Compliance NIS 2: Unternehmen gehen von termingerechter Umsetzung aus

Laut einer neuen Studie von Zscaler sind 80 Prozent der IT-Führungskräfte in Europa zuversichtlich, dass ihre Organisationen die NIS 2-Anforderungen bis Oktober erfüllen werden. aber nur 53 Prozent glauben, dass ihre Teams diese vollständig verstehen. 32 Prozent erklären, dass NIS 2 für die Unternehmensführung oberste Priorität hat.

Wie die neue Studie „NIS 2 and Beyond: Risk, Reward & Regulation Readiness“ von Zscaler zeigt, sind 80 Prozent der IT-Führungskräfte zuversichtlich, dass ihre Organisation die Compliance-Anforderungen bis zum Stichtag am 17. Oktober 2024 erfüllen wird. Lediglich 14 Prozent geben an, dass sie diese bereits erfüllt haben. Allerdings glauben 53 Prozent der IT-Führungskräfte, dass ihre Teams die Anforderungen vollständig verstehen. 49 Prozent gehen davon aus, dass dies bei der Unternehmensleitung der Fall ist.

 CISOs stehen vor der dringenden Notwendigkeit, alle relevanten Interessengruppen - von der Vorstandsebene über Abteilungsleiter bis hin zu den Mitarbeitenden in der gesamten Organisation - abzuholen, um die Einhaltung der Vorschriften vor dem Fälligkeitsdatum sicherzustellen.

NIS 2-Richtlinie: Die Führungsebene muss handeln

Die Untersuchung der Diskrepanz zwischen Zuversicht und Verständnis offenbart Herausforderungen zwischen Einschätzung und Vorgehen der Führungskräfte. Die Befragten geben an, dass die Führungsspitze die wachsende Bedeutung der NIS 2-Richtlinie anerkennen: Ein Drittel (32 Prozent) gibt an, dass NIS 2 für das Management oberste Priorität hat und 52 Prozent bestätigen eine wachsende Bedeutung. Dies scheint sich jedoch nicht in der Unterstützung widerzuspiegeln, die den IT-Teams, die mit der Umsetzung des Konformitätsprozesses betraut sind, angeboten wird. Mehr als die Hälfte der IT-Entscheider (56 Prozent) haben das Gefühl, dass ihre Teams nicht die Unterstützung des Managements erhalten, die für die Einhaltung der Compliance-Frist erforderlich ist. 

Christoph Schuhwerk, CISO in Residence bei Zscaler, erklärt: „In der gesamten Region scheint eine große Zuversicht vorzuherrschen, dass Organisationen die NIS 2-Konformität bis zum nahenden Stichtag erreichen werden. Die Studie deutet darauf hin, dass diese Zuversicht auf einem wackeligen Fundament gebaut ist. Durch einen starken Fokus auf das termingerechte Erreichen der Ziellinie für die Konformität könnten andere Cybersicherheitsprozesse vernachlässigt werden - was nach Ansicht von 60 Prozent der IT-Manager durchaus möglich ist. Führungskräfte müssen jetzt handeln und ihre IT-Teams unterstützen, so dass sie wichtige Schritte zur Einhaltung der Vorschriften umsetzen können und keine Strafen riskieren.“

Umfassende Überarbeitung der NIS 2-Regularien

Obwohl die NIS 2-Richtlinie auf dem bestehenden NIS-Rahmenwerk aufbaut, sind 62 Prozent der Befragten der Ansicht, dass sich die Anforderungen deutlich von den eingesetzten Rahmenwerken unterscheiden. Um der Richtlinie gerecht zu werden, müssen IT-Führungskräfte die größten Veränderungen in den Bereichen Technologie und Cybersicherheitslösungen (34 Prozent), Mitarbeiterschulung (20 Prozent) und Führungskräftetraining (17 Prozent) vornehmen. Auf die Frage nach den drei größten Herausforderungen der Richtlinie wurden am häufigsten folgende Sektoren genannt:
 Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen (31 Prozent)
 Cyber-Hygiene und Cybersicherheitsschulungen (30 Prozent)
 Richtlinien und Verfahren für ein wirksames Risikomanagement der Cybersicherheit (29 Prozent).

Fortschritte bei Einführung der Cybersicherheits-Standards

Obwohl die NIS 2-Richtlinie grundlegende Anforderungen an die Cybersicherheit enthält, sind viele Unternehmen in Europa mit ihren Cybersicherheitsstandards noch nicht so weit fortgeschritten. Nur 31 Prozent der Befragten bezeichnen ihre derzeitige Cyber-Hygiene als „exzellent“. Einzelne Branchen wie der Transport- und der Energiesektor geben sich ein noch niedrigeres Votum hinsichtlich ihrer Cyber-Hygiene: Lediglich 14 Prozent der IT-Verantwortlichen im Transportbereich und 21 Prozent in Energieunternehmen schätzen ihre Cyber-Hygiene als ausgezeichnet ein. Diese Zahlen deuten darauf hin, dass zu wenige Betreiber kritischer Infrastrukturen ihre Sicherheitsreviews in den letzten Jahren auf dem aktuellsten Stand gehalten haben, was in der Folge bei der diesjährigen Überprüfung der NIS 2-Konformität zu Schwierigkeiten führen könnte. 

James Tucker, Head of CISOs in Residence bei Zscaler, kommentiert: „Die pure Einhaltung von Vorschriften wird niemals die Antwort auf eine erstklassige Cybersicherheitshygiene angesichts der umfangreichen Bedrohungslandschaft sein. Tatsächlich geben mehr als die Hälfte der Befragten an (53 Prozent), dass die NIS 2-Richtlinie nicht weit genug geht. Die Vorschriften sollten als Chance verstanden werden, die grundlegende Sicherheit auf ein höheres Niveau zu heben. Dazu müssen sie zum Bestandteil der fortlaufenden Prozesse eines Unternehmens werden, anstatt nur eine punktuelle Pflichtübung für IT-Teams zu sein. Organisationen sollten diese Gelegenheit dazu nutzen, den Umfang ihres Technologie-Portfolios zu überprüfen, das es gegebenenfalls zu vereinfachen gilt. Ein hochintegrierter Plattformansatz aus der Cloud reduziert die Komplexität der Hardware-Infrastruktur erheblich.“

Wie Zscaler bei der Umsetzung von NIS 2 unterstützen kann

NIS 2 betont die Verantwortung der Organisationen, die Sicherheit von Netzwerken und Informationssystemen durch eine Governance-Kultur und ein umfassendes Risikomanagement zu gewährleisten. Sie müssen proaktive technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit von Netzwerken und Informationssystemen zu managen. Zscaler bietet mit der Cloud-nativen und KI-basierten Zero Trust Exchange-Plattform umfassende Sicherheitsfunktionen, die Unternehmen bei der Minimierung ihrer Angriffsfläche unterstützen und die Wirksamkeit von Sicherheitskontrollen im Rahmen ihrer Governance- und Risiko-Managementprogramme gewährleisten:

• Zscaler Internet Access und Zscaler Private Access bieten Schutz vor Bedrohungen, Datenschutz und Richtliniendurchsetzung. Diese Services kontrollieren den Datenverkehr und stellen gleichzeitig Security Event- und Transaktions-Logs für Monitoring und Untersuchung bereit. 

• Mit der Zero Trust Exchange-Plattform lässt sich die Angriffsfläche reduzieren. Sie stellt sicher, dass User niemals direkt auf das Netzwerk zugreifen, sondern Zugang zu einzelnen Anwendungen erhalten, die niemals dem Internet ausgesetzt sind. Darüber hinaus bietet die Sicherheitsplattform eine umfassende Zugriffskontrolle für interne Anwendungen.

• Zscaler Risk360 ermöglicht eine kontinuierliche Überwachung und Schwachstellenerkennung, so dass Unternehmen Sicherheitsrisiken proaktiv angehen können.

Risiko-Management für die Netz- und IT-Systeme

Die NIS-2-Richtlinie zielt darauf ab, in der Europäischen Union ein hohes gemeinsames Niveau an Cybersicherheit zu erreichen. Die Mitgliedsstaaten müssen sicherstellen, dass Organisationen in 15 Industriesegmenten geeignete Maßnahmen ergreifen, um die Risiken für die Sicherheit von Netz- und Informationssystemen zu managen. Darüber hinaus sollen sie die Auswirkungen von Vorfällen auf die Bürger und andere Dienste verhindern oder minimieren. 

Zur Methodik der Studie: Mit dem Report „NIS 2 and Beyond: Risk, Reward & Regulation Readiness“ wurde untersucht, wie sich Unternehmen auf die neue NIS 2-Verordnung vorbereiten, welchen Herausforderungen sie gegenüberstehen und wo sie auf dem Weg zur Umsetzung der Verordnung stehen. Die Umfrage wurde unter mehr als 875 IT-Entscheidungsträgern in Unternehmen mit mehr als 500 Mitarbeitenden in Großbritannien, Frankreich, Deutschland, Italien, Spanien, den Niederlanden und Belgien in den betroffenen Bereichen durchgeführt.