NIS2-Durchsetzung: Die ersten Bußgelder sind da, und das ist erst der Anfang

Was ist passiert?

Über Jahre hinweg war die NIS2-Richtlinie für europäische Organisationen eine bedeutende, wenn auch abstrakte, regulatorische Hürde. Mit Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes waren die potenziellen Auswirkungen klar, doch die praktischen Auswirkungen der Durchsetzung blieben weitgehend theoretisch. Das änderte sich in diesem Sommer dramatisch. Erste Strafen wurden nun in mehreren Mitgliedstaaten verhängt, was einen definitiven Wandel signalisiert. Einige Länder haben Strafen zwischen etwa 52.000 € und 450.000 € verhängt.

Neben den finanziellen Strafen hat die Europäische Kommission ihre Haltung formell verschärft. Sie hat Maßnahmen gegen bestimmte Mitgliedstaaten ergriffen, weil diese die Richtlinie bis zur Frist im Oktober 2024 nicht vollständig in nationales Recht umgesetzt haben. Dieser Schritt unterstreicht das Engagement der Kommission, eine umfassende Einhaltung sicherzustellen, selbst gegenüber einigen der größten Volkswirtschaften der EU.

Die Aufsichtstätigkeit übertrifft in der Tat die Bußgelder selbst. Aufsichtsbehörden in einigen Ländern haben zahlreiche formelle Aufsichtsverfügungen erlassen. Auditprogramme sind in einer beträchtlichen Anzahl von Mitgliedstaaten aktiv und zielen zunächst auf wesentliche Einrichtungen ab. Dies deutet auf eine proaktive Durchsetzungslandschaft hin, in der das Fehlen einer Strafe lediglich bedeutet, dass die Aufsichtsbehörde diese spezielle Organisation noch nicht erreicht hat, nicht unbedingt, dass sie konform ist.

Warum sich dieses Muster ständig wiederholt

Das anhaltende Muster der Nichteinhaltung und der anschließenden Durchsetzung ergibt sich aus mehreren Kernherausforderungen, denen Organisationen gegenüberstehen. Ein Hauptproblem ist die schiere Komplexität der Regulierungslandschaft. NIS2, DSGVO, ISO 27001, DORA und SOC 2 stellen jeweils einzigartige Anforderungen dar, oft mit überlappenden, aber nicht perfekt aufeinander abgestimmten Mandaten. Die gleichzeitige Verwaltung mehrerer Rahmenwerke ist für viele Sicherheitsverantwortliche überwältigend.

Ein weiterer wichtiger Faktor sind die von diesen Vorschriften auferlegten engen Fristen. NIS2 ist bereits durchsetzbar, und DORA wird ab Januar 2025 gelten. Organisationen bemühen sich unter enormem Druck und mit begrenzter Zeit zur Umsetzung umfassender Änderungen um die Einhaltung. Diese Eile kann zu einer oberflächlichen Einhaltung statt zu tiefgreifenden Sicherheitsverbesserungen führen.

Darüber hinaus besteht ein kritischer Mangel an spezialisiertem GRC-Fachwissen. Der Aufbau interner Compliance-Fähigkeiten dauert Jahre, ein Luxus, den viele Organisationen nicht haben. Diese Talentlücke führt oft dazu, dass Organisationen schlecht gerüstet sind, um die Nuancen von Richtlinien wie NIS2 zu bewältigen, die nicht nur den Umfang der betroffenen Unternehmen erweitern, sondern auch die Verantwortlichkeit verlagern. Artikel 20 verlangt beispielsweise ausdrücklich, dass die Leitungsorgane Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen und deren Umsetzung überwachen.

Der Übergang von der abstrakten Richtlinie zur aktiven Durchsetzung offenbart eine weit verbreitete Unterschätzung sowohl des Umfangs als auch der detaillierten Anforderungen von NIS2.

Das Vorgehen der Angreifer Schritt für Schritt

Während die NIS2-Richtlinie sich auf Verteidigungsmaßnahmen und Rechenschaftspflicht konzentriert, beleuchtet ihre Durchsetzung Schwachstellen, die Angreifer routinemäßig ausnutzen. Das Vorgehen der Angreifer gegen nicht-konforme Unternehmen beginnt typischerweise mit der Aufklärung. Sie scannen nach öffentlich zugänglichen Assets und identifizieren Organisationen, die unter den Geltungsbereich von NIS2 fallen, insbesondere solche in kritischen Sektoren. Die Richtlinie deckt eine beträchtliche Anzahl von Unternehmen ab, was einen breiten Zielpool darstellt.

Als Nächstes nutzen Angreifer oft allgemeine Schwachstellen, die durch Compliance-Lücken verstärkt werden. Dazu gehört die Ausnutzung von ungepatchten Systemen, falsch konfigurierten Diensten und schwachen Zugriffskontrollen – alles Bereiche, in denen NIS2 ein robustes Risikomanagement vorschreibt. Der SAP-Blindspot ist beispielsweise eine bekannte Schwachstelle, bei der kritische Geschäftssysteme oft keine ausreichende Sicherheitsprüfung erhalten, was sie zu Hauptzielen für hochentwickelte Angreifer macht, die Operationen stören oder sensible Daten exfiltrieren wollen. Bestimmte kritische Schwachstellen wurden in der Praxis ausgenutzt, was die realen Auswirkungen solcher Versäumnisse demonstriert.

Schließlich zielen die Angreifer auf Betriebsunterbrechungen oder Datenexfiltration ab, wohl wissend, dass die mangelnde Vorbereitung einer Organisation, die sich durch die Nichteinhaltung von NIS2 zeigt, auf langsamere Erkennungs- und Reaktionsfähigkeiten hindeutet. Ransomware-Angriffe beispielsweise gedeihen in solchen Umgebungen und führen zu Systemausfällen und Beeinträchtigungen kritischer Infrastrukturen. Das Potenzial einer Geldstrafe von 10 Millionen Euro für die Nichteinhaltung verblasst im Vergleich zu den operativen und reputativen Schäden eines erfolgreichen Angriffs.

Was die Verteidiger übersehen haben

Verteidiger haben vor allem die Tiefe der Integration übersehen, die NIS2 erfordert. Viele Organisationen konzentrierten sich auf Dokumentation und Richtlinienaktualisierungen, ohne diese in umsetzbare, überprüfbare Sicherheitsmaßnahmen zu übersetzen. Richtlinien, die auf dem Papier existieren, aber keine Substanz haben, und veraltete Verfahren sind häufige Dokumentationslücken, die Prüfer leicht identifizieren. Nachweise für Prüfer sind oft verstreut, was es schwierig macht, eine umfassende Compliance nachzuweisen.

Entscheidend ist, dass die Betonung der Rechenschaftspflicht durch die Richtlinie, insbesondere gemäß Artikel 20, die Leitungsorgane oft überraschte. Dieser Artikel schreibt vor, dass das Management nicht nur Maßnahmen zur Cybersicherheitsrisikomanagement genehmigen, sondern auch deren Umsetzung aktiv überwachen muss. Dies verschiebt die Cybersicherheit von einem rein technischen Anliegen zu einem Imperativ auf Vorstandsebene, ein Übergang, mit dem viele Organisationen zu kämpfen hatten.

Darüber hinaus unterschätzten viele Organisationen den Umfang von NIS2 und versäumten es, genau zu bestimmen, ob sie als „wesentliche“ oder „wichtige“ Einrichtung galten. Dieser unklare Umfang führte zu verzögerten oder unzureichenden Umsetzungsbemühungen. Die weite Reichweite der Richtlinie, die Sektoren von Energie und Verkehr bis hin zu Gesundheitswesen und digitaler Infrastruktur umfasst, bedeutet, dass eine große Anzahl von Einrichtungen nun unter ihren Geltungsbereich fällt, von denen viele nicht an solch strenge Cybersicherheitsvorschriften gewöhnt waren.

Eine praktische Checkliste für die Verteidigung

• Führen Sie eine gründliche Umfangsbeurteilung durch: Ermitteln Sie genau, ob Ihre Organisation gemäß NIS2 eine „wesentliche“ oder „wichtige“ Einrichtung ist und welche spezifischen Vorschriften gelten.
• Implementieren Sie ein robustes Risikomanagement: Gehen Sie über theoretische Risikobewertungen hinaus zu praktischen, überprüfbaren Maßnahmen zur Identifizierung, Bewertung und Minderung von Cyberrisiken.
• Stärken Sie die Sicherheit der Lieferkette: Beheben Sie Schwachstellen, die von Drittanbietern ausgehen, da NIS2 die Rechenschaftspflicht über die gesamte Lieferkette ausdehnt.
• Verbessern Sie die Fähigkeiten zur Vorfallberichterstattung: Stellen Sie sicher, dass schnelle und genaue Berichtsmechanismen vorhanden sind, die den strengen Berichtsfristen von NIS2 entsprechen.
• Investieren Sie in GRC-Expertise: Bauen Sie entweder interne Fähigkeiten auf oder engagieren Sie externe Spezialisten, um die komplexe Regulierungslandschaft effektiv zu bewältigen.
• Testen Sie regelmäßig Sicherheitskontrollen: Implementieren Sie eine kontinuierliche Validierung von Sicherheitsmaßnahmen, um deren Wirksamkeit gegen sich entwickelnde Bedrohungen sicherzustellen.
• Schulen und trainieren Sie das Management: Stellen Sie sicher, dass die Führung ihre Rechenschaftspflicht gemäß Artikel 20 versteht und aktiv an der Cybersicherheitsaufsicht teilnimmt.

Wie moderne offensive Tests dies aufgedeckt hätten

Moderne offensive Tests, insbesondere autonome offensive Tests mit ausführbaren PoCs, bieten eine proaktive Lösung, um die Lücken zu identifizieren, die NIS2 schließen will. Traditionelle Compliance-Audits stützen sich oft auf Dokumentenprüfung und statische Bewertungen, die möglicherweise keine tatsächlich ausnutzbaren Schwachstellen aufdecken. Unsere Plattform simuliert mit ihren Frameworks autonom reale Angriffsszenarien auf die Infrastruktur einer Organisation.

Dieser Ansatz hätte den „SAP-Blindspot“ aufgedeckt, indem kritische Geschäftssysteme aktiv auf Schwachstellen getestet worden wären. Er hätte ausführbare Proof-of-Concepts (PoCs) für identifizierte Schwachstellen generiert, die genau zeigen, wie ein Angreifer sie ausnutzen könnte. Dies liefert unwiderlegbare Beweise für eine Sicherheitslücke, sodass Organisationen Abhilfe schaffen können, bevor ein Prüfer oder, noch kritischer, ein Angreifer sie findet.

Solche Tests gehen über die theoretische Compliance hinaus und validieren die Wirksamkeit von Risikomanagementmaßnahmen in der Praxis. Sie würden Mängel in den Incident-Response-Plänen aufzeigen, indem sie Sicherheitsverletzungen simulieren und die Erkennungs- und Eindämmungsfähigkeiten der Organisation bewerten. Durch die Bereitstellung konkreter, umsetzbarer Erkenntnisse mit ausführbaren PoCs bietet autonomes offensives Testen einen klaren Weg nicht nur zur Compliance, sondern auch zu echter Widerstandsfähigkeit gegenüber den Bedrohungen, die NIS2 mindern will.

Was als Nächstes zu beachten ist

Die unmittelbare Zukunft wird eine Intensivierung der Durchsetzungsmaßnahmen sehen. Die Maßnahmen der Europäischen Kommission gegen bestimmte Mitgliedstaaten sind eine formelle Eskalation, kein letzter Schritt. Dies signalisiert, dass die Mitgliedstaaten und damit die Unternehmen in ihnen zunehmendem Druck ausgesetzt sein werden, die Umsetzung abzuschließen und die Einhaltung nachzuweisen.

Erwarten Sie einen anhaltenden Anstieg der Aufsichtsverfügungen und Bußgelder in weiteren Mitgliedstaaten. Da die Auditprogramme reifen und über wesentliche Einrichtungen hinaus auf wichtige ausgedehnt werden, werden viele weitere Organisationen unter die Lupe genommen. Die bereits beobachteten Bußgelder sind wahrscheinlich nur die erste Welle, wobei größere Strafen und häufigere Durchsetzungsmaßnahmen erwartet werden, sobald das Regime an Fahrt gewinnt.

Darüber hinaus wird sich der Fokus von der anfänglichen Compliance auf die kontinuierliche Einhaltung verlagern. Organisationen müssen sich auf laufende Audits vorbereiten und eine ausgereifte, anpassungsfähige Cybersicherheitslage nachweisen. Die Lehren aus den ersten Bußgeldern sind klar: NIS2 ist keine ferne Bedrohung mehr, sondern eine aktive regulatorische Realität, die von CISOs und Sicherheitsingenieuren in ganz Europa sofortige und anhaltende Aufmerksamkeit erfordert.