Die Anforderungen der kürzlich in Kraft getretenen NIS-2-Direktive zur Cybersicherheit setzen viele Unternehmen unter Druck. Drei von fünf Arbeitnehmern von betroffenen Firmen in Deutschland sind aber optimistisch. Sie glauben, dass ihr Unternehmen alle Vorgaben bis zum Jahresende erfüllt. Das belegt die repräsentative Studie „Cybersicherheit in Zahlen“ von der G Data CyberDefense AG, Statista und brand eins. Dieser Optimismus birgt jedoch eine Gefahr: Der tatsächliche Aufwand für Maßnahmen wird unterschätzt.
NIS-2 bedeutet für viele Unternehmen erweiterte Meldepflichten für Sicherheitsvorfälle, strenge Risikomanagement-Anforderungen und detaillierte Vorgaben für technische Sicherheitsmaßnahmen. Doch vieles ist noch unklar, da die Umsetzung im nationalen Recht Interpretationsspielraum und Firmen über konkrete Anforderungen und Maßnahmen im Ungewissen lässt. Der Studie zufolge sind dennoch zwei Drittel der Mitarbeitenden zuversichtlich, dass ihr Arbeitgeber die Kriterien der NIS-2-Richtlinie bis Ende des Jahres umsetzen kann. Diese optimistische Prognose steht in starkem Kontrast zur teils unklaren Sachlage: Noch ist für viele Unternehmen nicht eindeutig, welche konkreten Maßnahmen zur Erfüllung der Richtlinie notwendig sind. Hinzu kommen Personal- und Ressourcenmangel.
„Für Unternehmen, die unter NIS-2 fallen, bedeutet die Richtlinie eine grundlegende Neuausrichtung ihrer IT-Sicherheitsstrategie“, sagt Andreas Lüning, Gründer und Vorstand der G Data CyberDefense AG. „Viele Verantwortliche haben zwar den Bedarf an zusätzlichen Ressourcen und Expertise erkannt, unterschätzen aber gleichzeitig auch, wie komplex die Erfüllung aller Kriterien sein kann. Diese lassen sich nicht über Nacht umsetzen und erfordern gezielte Investitionen sowie eine Anpassung interner Prozesse, was Monate in Anspruch nimmt. Unternehmen sind daher gut beraten, auf bewährte Standards wie die ISO-27001-Zertifizierung hinzuarbeiten.“
NIS-2: Top drei Herausforderungen für Unternehmen
Gleichzeitig zeigt das Umfrageergebnis auch, wo genau Schwierigkeiten liegen: Drei von fünf der Befragten sehen Hürden durch Ressourcenbedarf, Expertise-Lücken und unklare Vorgaben. Mehr als ein Drittel der Arbeitnehmerinnen und Arbeitnehmer stuft die Bereitstellung zusätzlicher Ressourcen und die notwendige Expertise für die Umsetzung als eher herausfordernd ein. Für 17 Prozent der Befragten ist die umfassende Überarbeitung der IT-Sicherheitsmaßnahmen und Prozesse schwierig. Nur fünf Prozent geben als sehr herausfordernd an, dass es noch viele offene Fragen bezüglich der Richtlinie gibt. Überraschend ist, dass zwei von fünf Befragten wenig bis keine Hindernisse sehen. (ah)
