaßnahmen und eine lückenlose Berichterstattung. Um die Aufklärung von Zwischenfällen zu erleichtern, automatisieren intelligente Datenmanagementlösungen die Erkennung von Gefahren, erstellen nicht veränderbare Daten-Snapshots, speichern optional Daten in Compliance-gesicherten Speicherbereichen oder DataVaults und unterstützen dabei, die Betriebsbereitschaft schnell wieder herzustellen.

Auf diese Weise sind Firmen zudem in der Lage, im Falle eines Cybersicherheits-Vorgangs Daten und Dienste schnell wiederherzustellen. Automatisierungs- und Orchestrierungswerkzeuge leisten weiterhin einen Beitrag dazu, die Effizienz von Compliance-Prozessen zu steigern, das Risiko menschlicher Fehler zu reduzieren und eine einheitliche Anwendung von Sicherheitsrichtlinien zu gewährleisten. Damit kann eine intelligente Datenverwaltung, unterstützt durch Analysen, Reportings, Testmöglichkeiten und Erkennung sowie Handhabung, ein wesentlicher Faktor für die Einhaltung der NIS2-Compliance-Anforderungen sein.

A revised EU-wide NIS regulation was overdue. It is true that NIS1 had already significantly improved the cyber resilience of European companies. However, advancing digitalization requires continuous adaptation – NIS2 is now intended to further strengthen cybersecurity. This is positive news given the constant evolution of threat actors. But what exactly does NIS2 mean for businesses?

What’s new about NIS2?

The new directive significantly expands the number of sectors affected: from October, B2B ICT service providers, wastewater treatment plants, public administration and space will also fall within the scope of essential facilities. In total, the number of sectors will increase to 18, seven new „critical facilities“ will be added, and the thresholds for inclusion will be lowered. This means that more covered entities will need to ensure compliance.

In addition, companies must now implement mandatory cyber risk management and be able to assess the risk of a cyber attack in their supply chain.  Ideally, this should be implemented through an Information Security Management System (ISMS) with response plans, employee training, testing and regular audits, which may be unannounced depending on the industry.

If companies fail to implement the new rules, directors will be personally liable for any damages. Penalties range up to ten million euros or two percent of global turnover for „material entities“.

Reporting requirements have also been significantly tightened. The Federal Office for Information Security (BSI) is the supervisory authority. In the case of suspected cyber incidents, targeted criminal acts or possible further effects on other sectors, an early warning is required within 24 hours of a significant incident. An update should be provided within 72 hours, detailing the severity of the incident and specific evidence of compromise. Companies must provide further interim reports at the request of the BSI. The final report, which contains a detailed description of the incident, is due no later than one month after the incident. The report should describe the nature and cause of the threat, the systems and data affected, the countermeasures taken, and the potential cross-border impact on other companies and sectors.

NIS2 also aims to strengthen cooperation between EU member states: a national CSIRT (Computer Security Incident Response Team) in each EU member state will serve to better organize communication and processes in the future. In Germany, this role will be taken over by the BSI. The national CSIRTs cooperate at the EU level and report to ENISA (European Union Agency for Cybersecurity), the coordinating body for cybersecurity.

Intelligent data management as the foundation for cyber resilience

With these regulations, NIS2 aims to increase the cyber resilience of European companies, better secure supply chains and clarify reporting obligations. In order for companies to meet the stricter requirements, a revised data strategy is required.

The foundation is intelligent data management and security solutions. These solutions help organizations improve their cybersecurity. They provide analytics, automated threat detection and mitigation based on machine learning (ML) and artificial intelligence (AI), and robust data protection capabilities. Replication and recovery are key capabilities that ensure the availability and resiliency of critical systems and data.

To meet the stringent requirements of NIS2, secure storage solutions are also needed to protect data both at rest and in transit. Encryption, access control, and secure protocols further reduce the risk of unauthorized data access, which is also the intent of NIS2. Intelligent detection and handling of anomalous activity with the data effectively and quickly supports day-to-day operations without additional workload for employees. Current security certifications such as CSfC, FIPS 140-2 and others confirm the high security features of the storage solutions used.

If an attempted attack is detected, the revised regulation requires immediate countermeasures and seamless reporting. To facilitate incident investigation, intelligent data management solutions automate threat detection, create tamper-proof data snapshots, optionally store data in compliance-secure storage areas or DataVaults, and help quickly restore business operations.

This enables organizations to quickly recover data and services in the event of a cybersecurity incident. Automation and orchestration tools also help increase the efficiency of compliance processes, reduce the risk of human error, and ensure consistent application of security policies. This means that intelligent data management supported by analytics, reporting, testing, detection and response can be a key factor in meeting NIS2 compliance requirements.