NIS2-Richtlinie: Brauche ich einen IT-Sicherheitsbeauftragten?

NIS2-Richtlinie

Die Anforderungen an Unternehmen wachsen stetig. Ob NIS2 Richtlinie — wer die Pflichten kennt und richtig umsetzt, spart sich Aerger und Bussgelder. Dieser Beitrag gibt Ihnen die wichtigsten Informationen.

IT-Sicherheit als Pflichtprogramm

Cyberangriffe kosten die deutsche Wirtschaft ueber 200 Milliarden Euro pro Jahr (Bitkom). Ein Informationssicherheitsbeauftragter (ISB) ist die erste Verteidigungslinie — und fuer immer mehr Unternehmen gesetzliche Pflicht.

Wann ist ein ISB Pflicht?

Abgrenzung: ISB vs. DSB vs. CISO

DSB und ISB koennen in der Regel nicht von derselben Person wahrgenommen werden — Interessenkonflikt. Der DSB kontrolliert den Umgang mit Daten, der ISB schuetzt die Systeme. Manchmal widersprechen sich die Ziele.

Aufgaben des ISB

1. ISMS aufbauen und pflegen: Informationssicherheits-Managementsystem (z.B. nach ISO 27001)
2. Risikoanalyse: IT-Risiken identifizieren, bewerten und behandeln
3. Sicherheitsrichtlinien: Erstellung und Aktualisierung von IT-Sicherheitsrichtlinien
4. Awareness-Schulungen: Mitarbeitende fuer IT-Sicherheit sensibilisieren
5. Incident Management: Sicherheitsvorfaelle erkennen, melden und behandeln
6. Audit und Compliance: Einhaltung von Standards und Vorschriften pruefen
7. Berichterstattung: Regelmaessige Berichte an die Geschaeftsfuehrung

Kosten

• Externer ISB (KMU): 500-2.000 EUR/Monat
• Externer ISB (Mittelstand): 2.000-5.000 EUR/Monat
• Interner ISB: 70.000-100.000 EUR/Jahr (Vollzeit)
• ISO 27001 Zertifizierung: 15.000-50.000 EUR (einmalig)

Die NIS2-Richtlinie

Die NIS2-Richtlinie erweitert den Kreis der betroffenen Unternehmen erheblich. Nicht nur KRITIS-Betreiber, sondern auch "wichtige" und "wesentliche" Einrichtungen in 18 Sektoren muessen kuenftig einen ISB haben. Darunter:

• Energie, Verkehr, Wasser
• Gesundheit, Finanzwesen
• Digitale Infrastruktur, Cloud-Dienste
• Lebensmittelproduktion und -vertrieb
• Chemie, Post und Kurier
• Verarbeitendes Gewerbe

Geschaetzt sind in Deutschland 30.000-40.000 Unternehmen betroffen — viele davon zum ersten Mal.

Empfehlungen

1. Pruefen Sie, ob Sie unter NIS2 fallen
2. Trennen Sie ISB und Datenschutzbeauftragter — zwei verschiedene Rollen
3. Investieren Sie in Awareness-Schulungen — der Mensch ist das groesste Sicherheitsrisiko
4. Dokumentieren Sie alles — bei einem Vorfall muessen Sie nachweisen, dass Sie vorgesorgt haben

Im Beauftragten-Ueberblick finden Sie die Uebersicht aller Beauftragten.

Weitere Informationen: Beauftragten-Ueberblick, Datenschutzbeauftragter, Compliance-Beauftragter.