Die Schnelligkeit der digitalen Welt nutzen mittlerweile auch Cyberkriminelle, insbesondere durch KI-unterstützte Attacken, die in Qualität und Geschwindigkeit klassischer Abwehrmaßnahmen überlegen sind. Wo früher die Frage lautete, ob man gehackt wird, ist sie heute eindeutig wann.

Ausmaß der Angriffe

Mehr als die Hälfte der deutschen Unternehmen wurde im vergangenen Jahr Opfer eines Hackerangriffs. Dies zeigt, dass nicht nur Großkonzerne, sondern zunehmend auch kleine und mittelständische Betriebe Zielscheibe sind.

Regulatorische Rahmenwerke

Richtlinien wie KRITIS, DORA oder NIS2 signalisieren die Ernsthaftigkeit der Bedrohung: NIS2 weitet den Geltungsbereich auf Zulieferer und Dienstleister aus und schreibt strenge Vorgaben zu Risikomanagement, Meldepflichten und Sanktionen vor.

Kritische Angriffsformen

Am bedrohlichsten sind aktuell Ransomware-Angriffe, bei denen Unternehmenssysteme verschlüsselt und Lösegeldforderungen gestellt werden. Die Schäden können in die Millionen- bis Milliardenhöhe gehen. Mitarbeiterschulungen zur Sensibilisierung gelten als unverzichtbar.

Empfohlene Tools und Best Practices

Ein detaillierter Incident-Response-Plan ist essenziell: Er legt fest, welche Maßnahmen im Ernstfall zu ergreifen sind, wer zu kontaktieren ist und wie Geräte zu behandeln sind. Die Konsultation des BSI und die Nutzung dortiger Weiterbildungsangebote verbessern die Vorbereitung signifikant. Achtsamkeit im Alltag – etwa das Sperren von Bildschirmen oder der Einsatz von Displayschutz – reduziert vermeidbare Risiken.

Zukünftige Trends

KI beschleunigt nicht nur die Abwehr, sondern auch die Angriffsgeschwindigkeit. Die historische „Dwell Time“ von 12–14 Monaten zwischen Eindringen und Entdecken kann heute dank moderner Lösungen auf Tage verkürzt werden, dennoch steigt die Angriffsgeschwindigkeit weiter. Phishing-Kampagnen werden durch generative KI immer überzeugender, was zusätzliche Schutzmechanismen erfordert.

Handlungsempfehlungen

Für Eigentümer von Unternehmen

• Strategische Verantwortung übernehmen: Legen Sie Cybersecurity als festen Bestandteil der Unternehmensstrategie fest und sichern Sie ausreichende Ressourcen für Prävention und Krisenmanagement.
• Governance etablieren: Installieren Sie klare Rollen und Zuständigkeiten (z. B. CISO), verankern Sie Berichtswege an die Eigentümerebene und prüfen Sie regelmäßig Compliance mit NIS2 & Co..
• Investitionspriorisierung: Fördern Sie gezielt Awareness-Programme und Incident-Response-Tests, um die Resilienz zu erhöhen und Haftungsrisiken zu reduzieren.

Für Top Manager

• Risikoportfoliomanagement: Integrieren Sie Cyberrisiken in das Enterprise-Risk-Management und definieren Sie KPI sowie Schwellenwerte zur kontinuierlichen Überwachung.
• Supply-Chain-Absicherung: Stellen Sie sicher, dass Zulieferer und Dienstleister die eigenen Sicherheitsanforderungen erfüllen und verankern Sie entsprechende Audits in Verträgen.
• Regulatorisches Reporting: Bereiten Sie sich auf Meldepflichten vor (z. B. NIS2-Vorfälle innerhalb vorgeschriebener Fristen) und etablieren Sie standardisierte Kommunikationsprozesse mit Behörden.

Für IT-Leiter

• ISMS implementieren: Führen Sie ein Informationssicherheits-Managementsystem nach ISO 27001 oder BSI IT-Grundschutz ein, um systematisch Risiken zu identifizieren und zu behandeln.
• Incident Response & Tests: Entwickeln und üben Sie Notfallpläne regelmäßig (Simulationsübungen, Penetrationstests) und integrieren Sie Lessons Learned in Ihre Sicherheitsarchitektur.
• Technische Absicherung: Setzen Sie auf Zero Trust-Prinzipien, EDR/NGAV, SIEM/UEBA und automatisierte Patch-Management-Prozesse, um schnelle Erkennung und Eindämmung zu gewährleisten.

Wichtigste regulatorische Normen und ihre Schwerpunkte

• NIS2-Richtlinie (EU 2022/2555): Erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie auf Zulieferer und wichtige Einrichtungen, fordert Risikomanagement, Meldepflichten, Business Continuity und klare Governance auf Führungsebene.
• IT-Sicherheitsgesetz 2.0 / BSIG § 8a: Deutsche Umsetzung von NIS2, verschärft Pflichten für KRITIS-Betreiber, mandatiert Sicherheitsüberprüfungen, Melde- und Auditpflichten.
• BSI-KritisV: Konkretisiert Anforderungen des BSIG § 8a für Betreiber kritischer Infrastrukturen, definiert Schwellenwerte und Mandate zur Umsetzung technischer und organisatorischer Maßnahmen.
• BSI IT-Grundschutz: Vorgehensweise zur Einführung eines ganzheitlichen ISMS in Behörden und Unternehmen, bietet Mindeststandards, Kompendium und Profile für spezifische Anwendungsfälle.
• ISO/IEC 27001: Internationaler Standard für ISMS, fokussiert Risikoanalyse, kontinuierliche Verbesserung, definiert Kontrollziele und Auditleitfaden.
• DSGVO (Art. 32): Verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, z. B. Pseudonymisierung, Verschlüsselung, Verfügbarkeits- und Wiederherstellungsfähigkeit.
• DORA (Reg. EU 2022/2554): Stärkt digitale Resilienz des Finanzsektors durch harmonisierte Vorgaben zu IKT-Risikomanagement, Incident Management, Drittanbieter-Kontrolle und kontinuierlicher Überwachung.

Der Beitrag Cybersecurity: Ein Update mit Handlungsempfehlungen erschien zuerst auf Verein zur Unterstützung der digitalen Transformation e.V..

Teil 1: Überblick über die Möglichkeiten von KI in der Cybersecurity

KI hat sich als unverzichtbares Werkzeug zur Bekämpfung und Prävention von Cyberangriffen entwickelt. Mit den Fortschritten in der Rechenleistung und den Datenmengen, die Unternehmen generieren, bietet die Integration von KI-Technologien in die Sicherheitsinfrastruktur zahlreiche Vorteile. KI kann dabei in mehreren Bereichen der Cybersecurity eingesetzt werden, um diese effizienter und intelligenter zu gestalten.

Bedrohungserkennung und Prävention

Künstliche Intelligenz kann eingesetzt werden, um Bedrohungen in Echtzeit zu erkennen. KI-gestützte Systeme analysieren große Mengen an Daten und identifizieren Muster, die auf potenzielle Sicherheitslücken oder Bedrohungen hinweisen. Machine Learning (ML)-Algorithmen können verdächtige Aktivitäten anhand von historischen Daten erkennen und auf Basis dieser Muster zukünftige Angriffe vorhersagen, ohne dass menschliche Eingriffe erforderlich sind.

Beispielsweise wird KI bereits erfolgreich zur Erkennung von Phishing-Angriffen, Malware und Ransomware eingesetzt. Diese Systeme sind in der Lage, neue Angriffsstrategien schneller zu identifizieren als herkömmliche Sicherheitssysteme, da sie nicht nur auf bekannte Bedrohungen reagieren, sondern auch unbekannte, bisher nicht identifizierte Bedrohungen erkennen können.

Automatisierung von Sicherheitsprozessen

Die Automatisierung ist ein weiteres wichtiges Einsatzgebiet der KI in der Cybersecurity. Viele Sicherheitsprozesse, wie etwa das Patchen von Software, das Überwachen von Netzwerken oder die Verwaltung von Zugriffsrechten, erfordern eine kontinuierliche und oft fehleranfällige manuelle Überwachung. KI kann diese Aufgaben automatisieren und dabei helfen, die Effizienz und Genauigkeit zu steigern.

Ein Beispiel hierfür ist die Nutzung von KI, um automatisch Software-Schwachstellen zu identifizieren und Patches zu installieren, ohne dass das IT-Team manuell eingreifen muss. Dies reduziert nicht nur den Arbeitsaufwand, sondern gewährleistet auch eine schnellere Reaktion auf potenzielle Sicherheitslücken.

Unterstützung bei der Vorhersage von Cyberbedrohungen

Künstliche Intelligenz kann nicht nur dazu verwendet werden, bestehende Bedrohungen zu erkennen, sondern auch um zukünftige Bedrohungen vorherzusagen. Durch die Analyse von Daten aus verschiedenen Quellen, wie etwa sozialen Netzwerken, Dark Web-Foren oder öffentlich zugänglichen Datenbanken, können KI-Systeme potenzielle Angriffsziele und Angriffsvektoren frühzeitig identifizieren. Dies ermöglicht eine proaktive Sicherheitsstrategie und die frühzeitige Umsetzung von Schutzmaßnahmen.

Teil 2: Praxisbeispiele für den Einsatz von KI in der Cybersecurity

Beispiel 1: KI zur Verbesserung der Netzwerksicherheit in einem mittelständischen Unternehmen

Ein mittelständisches Unternehmen im Bereich der Fertigung entschloss sich, Künstliche Intelligenz zur Verbesserung seiner Netzwerksicherheit einzusetzen. Das Unternehmen stand vor der Herausforderung, immer wieder Angriffe durch Phishing und Malware zu erleben, die trotz bestehender Sicherheitsmaßnahmen nicht verhindert werden konnten.

Durch die Implementierung eines KI-gesteuerten Systems zur Echtzeitüberwachung des Netzwerkverkehrs konnte das Unternehmen verdächtige Aktivitäten schneller erkennen. Die KI analysierte den Datenverkehr und konnte automatisch anomale Muster identifizieren, die auf einen Angriff hindeuteten. Ein besonders hilfreicher Aspekt war, dass das System nicht nur bekannte Bedrohungen, sondern auch neuartige Angriffe erkennen konnte, die noch nicht in den traditionellen Sicherheitsdatenbanken vorhanden waren.

Die KI führte die ersten Reaktionsmaßnahmen automatisch aus, wie das Blockieren verdächtiger IP-Adressen und das Isolieren infizierter Systeme. Diese automatisierte Reaktion ermöglichte es dem Unternehmen, den Angriff zu stoppen, bevor er größeren Schaden anrichten konnte, und reduzierte die Zeit, die für die manuelle Untersuchung und das Eingreifen erforderlich war.

Beispiel 2: Einsatz von KI in der Schwachstellenanalyse

Ein weiteres mittelständisches Unternehmen, das Softwareprodukte entwickelt, nutzte KI zur Analyse seiner Software auf potenzielle Sicherheitslücken. Das Unternehmen war zunehmend besorgt über die wachsende Zahl an Sicherheitsvorfällen und die damit verbundenen Reputations- und Finanzrisiken.

Durch die Einführung einer KI-gestützten Lösung zur Schwachstellenanalyse konnte das Unternehmen seine Sicherheitsstrategie erheblich verbessern. Die KI analysierte automatisch den Quellcode und die Software-Architektur, um potenzielle Schwachstellen zu identifizieren. Zusätzlich ermöglichte die KI es, bekannte Sicherheitslücken in Echtzeit zu patchen und gleichzeitig neue Angriffsvektoren zu identifizieren, die durch die Kombination verschiedener Code-Elemente entstanden waren.

Dies führte zu einer signifikanten Reduktion der Anzahl der entdeckten Schwachstellen und einer stärkeren Sicherheit der Softwareprodukte. Für das Unternehmen bedeutete dies eine verbesserte Sicherheit und ein höheres Vertrauen der Kunden.

Teil 3: Ausblick auf zukünftige Entwicklungen in der KI-gesteuerten Cybersecurity

Die Entwicklungen in der Künstlichen Intelligenz sind rasant und versprechen, die Cybersecurity der Zukunft entscheidend zu verändern. In den kommenden Jahren werden KI-Systeme voraussichtlich noch leistungsfähiger und autonomer werden, was zu einer weiteren Verbesserung der Sicherheitsarchitektur führen wird.

Integration von KI mit anderen Technologien

Ein bedeutender Trend wird die zunehmende Integration von KI mit anderen innovativen Technologien wie Blockchain und 5G sein. In Kombination mit Blockchain könnte KI dazu beitragen, dezentralisierte Sicherheitslösungen zu entwickeln, die besonders für mittelständische Unternehmen von Vorteil wären. Die Verschmelzung dieser Technologien könnte dazu beitragen, Daten sicherer und transparenter zu speichern und zu übertragen.

Selbstlernende Systeme

Ein weiteres spannendes Entwicklungspotential liegt in der Entwicklung selbstlernender KI-Systeme. Diese Systeme könnten ihre Algorithmen kontinuierlich auf Basis neuer Daten und Bedrohungen anpassen und so noch schneller und präziser auf neue Angriffsmuster reagieren. Für mittelständische Unternehmen könnte dies zu einer Reduzierung des Managementaufwands und einer noch effizienteren Bedrohungsabwehr führen.

Künstliche Intelligenz als Service

Für mittelständische Unternehmen, die möglicherweise nicht über die notwendigen Ressourcen verfügen, um KI-basierte Sicherheitslösungen intern zu entwickeln und zu implementieren, wird der Trend zu „KI als Service“ von Bedeutung sein. Anbieter werden zunehmend KI-gestützte Sicherheitslösungen anbieten, die Unternehmen über die Cloud nutzen können. Dies wird den Zugang zu fortschrittlichen Sicherheitslösungen erleichtern und die Einführung von KI in die Sicherheitsstrategie vereinfachen.

Schlussüberlegungen

KI hat das Potenzial, die Art und Weise, wie Unternehmen ihre Cybersecurity gestalten, revolutionär zu verändern. Besonders mittelständische Unternehmen können von den Vorteilen profitieren, die KI in der Bedrohungserkennung, der Automatisierung und der Vorhersage von Sicherheitsvorfällen bietet. Mit zunehmenden Fortschritten in der Technologie und der Integration von KI in die Sicherheitsstrategien werden Unternehmen in der Lage sein, ihre Abwehrmechanismen weiter zu stärken und die Herausforderungen der Cybersecurity effizienter zu meistern.

Weiterführende Literatur

• “Wie KI die Cybersicherheit und Zugangskontrollen verbessert”: IT-Kenner
• “Künstliche Intelligenz für Cybersecurity und Cyberattacken”: IT-Kenner
• “Einfluss von KI auf die Cyberbedrohungslandschaft”: BSI
• “Ein Best Practice KI-Toolkit für den ‘Cybersecurity Awareness Month’”: heise online
• “BSI – Threat Intelligence – KI und gegenwärtige Cyberbedrohungen”: BSI
• “Benchmark: Welche KI taugt am besten für Cybersecurity?”: heise online
• “KI in der IT-Security: Was der Einsatz wirklich bringt”: Computerwoche
• “iX-Workshop: Effiziente IT-Sicherheit durch KI”: heise online
• “KI in der Cybersecurity: Gefahren und Chancen”: Heise Business Services
• “Wie KI zu mehr Sicherheit und Resilienz beitragen kann”: Computerwoche
• “Informationssicherheit bei KI: Lösungen & Technologien”: IT-Kenner
• “Gute KI gegen böse KI”: Welt

Der Beitrag Künstliche Intelligenz zur Verbesserung der Cybersecurity: Chancen, Praxisbeispiele und Ausblick nicht nur für mittelständische Unternehmen erschien zuerst auf Verein zur Unterstützung der digitalen Transformation e.V..

Die Digitalisierung ist ein allgegenwärtiger Trend, der nahezu alle Lebens- und Arbeitsbereiche beeinflusst. In den letzten Jahren sind zahlreiche Bücher erschienen, die sich mit der digitalen Transformation, den technologischen Entwicklungen und deren Auswirkungen auf Wirtschaft und Gesellschaft befassen. Die wichtigsten Themen, die in den unten aufgeführten Büchern behandelt werden, sind:

1. Technologische Innovationen und ihre Anwendung
   In vielen Büchern wird der Fokus auf technologische Innovationen wie Künstliche Intelligenz (KI), das Internet der Dinge (IoT), Blockchain und maschinelles Lernen gelegt. Diese Technologien revolutionieren die Art und Weise, wie Unternehmen operieren und wie der Alltag von Konsumenten gestaltet wird.
2. Digitale Transformation in Unternehmen
   Wie Unternehmen sich erfolgreich an die digitale Welt anpassen, ist ein zentrales Thema. Bücher zu diesem Thema behandeln Strategien zur Implementierung neuer Technologien, Veränderungsmanagement und die Auswirkungen der Digitalisierung auf die Unternehmenskultur.
3. Datenanalyse und Big Data
   Die Verarbeitung und Analyse großer Datenmengen ist ein weiteres zentrales Thema. Unternehmen können durch Big Data wertvolle Erkenntnisse gewinnen, die die Grundlage für innovative Geschäftsmodelle und verbesserte Kundenbeziehungen bieten.
4. Cybersecurity und Datenschutz
   Mit der zunehmenden Digitalisierung wachsen auch die Bedrohungen aus dem Netz. Datenschutz und Cybersecurity sind daher ein wiederkehrendes Thema in der Literatur, wobei praktische Lösungsansätze und Strategien zur Sicherung digitaler Systeme diskutiert werden.
5. Und natürlich: Künstliche Intelligenz und ihre Auswirkungen auf Unternehmen und Gesellschaft
   Künstliche Intelligenz (KI) ist eines der zentralen Themen der digitalen Ära und hat tiefgreifende Auswirkungen auf Unternehmen und Gesellschaft. Sie verändert nicht nur Geschäftsprozesse und Entscheidungsfindungen in Unternehmen, sondern hat auch das Potenzial, die Gesellschaft grundlegend zu transformieren. In der Literatur wird untersucht, wie KI in Bereichen wie Automatisierung, personalisierte Kundenansprache und Data Analytics zur Effizienzsteigerung beiträgt, während gleichzeitig ethische Fragen und gesellschaftliche Herausforderungen wie Arbeitsplatzverlust, Datenschutz und die Schaffung von KI-Governance thematisiert werden.
6. Auswirkungen auf Gesellschaft und Arbeitswelt
   Die Digitalisierung verändert nicht nur die Wirtschaft, sondern auch die Gesellschaft und die Arbeitswelt. Bücher zu diesem Thema beschäftigen sich mit den Auswirkungen auf den Arbeitsmarkt, die Bildung und die sozialen Strukturen.

Abbildung: Voller Bücherschrank (natürlich mit KI erstellt)

Bücher zu diesen Themen

1. Technologische Innovationen

• Titel (DE): Das nächste Zeitalter der Innovation
  Autor: Christoph Keese | Jahr: 2020 | ISBN: 978-3548064105
  Beschreibung: Untersucht Zukunftstechnologien wie KI, Quantencomputing und Biotech. Zeigt, wie diese Branchen revolutionieren und gleichzeitig ethische Fragen aufwerfen. Für Entscheider und Technikinteressierte.
• Titel (DE): Künstliche Intelligenz: Was sie kann & was uns erwartet
  Autor: Manuela Lenzen | Jahr: 2021 | ISBN: 978-3406766678
  Beschreibung: Erklärt KI-Grundlagen, von Algorithmen bis zu Deep Learning. Diskutiert Chancen (Medizin, Klima) und Risiken (Jobverlust, Manipulation) für die Gesellschaft.
• Titel (EN): The Future of Technology
  Autor: Tom Standage | Jahr: 2023 | ISBN: 978-1419764362
  Beschreibung: Explores AI, robotics, and green tech innovations. Focuses on sustainability and how governments can regulate disruptive technologies.
• Titel (EN): Exponential Organizations 2.0
  Autoren: Salim Ismail et al. | Jahr: 2023 | ISBN: 978-1637743608
  Beschreibung: Analyzes how companies like SpaceX leverage exponential tech (AI, blockchain) to scale rapidly and disrupt traditional industries.
• Titel (DE): Innovationsmanagement 4.0
  Autoren: Oliver Gassmann, Philipp Sutter | Jahr: 2022 | ISBN: 978-3800659379
  Beschreibung: Praktische Methoden für die Entwicklung disruptiver Geschäftsmodelle, mit Fallbeispielen aus der Automobilbranche und Medizintechnik.

2. Digitale Transformation

• Titel (DE): Die vernetzte Welt
  Autor: Tim Cole | Jahr: 2021 | ISBN: 978-3593514490
  Beschreibung: Zeigt, wie IoT, Cloud-Computing und 5G Unternehmen vernetzen. Betont die Bedeutung von Datenstrategien für den Mittelstand.
• Titel (EN): Leading Digital: Turning Technology into Business Transformation
  Autoren: George Westerman et al. | Jahr: 2018 | ISBN: 978-1625272478
  Beschreibung: Case studies from Nike and Starbucks on leveraging digital tools to optimize supply chains and customer experiences.
• Titel (DE): Digitale Disruption
  Autor: Karin Frick | Jahr: 2020 | ISBN: 978-3800557989
  Beschreibung: Analysiert, wie Start-ups etablierte Märkte herausfordern. Gibt Handlungsempfehlungen für traditionelle Unternehmen zur Anpassung an digitale Trends.
• Titel (EN): Driving Digital Strategy
  Autor: Sunil Gupta | Jahr: 2018 | ISBN: 978-1633692688
  Beschreibung: Explains how to align IT, marketing, and leadership to build customer-centric digital ecosystems. Includes frameworks for legacy companies.
• Titel (DE): Agile Unternehmen
  Autor: Frank Habermann | Jahr: 2022 | ISBN: 978-3869369520
  Beschreibung: Beschreibt agile Methoden (Scrum, Kanban) für die digitale Transformation, mit Praxisbeispielen aus der Finanzbranche.

3. Datenanalyse

• Titel (DE): Data Science für Entscheider
  Autor: Christoph Schütte | Jahr: 2022 | ISBN: 978-3864908529
  Beschreibung: Vermittelt Data-Science-Grundlagen für Führungskräfte: Von der Datenerhebung bis zur Umsetzung in Marketing und Logistik.
• Titel (EN): Data Science for Business
  Autoren: Foster Provost & Tom Fawcett | Jahr: 2020 | ISBN: 978-1449361327
  Beschreibung: Teilt Methoden zur datengetriebenen Entscheidungsfindung, z. B. Predictive Analytics und A/B-Testing. Ideal für Manager ohne Coding-Kenntnisse.
• Titel (DE): Datenkompetenz
  Autor: Thomas Ramge | Jahr: 2022 | ISBN: 978-3593516111
  Beschreibung: Zeigt, wie Unternehmen Daten nutzen können, um Prozesse zu optimieren – von der Kundenanalyse bis zur Fehlerreduktion in Produktionsketten.
• Titel (EN): Naked Statistics
  Autor: Charles Wheelan | Jahr: 2019 | ISBN: 978-0393347777
  Beschreibung: Demystifies statistical concepts like regression analysis and big data. Uses real-world examples from sports to healthcare.
• Titel (EN): Weapons of Math Destruction
  Autor: Cathy O’Neil | Jahr: 2019 | ISBN: 978-0553418835
  Beschreibung: Critiques algorithmic bias in hiring, policing, and finance. Advocates for ethical AI and transparent data practices.

4. Cybersecurity

• Titel (DE): Cyber Security: Bedrohungen und Schutzmaßnahmen
  Autor: Tobias Fiebig | Jahr: 2023 | ISBN: 978-3864909878
  Beschreibung: Erläutert aktuelle Angriffsmethoden (Ransomware, Phishing) und Schutzstrategien für KMUs. Mit Checklisten für Notfallpläne.
• Titel (EN): This Is How They Tell Me the World Ends
  Autor: Nicole Perlroth | Jahr: 2021 | ISBN: 978-1635766058
  Beschreibung: Investigative report on zero-day exploits and the shadowy market for hacking tools. Highlights risks to critical infrastructure.
• Titel (DE): Hacking für Manager
  Autor: Tobias Schrödel | Jahr: 2021 | ISBN: 978-3869369520
  Beschreibung: Erklärt technische Grundlagen (Firewalls, Verschlüsselung) und menschliche Schwachstellen (Social Engineering). Für Führungskräfte in digitalisierten Branchen.
• Titel (EN): Sandworm
  Autor: Andy Greenberg | Jahr: 2019 | ISBN: 978-0385544405
  Beschreibung: Chronicles Russian cyberattacks on Ukraine’s power grid and global implications. A wake-up call for governments and corporations.
• Titel (EN): Click Here to Kill Everybody
  Autor: Bruce Schneier | Jahr: 2018 | ISBN: 978-0393608885
  Beschreibung: Warns about IoT vulnerabilities and argues for stricter regulations to prevent cyber-physical disasters (e.g., hacked cars).

5. Künstliche Intelligenz

• Titel (DE): Künstliche Intelligenz und Verantwortung
  Autor: Petra Grimm | Jahr: 2022 | ISBN: 978-3662647586
  Beschreibung: Analysiert ethische Dilemmata der KI (z. B. autonome Waffen, Deepfakes) und zeigt Lösungsansätze für verantwortungsvolle Technologieentwicklung. Für Ethiker, Entwickler und Politiker.
• Titel (DE): Mensch und Maschine: Wie Künstliche Intelligenz unser Leben verändert
  Autor: Manuela Lenzen | Jahr: 2023 | ISBN: 978-3406766685
  Beschreibung: Erklärt, wie KI-Systeme Emotionen erkennen, kreativ arbeiten und Medizin revolutionieren. Diskutiert aber auch Risiken wie Jobverlust und Überwachung.
• Titel (EN): AI Ethics
  Autor: Mark Coeckelbergh | Jahr: 2020 | ISBN: 978-0262538190
  Beschreibung: Explores philosophical questions around AI: Can machines be moral? How to prevent bias in algorithms? Essential for policymakers and tech leaders.
• Titel (EN): Life 3.0: Being Human in the Age of Artificial Intelligence
  Autor: Max Tegmark | Jahr: 2018 | ISBN: 978-1101970317
  Beschreibung: Debates AI’s long-term impact: Will superintelligence save or destroy humanity? Covers scenarios from utopian to dystopian. Groundbreaking for futurists.
• Titel (DE): Maschinelles Lernen kompakt
  Autoren: Andreas Holzinger, Heimo Müller | Jahr: 2021 | ISBN: 978-3825252982
  Beschreibung: Praxisnahe Einführung in ML-Methoden (Neuronale Netze, NLP) für Entwickler. Mit Code-Beispielen und Anwendungsfällen aus der Medizin und Robotik.
• Beschreibung: Investigates how AI systems often conflict with human ethics. Offers strategies to align algorithms with fairness, transparency, and societal goals.
• Titel (DE): Handbuch Künstliche Intelligenz
  Herausgeber: Deutsche Gesellschaft für Informatik | Jahr: 2023 | ISBN: 978-3658430017
  Beschreibung: Umfassender Überblick zu KI-Technologien, Forschungstrends und Anwendungsfeldern. Inklusive Interviews mit Pionieren wie Jürgen Schmidhuber.
• Titel (EN): AI 2041: Ten Visions for Our Future
  Autoren: Kai-Fu Lee & Chen Qiufan | Jahr: 2021 | ISBN: 978-0593238295
  Beschreibung: Combines sci-fi stories with expert analysis to predict AI’s role in education, healthcare, and climate change by 2041.

6. Auswirkungen auf Gesellschaft und Arbeitswelt

• Titel (DE): Arbeitswelt 4.0
  Autor: Sarah J. Becker | Jahr: 2023 | ISBN: 978-3864913455
  Beschreibung: Diskutiert Folgen der Digitalisierung: Remote Work, KI-gesteuerte Personalentscheidungen und die Rolle von Gewerkschaften in der Tech-Ära.
• Titel (EN): The Age of Surveillance Capitalism
  Autor: Shoshana Zuboff | Jahr: 2019 | ISBN: 978-1610395694
  Beschreibung: Exposes how tech giants monetize personal data. Calls for democratic control over digital infrastructures.
• Titel (DE): Digitaler Humanismus
  Autor: Julian Nida-Rümelin | Jahr: 2018 | ISBN: 978-3406735339
  Beschreibung: Plädiert für eine ethische Digitalisierung, die Menschlichkeit priorisiert – von Algorithmen-Tests bis zur Regulierung von Social Media.
• Titel (EN): Futureproof
  Autor: Kevin Roose | Jahr: 2021 | ISBN: 978-0593133348
  Beschreibung: Offers rules to thrive in an automated world: Cultivate creativity, build analog skills, and avoid „robot-proof“ careers.
• Titel (DE): Die granulare Gesellschaft
  Autor: Christoph Kucklick | Jahr: 2022 | ISBN: 978-3593514490
  Beschreibung: Untersucht, wie Big Data soziale Unterschiede verstärkt und warum Datenschutz zur Frage der sozialen Gerechtigkeit wird.

Ré­su­mé

Insgesamt spiegeln diese Themen und Bücher die tiefgreifende Veränderung wider, die die Digitalisierung sowohl für Unternehmen als auch für die Gesellschaft mit sich bringt. Sie sind nicht nur eine technische, sondern auch eine kulturelle und gesellschaftliche Herausforderung, die Menschen und Unternehmen dazu zwingt, innovative Lösungen zu finden, um im digitalen Zeitalter erfolgreich zu bestehen und gleichzeitig ethische und soziale Verantwortung zu übernehmen.

Der Beitrag Die fünf wichtigsten Themen in Büchern zur Digitalisierung erschien zuerst auf Verein zur Unterstützung der digitalen Transformation e.V..

„Network and Information Security 2“ (NIS2) ist eine europäische Richtlinie zur Verbesserung der Mindestanforderungen für Informationssicherheit (IS) von Unternehmen der kritischen Infrastruktur.

Die Richtline weitet nicht nur die Zielgruppe, sondern auch die Pflichten im Vergleich zur aktuell gültigen NIS-Richtlinie und anderen Regulierungen in Deutschland erheblich aus. Die EU-Regelung erhält ab 17. Oktober 2024 verpflichtende Gültigkeit in Deutschland. Wird die Richtlinie von betroffenen Unternehmen nicht erfüllt, drohen den Verantwortlichen empfindliche Strafen.

Aus diesem Grund sind Unterhemen gut beraten sich zeitnah zu informieren, die Umsetzung anzustoßen statt über die oftmals als Gängelung verstandene Regulierung zu diskutieren. Kluge Manager werden sie als Chance für nutzbringende Verbesserungen zu verstehen.

Hintergrund der NIS2

Der letzte Entwurf der EU-Kommission von NIS2 datiert von Dezember 2020, EU-Parlament und Rat haben im Jahr 2022 diesem Entwurf zugestimmt, womit NIS2 formell in Kraft gesetzt wurde.

Nun müssen die EU-Mitgliedsstaaten bis Oktober 2024 die Regularien durch eigene Gesetzgebung in nationales Recht überführen. In Deutschland soll der hierzu seit April 2023 als Entwurf vorliegende Gesetzentwurf im Laufe des Jahres 2023 die Gesetzgebung durchlaufen und damit Gesetzeskraft erlangen.

NIS2 wird damit zu einer deutlichen Erweiterung der betroffenen Einrichtungen führen und Befugnisse sowie Handlungsmöglichkeiten für die national zuständigen Behörden erweitern. Die deutsche KRITIS-Methodik von Anlagen soll beibehalten werden: Das BSI setzt sich dafür ein, dass dabei national weiterhin auch die BSI-Kritis-Verordnung (Verordnung für kritische Infrastruktur) berücksichtigt wird.

Die ursprüngliche NIS-Direktive wurde 2017 mit dem IT-Sicherheitsgesetz und Gesetz zur Umsetzung der NIS-Richtlinie in Deutschland umgesetzt. Dabei nahm das IT-Sicherheitsgesetz 2.0 bereits 2021 einige Änderungen von NIS2 vorweg.

Die EU-Richtlinie NIS2 soll die Cyberresilienz von kritischen und wichtigen Unternehmen stärken. Konkret gemeint ist damit die Fähigkeit von Unternehmen, Cyberangriffen und -vorfällen vorzubeugen und sie abwehren zu können. Die Vorgaben gelten nun für deutlich mehr Betriebe als bisher – und zwar auch indirekt, wenn sie Teil einer Lieferkette sind. Ein IT-Sicherheitsvorfall ist ein negatives Ereignis, das die Informationssicherheit (also Vertraulichkeit, Verfügbarkeit und/oder Integrität) von Daten, Informationen, Geschäftsprozessen, IT-Services, IT-Systemen, IT-Anwendungen und der IT-­Infrastruktur beeinträchtigt.

Was kommt auf welche Unternehmen zu?

Tatsächlich ist die Bedrohungslage für Unternehmen hoch, Cyberangriffe sind eine ständige Bedrohung, die hohe wirtschaftliche Schäden verursachen. Angreifer nutzen dazu ein breites Arsenal an Schadsoftware: Knapp 117 Millionen neue Varianten hat allein das Bundesamt für Sicherheit in der Informationstechnik (BSI) 2022 erfasst. „Die Bedrohung im Cyber-Raum ist damit so hoch wie nie“, heißt es im Bericht „Die Lage der IT-Sicherheit in Deutschland 2022“ des BSI. Mit zunehmender Digitalisierung in Unternehmen gibt es immer mehr potenzielle Einfallstore für Angreifer, über die sie ihre Attacken starten können. So verwundert es nicht, dass große Unternehmen im „Crunchtime-Risikomonitor 2023“ geopolitische Entwicklungen (83%), Inflation (79%) und Cyber-Vorfälle (79%) als größte Risiken angeben, noch weit vor Produktions- und Lieferengpässen (74%), Energiekrise (62%) und Fachkräftemangel (42%). Gemäß der von PwC beauftragten „Digital Trust Insights 2023“-Studie sind bereits 30% der befragten Unternehmen Opfer von Datenverlusten im Millionenbereich aufgrund von Cyberangriffen geworden. Laut einer aktuellen Studie (01.09.2023) des Digital-Branchenverband Bitkom erlitt die deutsche Wirtschaft im Laufe eines Jahres einen Schaden von 206 Milliarden Euro (206.000.000.000 €) durch Cyberkriminalität.

Der Krieg in der Ukraine erhöht zusätzlich die Dringlichkeit, mit der die EU sicherstellen will, dass kritische und wichtige Unternehmen in den Mitgliedsstaaten sich besser vor Cyberangriffen abschotten und standhalten können. Die EU weitet mit ihr den Kreis der betroffenen Unternehmen deutlich aus: Neben kritischen Infrastrukturen stehen weitere wichtige Branchen im Fokus – und damit auch kleine Firmen, wenn sie als Zulieferer tätig sind.

Wer von NIS2 berührt ist, muss deshalb ab Oktober 2024 strenge Sicherheits­vorkehrungen treffen. Dazu gehören die Erhöhung des Schutzes vor Cyberangriffen, die Einhaltung spezifischer Security-Standards sowie die Gewährleistung, dass Systeme ständig auf dem aktuellen Stand sind. Zudem gelten Meldepflichten, falls es zu Sicherheitsvorfällen kommt.

Außerdem dürfen die Behörden Vor-Ort-Kontrollen durchführen und im Notfall auf Daten und Dokumente zugreifen. Bei Verstößen drohen hohe Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Im schlimmsten Fall können Unternehmen sogar ihre Betriebserlaubnis verlieren.

Die EU unterteilt Unternehmen, für die NIS2-Richtlinien gelten, in zwei Kategorien: „essential“ und „important“, also „wesentlich“ und „wichtig“. Erstere wurden zum Teil schon in der ersten NIS-Fassung erwähnt. In der neuen Version umfasst diese Kategorie aber mehr Klassen. Die zweite Gruppe der wichtigen Organisationen definiert die EU-Regelung ganz neu.

Direkt betroffen sind jeweils nur Unternehmen mit mindestens 50 Mitarbeitern und einem Jahresumsatz von mehr als zehn Millionen Euro. Allerdings gibt es noch weitere Ausnahmen, bei denen die Unternehmensgröße keine Rolle spielt. Diese gelten für Anbieter von DNS-Diensten (Domain Name System Diensten), Top-Level-Domain-Namensregistern sowie Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste.

Zusätzlich können weitere mittelgroße und kleine Firmen ins Visier geraten, wenn sie als Dienstleister und Lieferanten für die direkt betroffenen Organisationen tätig sind. Dann sind sie unter Umständen gezwungen, ebenso strenge Sicherheitsvorkehrungen einzuhalten, um die gesamte Lieferkette zu schützen. So kann etwa ein Automobilhersteller seinen Zulieferer verpflichten, bestimmte Cybersecurity-Technologien oder -Methoden einzuführen, um selbst nicht gegen die EU-Vorgaben zu verstoßen.

Zur Gruppe der wesentlichen Organisationen („essential“) gehören vor allem KRITIS-Unternehmen, also Betriebe mit wichtiger Bedeutung für das staatliche Gemeinwesen, deren Ausfall gravierende Folgen hätte. NIS2 nennt hier elf Bereiche, darunter Energie- und Wasserversorgung, Transport, Finanz- und Bankwesen, Gesundheit und öffentliche Verwaltung.

Zu den wichtigen Organisationen („important“) werden sieben Branchen gezählt: Post- und Kurierdienste, Abfall, Lebensmittel, Chemikalien, digitale Dienste (etwa für Suchmaschinen, Online-Marktplätze, Cloud-Services, soziale Netzwerke), Industrie (unter anderem Maschinenbau, Fahrzeugbau, Datenverarbeitungsgeräten) sowie Forschung.

Welche Unternehmen sind von NIS2 konkret betroffen?

Mit Inkrafttreten der NIS2-Richtlinie müssen ab 2024 Unternehmen in 18 Sektoren die festgelegten Mindeststandards der Informationssicherheit umsetzen.

Die Unterscheidung zwischen „Essential Entities“ und „Important Entities“ bestimmt auch den Umfang der staatlichen Aufsicht und die Sanktionierungsmöglichkeiten bei Missachtung und Zuwiderhandlung. Insgesamt werden in Deutschland mindestens 30.000 Unternehmen von NIS2 betroffen sein. Dabei ist zu beachten, dass die Unternehmen anhand der genannten Kriterien selbst ermitteln müssen, ob NIS2 für sie zutrifft. Ihnen wird von behördlicher Seite nicht mitgeteilt, dass für sie die NIS2-Vorgaben gelten.

1. Kriterium: Die Unternehmensgröße

Unternehmen mit mindestens 50 Mitarbeiterinnen und Mitarbeitern und einem Jahresumsatz/einer Jahresbilanz von über 10 Mio. Euro können unter den Anwendungsbereich der NIS2-Richtlinie fallen, wenn Kriterium 2 auch erfüllt ist.

2. Kriterium: Der Unternehmenssektor

Ob eine Einrichtung unter die NIS2 fällt, hängt zudem davon ab, ob sie zu einem der unten genannten 18 Unternehmenssektoren gehört. Der Unternehmenssektor ist das zweite ausschlaggebende Kriterium, zusätzlich zu der Unternehmensgröße.

Sind beide Kriterien erfüllt, fällt eine Einrichtung unter die NIS2-Richtlinie. Prüfen Sie also, ob ihr Unternehmen zu einem der 18 relevanten Sektoren gehört.

In der NIS2 gibt es elf „wesentliche“ („Essential“) und sieben „wichtige“ („Important“) Sektoren. Diese NIS2-Sektoren ähneln denen der deutschen KRITIS-Einstufung:

Wesentliche (essential) Sektoren:

• Energie (Elektrizität, Fernwärme, Erdöl, Erdgas, Wasserstoff) – entspricht dem KRITIS-Sektor „Energie“
• Transport (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr) – KRITIS-Sektor „Transport“
• Bankwesen (Kreditinstitute) – KRITIS-Sektor „Finanzwesen“
• Finanzmarktinfrastruktur (Handelsplätze, Zentrale Gegenpartien) – KRITIS-Sektor „Finanzwesen“
• Gesundheit (Gesundheitsdienstleister; EU Labore, Medizinforschung, Pharmazeutik, Medizingeräte) – KRITIS-Sektor „Gesundheit“
• Trinkwasser (Wasserversorgung) – KRITIS-Sektor „Wasser“
• Abwässer (Abwasserentsorgung) – KRITIS-Sektor „Wasser“
• Digitale Infrastruktur (Internet-Knoten (IXP), DNS (ohne Root), TLD Registries, Cloud Provider, Rechenzentren, CDNs, Vertrauensdienste (TSP), Elektronische Kommunikation) – KRITIS-Sektor „IT“, teilweise TKG (Telekommunikationsgesetz)
• IKT-Dienstleistungsmanagement (B2B) (Managed Service Providers, Managed Security Service Providers) – keine KRITIS-Entsprechung
• Öffentliche Verwaltungen (Zentralregierung, regionale Regierung) – keine KRITIS-Entsprechung
• Weltraum (Bodeninfrastruktur) – teilweise KRITIS-Sektor „Transport“

Wichtige (important) Sektoren:

• Post- und Kurierdienste (Postdienste) – teilweise KRITIS-Sektor „Transport“
• Abfallwirtschaft (Abfallbewirtschaftung) – KRITIS-Sektor „Entsorgung“
• Herstellung, Produktion und Vertrieb von Chemikalien – KRITIS-Sektor „UBI“ (3) (Unternehmen im besonderen öffentlichen Interesse)
• Lebensmittelproduktion, -verarbeitung und -vertrieb – KRITIS-Sektor „Ernährung“
• Produktion, Herstellung von Medizinprodukten, Maschinen, Fahrzeugen sowie elektrischen/elektronischen Geräten – KRITIS-Sektor „UBI“ (2)
• Digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke) – KRITIS-Sektor teilweise „TMG“ (Telemediengesetz)
• Forschung (Forschungsinstitute) – keine KRITIS-Entsprechung

Die Abwasserwirtschaft, die öffentliche Verwaltung und die Weltraumwirtschaft sind dabei neue Sektoren im Bereich der „wesentlichen Einrichtungen“.

Der Postsektor, die Abfallwirtschaft, die Chemie, die Lebensmittelwirtschaft, das produzierende Gewerbe sowie Digitalanbieter zählen nun zu den „wichtigen Einrichtungen“. Für „wichtige Einrichtungen“ sind dabei geringere Geldstrafen vorgesehen, und sie unterliegen einer reaktiven (anlassbezogenen) Aufsicht durch die Behörden.

Dies steht im Gegensatz zur proaktiven Aufsicht (ohne Anlass), welche den „wesentlichen Einrichtungen“ vorbehalten ist.
Für beide Gruppen gelten die gleichen Vorgaben. Nur bei drohenden Strafen und Sanktionen macht die EU einen Unterschied.

Wie können Unternehmen NIS2 umsetzen?

Wesentliche und wichtige Organisationen müssen laut NIS2-Richtlinie „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme (…) zu beherrschen“. Zudem sollen „die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste“ und andere Dienste verhindert oder möglichst gering­gehalten werden. Die EU fordert (Artikel 20), dass sich um diese Aufgaben das oberste Management kümmert – NIS2 ist die Verantwortung der Geschäftsführung, sie haftet für Verstöße. Ferner muss sie an Schulungen teilnehmen und diese auch den Beschäftigten anbieten. Eine wichtige Forderung ist die Kombination verschiedener Abwehrmethoden: Einerseits mithilfe von technischen Vorkehrungen und andererseits durch spezialisierte Experten für diesen Bereich.

Was können und müssen konkret Unternehmen tun, um das zu gewährleisten?

Die Richtlinie nennt in Artikel 21 Bereiche und Maßnahmen, die abgedeckt werden müssen:

Fragestellungen zu den Bereichen und Maßnahmen:

• Policies: Welche Richtlinien für Risiken und IS gibt es im Unternehmen?
• Incident Management: Welche wirksamen Maßnahmen gibt es für die Prävention, Detektion und Bewältigung von Cyber Incidents?
• Business Continuity: Welches Business Continuity Management mit Backup Management, Desaster Recovery, Krisenmanagement ist vorgesehen?
• Supply Chain: Ist die Sicherheit in der Lieferkette – bis zur sicheren Entwicklung bei Zulieferern gewährleistet?
• Einkauf: Ist die Sicherheit in der Beschaffung von IT und Netzwerk-Systemen als Teil der Beschaffungsprozesse vorgesehen?
• Effektivität: Gibt es ausreichende Vorgaben für die Messung und Steuerung von Cyber und Risiko Maßnahmen?
• Training: Sind Maßnahmen zur Cyber Security Hygiene fest vorgesehen?
• Kryptographie: Gibt es ausreichende Vorgaben für Kryptographie und womöglich für Verschlüsselung?
• Personal: Gib es ausreichende Maßnahmen die Risiken reduzieren, die von Mitarbeiterinnen und Mitarbeitern ausgehen?
• Zugangskontrolle: Ist eine effektive Kontrolle der Zugänge etabliert?
• Asset Management: Sind die wesentlichen Vermögenswerte ausreichend inventarisiert, klassifiziert und geschützt?
• Authentifizierung: Kommt Multi Faktor Authentisierung und SSO ausreichend zum Einsatz?
• Kommunikation: Ist die Sprach-, Video- und Text-Kommunikation angemessen geschützt?
• Notfall-Kommunikation: Sind gesicherte Notfall-Kommunikations-Systeme vorgesehen?

Aus dem Katalog ergeben sich bereits klare Tätigkeiten, die ein Unternehmen umsetzen muss, wenn es sich im Geltungsbereich von NIS2 befindet.

Nutzen und Vorteile

Neben der reinen Pflichterfüllung durch die Umsetzung regulatorischer Vorgaben des Gesetzgebers nutzt eine erhöhte Informationssicherheit jedem Unternehmen. Informationen sind – neben seinen Mitarbeitern – meist das wichtigste Kapital, ihre Absicherung ist eine strategische Investition, die zum Geschäftserfolg beiträgt. Neben der reinen Informationssicherheit wird durch die notwendigen Maßnahmen auch der Datenschutz gestärkt, der u.a. im Rahmen von DSGVO eine weitere regulatorische Komponente für das Unternehmen ist. In der folgenden Übersicht wird der Nutzen beider Themenstellungen zum Vergleich dargestellt.

Vorteile einer verbesserten Informationssicherheit sind:

• Schutz vor Datenverlust: Informationssicherheit schützt vor unbeabsichtigtem oder böswilligem Verlust von sensiblen Daten, sei es durch technische Fehler, Cyberangriffe oder auch menschliches Versagen.
• Vertrauen und Reputation: Organisationen, die ihre Informationen sicher schützen, gewinnen das Vertrauen ihrer Kunden, Partner und Interessengruppen. Eine gute Reputation in Bezug auf Sicherheit kann langfristig geschäftliche Beziehungen fördern.
• Compliance mit Gesetzen und Vorschriften: Informationssicherheit ist oft gesetzlich vorgeschrieben. Durch die Umsetzung von Sicherheitsmaßnahmen können Organisationen gesetzlichen Bestimmungen entsprechen und rechtliche Konsequenzen vermeiden.
• Geschäftskontinuität: Ein effektives Informationssicherheitsprogramm trägt dazu bei, die Kontinuität der Geschäftsabläufe sicherzustellen, indem es vorbereitende Maßnahmen für den Umgang mit Störungen und Katastrophen implementiert.
• Schutz geistigen Eigentums: Fokussierte und entsprechend implementierte IS schützt geistiges Eigentum, Handelsgeheimnisse und andere wertvolle Informationen vor Diebstahl oder unbefugtem Zugriff.

Vorteile durch einen verstärkten Datenschutz sind:

• Wahrung der Privatsphäre: Datenschutz gewährleistet den Schutz der Privatsphäre von Einzelpersonen, indem er sicherstellt, dass personenbezogene Daten nur für die vorgesehenen Zwecke verwendet werden.
• Vermeidung von Identitätsdiebstahl: Datenschutzmaßnahmen helfen dabei, Identitätsdiebstahl zu verhindern, indem sensible persönliche Informationen vor unbefugtem Zugriff geschützt werden.
• Einhaltung von Datenschutzbestimmungen: Organisationen, die Datenschutzprinzipien einhalten, erfüllen nicht nur ethische Standards, sondern auch gesetzliche Vorschriften wie die Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union.
• Kundenvertrauen und -bindung: Durch den Schutz persönlicher Daten bauen Unternehmen Vertrauen zu ihren Kunden auf und fördern so eine langfristige Kundenbindung.
• Vermeidung von Bußgeldern: Die Nichteinhaltung von Datenschutzbestimmungen kann zu erheblichen Geldstrafen führen. Ein angemessener Datenschutz minimiert das Risiko von Bußgeldern.

Meldepflichten

Die NIS2 Directive schreibt in Art. 23 eine Meldepflicht von Sicherheitsvorfällen vor. Erhebliche Sicherheitsvorfälle sind der noch zu schaffenden nationalen Behörde (jeder Mitgliedstaat ist nach Art. 8 Abs. 1 NIS2 verpflichtet, eine zuständige Behörde für Cybersicherheit zu benennen bzw. einzurichten. Nach Art. 10 Abs. 1 NIS2 müssen sie außerdem ein oder mehrere Computer Security Incident Response Team oder „CSIRT“ einrichten) und gegebenenfalls den Empfängern der eigenen Dienste zu melden. Auch hierfür sind prozessuale und ggf. auch technische Voraussetzungen im Unternehmen zu schaffen. Folgende Fristen gelten, um einen Vorfall der zuständigen Behörde zu melden:

1. Frühwarnung innerhalb von 24 Stunden ab Kenntnis: Verdacht, ob der Vorfall auf rechtswidriger oder böswilliger Handlung beruht und ob er grenzüberschreitend Auswirkungen hat.
2. Ausführlicher Bericht innerhalb von 72 Stunden ab Kenntnis: Erste Bewertung des Sicherheitsvorfalls, inklusive Schweregrad, Auswirkungen und ggf. Indikatoren bzgl. Kompromittierung.
3. Fortschritts-/Abschlussbericht ein Monat nach Meldung: Ausführliche Beschreibung, Angaben zur Art der Bedrohung, Ursachen, Abhilfemaßnahmen, ggf. die grenzüberschreitenden Auswirkungen.

Betreiber müssen demnach ihre nationale Cyber Security Behörde unverzüglich über signifikante Störungen, Vorfälle und Cyber Threats ihrer kritischen Dienstleistungen unterrichten, ebenfalls – wo möglich – die Empfänger (Kunden) ihrer Dienst­leistungen (Art. 23 EU).

Die von NIS2 betroffenen Unternehmen müssen sich bei der Agentur der Europäischen Union für Cybersicherheit (ENISA = European Network and Information Security Agency) registrieren – die ihrerseits nationale Behörden informiert (Art. 25).

Ferner – so sieht es Artikel 29 und 30 vor, sollen die Mitgliedstaaten den Austausch von Informationen zwischen Betreibern fördern und unterstützen – mit Regeln, Plattformen und Technologien.

Auswirkungen auf Unternehmen

Kein Unternehmer ist erfreut über zusätzliche Pflichten, die ihm und seinem Unternehmen auferlegt werden, bedeuten diese Pflichten doch immer Mehraufwand und Mehrkosten. Ganz zu schweigen von eventuellen Folgeaufwänden bei unzureichend erfüllten Pflichten. Andererseits sind die möglichen Kosten von Cybervorfällen hoch und können direkt oder indirekt (etwa durch Reputationsverlust) die Existenz des Unternehmens gefährden. So wird dringend angeraten die Vorschriften als Chance für notwendige Maßnahmen zu verstehen, die auf Basis von viel Erfahrungswissen die Möglichkeit bieten, IT-Prozesse und -zuständigkeiten im eigenen Unternehmen nachhaltig zu verbessern.

Immer mehr Unternehmen erkennen, welche Bedeutung die IS besitzt. Gleichzeitig wird deutlich, welche Chancen in einer effizienten Einbindung der IS in interne Prozesse und die Kultur des Unternehmens bestehen.

Gerade weil das Thema IS vielschichtig ist und somit prozessuale, technische und auch menschliche Aspekte zu beachten sind, um nachhaltig für das Unternehmen und die Mitarbeiter einen Mehrwert zu schaffen, ist ein langfristig angelegter Veränderungsprozess mit klar definierten Zielen und Maßnahmen notwendig.

Kernpunkt und Basisvoraussetzung für ein langfristiges Gelingen dieses Prozesses ist ein gemeinsames, konkretes Ziel. Dieses sollte von den Mitarbeitern entwickelt und getragen, sowie transparent kommuniziert werden, um ein zielführendes Veränderungsmanagement (Change Management) zu ermöglichen. Hierbei ist entscheidend, dass die Ziele und daraus abgeleiteten Maßnahmen verständlich und nachvollziehbar sind, sowie die Ansprüche der unterschiedlichen Anspruchsgruppen berücksichtigt – sei es die User Experience bei der Multi-Faktor-Authentifizierung oder die Rechtevergabe im Rahmen eines funktionierenden IAM / PAM (Identity and Access bzw. Privileged Access Management) Systems.

Vor dem Hintergrund der wachsenden Bedeutung und immer vielfältigeren Anforderungen wird also – im Hinblick auf das Ziel, ein Unternehmen effizient abzu­sichern und somit die Grundlage für ein langfristiges Wachstum zu ermöglichen – von allen Beteiligten ein hohes Maß an Engagement, Empathie und Lösungs­kompetenz gefordert.

Dieser Artikel wurde von unserem Vereinsmitglied und Partner der Project Management Partners Hans-Jörg Vohl erstellt. Bei weiteren Fragen wenden Sie sich bitte an vohl@pmps.de.

Der Beitrag Informationssicherheit für die kritische Infrastruktur: Die NIS2 Richtlinie erschien zuerst auf Verein zur Unterstützung der digitalen Transformation e.V..