Network and Information Security Directive (NIS 2)

Aufsehenerregende Ransomware-Kampagnen sorgen immer häufiger für Schlagzeilen. Zudem ist laut dem aktuellen Global Threat Intelligence Report von BlackBerry die Zahl der Unique Malware Attacks pro Minute im Zeitraum Januar bis März 2024 im Vergleich zum Zeitraum September bis Dezember 2023 weltweit um mehr als 40 Prozent gestiegen.

Besonders betroffen sind kritische Infrastrukturen wie der Finanzsektor, das Gesundheitswesen und Behörden, auf die 60 Prozent aller Angriffe entfallen. Nach Angaben der Europäischen Agentur für Cybersicherheit (ENISA) richtete sich 2022 die überwiegende Mehrheit der Angriffe in Europa gegen öffentliche Verwaltungen und Regierungen, Anbieter digitaler Dienste und kritische Infrastrukturen.

Um die gefährdeten Bereiche zu schützen und der weltweiten Angriffswelle entgegenzuwirken, wurde die NIS-2-Richtlinie verabschiedet. Um die NIS-2-Richtlinie zu erfüllen und das Cyber-Risiko zu reduzieren, müssen Unternehmen neue Prozesse einführen, die es ihnen ermöglichen, Angriffe schneller zu melden. Außerdem müssen Entscheidungsträger und Mitarbeiter regelmäßig zum Thema Cybersicherheit geschult werden.

Eine weitere Anforderung ist die Erstellung eines Business-Continuity-Plans für größere Cyber-Vorfälle. Dieser Plan muss zentrale Richtlinien, Verfahren und wichtige Kontakte – auch zu Drittanbietern – enthalten, um erfolgreiche Angriffe schnell eindämmen und kontrollieren zu können.

Hohe Strafen sollen die Einhaltung der NIS 2-Richtlinie sicherstellen: Es drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes des Unternehmens – je nachdem, welcher Betrag höher ist.

Frühzeitig mit der Vorbereitung beginnen

Ulf Baltin, Managing Director DACH bei BlackBerry, fasst im Folgenden sechs hilfreiche Maßnahmen zur Umsetzung der NIS-2-Richtlinie zusammen. Sie helfen Unternehmen, sich auf die Frist im Oktober 2024 vorzubereiten.

1. Cyberangriffe vorhersehen und verhindern: Die Implementierung von KI-gesteuerten Cybersicherheitstools ist notwendig, um Bedrohungen zu erkennen und zu verhindern, bevor sie Schaden anrichten.
2. Bei der Verwaltung des Benutzerzugriffs auf Anwendungen und Daten einen Zero-Trust-Ansatz verfolgen: Dieser Ansatz verringert das Risiko von Sicherheitsverletzungen durch granulare Zugriffskontrolle und ermöglicht sicheres Arbeiten von überall.
3. Schnelle Benachrichtigung und Reaktion auf Cyber-Vorfälle: Der Einsatz moderner Managed Detection and Response (MDR) Services erhöht die Qualität des Schutzes und die Reaktionsgeschwindigkeit von Unternehmen enorm. Viele Unternehmen können nur mit dem richtigen MDR-Partner die Anforderungen erfüllen.
4. Schutz unternehmenseigener und privater Geräte: In Unternehmen ist es wichtig, Richtlinienkontrollen einzuführen und für die nötige Transparenz zu sorgen, um alle Endgeräte zu schützen – sowohl die unternehmenseigenen Geräte als auch die privaten Geräte der Mitarbeiter, die diese für ihre Arbeit nutzen dürfen.
5. Verschlüsselung der Kommunikation: Die NIS-2-Richtlinie fordert eine mehrstufige Authentifizierung und eine sichere Verschlüsselung der Text-, Video- und Sprachkommunikation. Unternehmen müssen daher sichere Messaging- und Telefonie-Anwendungen einführen, die den höchsten Sicherheitsstandards entsprechen und vor ausgefeilten Bedrohungen schützt.
6. Einen Geschäftskontinuitätsplan aufstellen: Unternehmen sollten in der Lage sein, im Falle eines größeren Cyber-Vorfalls schnell Reaktionsteams zu aktivieren und sicher mit Mitarbeitern und anderen wichtigen Stakeholdern zu kommunizieren. Aus diesem Grund müssen Unternehmen über eine sichere Kommunikationsplattform mit mehreren Kanälen verfügen. Auf dieser Grundlage können die richtigen Personen mit den richtigen Informationen versorgt werden, damit sie auf kritische Ereignisse reagieren und Angriffe abwehren können.

High-profile ransomware campaigns are increasingly making headlines. In addition, according to BlackBerry’s latest Global Threat Intelligence Report, the number of unique malware attacks per minute increased by more than 40 per cent globally from January to March 2024 compared to September to December 2023.

Critical infrastructure such as finance, healthcare and government are particularly affected, accounting for 60 percent of all attacks. According to the European Cybersecurity Agency (ENISA), the vast majority of attacks in Europe in 2022 targeted public administrations and governments, digital service providers and critical infrastructure.

The NIS 2 Directive was adopted to protect vulnerable sectors and counter the global wave of attacks. To comply with NIS 2 and reduce cyber risk, organizations must implement new processes that enable them to report attacks more quickly. In addition, decision-makers and employees must receive regular cybersecurity training.

Another requirement is the creation of a business continuity plan for major cyber incidents. This plan must include key policies, procedures and key contacts – including third-party vendors – to quickly contain and control successful attacks.

High penalties are in place to ensure compliance with the NIS 2 Directive: Fines of up to ten million euros or two percent of the company’s annual worldwide turnover, whichever is higher, are possible.

Start preparing early

Ulf Baltin, Managing Director DACH at BlackBerry, summarizes six helpful measures for implementing the NIS 2 directive. They will help organizations prepare for the October 2024 deadline.

1. Anticipate and prevent cyberattacks: Implementing AI-driven cybersecurity tools is necessary to detect and prevent threats before they cause damage.
2. Adopt a zero-trust approach to managing user access to applications and data: This approach reduces the risk of breaches through granular access control and enables secure work from anywhere.
3. Rapid notification and response to cyber incidents: Leveraging advanced Managed Detection and Response (MDR) services significantly increases the quality of protection and speed of response for organizations. Many organizations can only meet these requirements with the right MDR partner.
4. Protect corporate and personal devices: It is important for organizations to establish policy controls and provide the visibility needed to protect all endpoints – both corporate-owned devices and the personal devices of employees who are allowed to use them for work.
5. Encrypt communications: NIS 2 requires multi-factor authentication and secure encryption of text, video and voice communications. Organizations must implement secure messaging and telephony applications that meet the highest security standards and protect against sophisticated threats.
6. Have a business continuity plan: Organizations should be able to quickly activate response teams and securely communicate with employees and other key stakeholders in the event of a major cyber incident. To do this, organizations need a secure, multi-channel communications platform. This enables the right people to get the right information to respond to critical events and defend against attacks.