NIS2 & neue Cybersecurity-Gesetze in der Schweiz und der EU

Das Informationssicherheitsgesetz und NIS2 Stärkung der Cybersicherheit in der Schweiz

Am 8. November 2023 beschloss der Bundesrat, das neue Informationssicherheitsgesetz (ISG) und die zugehörigen Durchführungsverordnungen zum 1. Januar 2024 in Kraft zu setzen. Das ISG bündelt die relevanten Rechtsgrundlagen für die Cybersicherheit in einem Gesetz und führt zu einer grundlegenden Umstrukturierung der Cybersicherheit durch den Bund. Das Nationale Zentrum für Cybersicherheit (NCSC) wird in ein Bundesamt (BACS) umgewandelt und ist künftig nicht mehr zuständig für … IT Sicherheit in der Bundesverwaltung.

Ab dem 1. Januar 2024 wird eine neue Spezialeinheit für Informationssicherheit eingerichtet, die Richtlinien herausgeben wird zu IT Für die Sicherheit der gesamten Bundesverwaltung zuständig, kann Prüfungen anordnen und ist für die Bearbeitung wichtiger Angelegenheiten verantwortlich. IT Angriffe. Diese Aufgaben und Verantwortlichkeiten für den Selbstschutz des Bundes werden vom Nationalen Sicherheitsrat (NCSC) an das Staatssekretariat für Sicherheitspolitik (SIPOL) übertragen, das der Bundesrat ebenfalls innerhalb des Verteidigungsdepartements (DDPS) eingerichtet hat. Künftig wird sich der NCSC ausschließlich auf den Schutz der kritischen Infrastrukturen der Schweiz konzentrieren.

Die Schweiz beschleunigt den Ausbau ihrer rechtlichen Grundlagen für eine sichere Digitalisierung: Am 1. September 2023 treten das vollständig überarbeitete Datenschutzgesetz (DSG) und die Durchführungsbestimmungen der neuen Datenschutzverordnung (DSG) in Kraft. Aufgrund der starken Ausrichtung auf die DSGVO Es wird zusätzliche Vorschriften (und zusätzlichen Anpassungsaufwand für die Unternehmen) im Vergleich zum derzeit geltenden Schweizer Datenschutzrecht geben: Zum Beispiel die Führung eines Verzeichnisses der Verarbeitungstätigkeiten, die Durchführung von Datenschutz-Folgenabschätzungen für die Risikodatenverarbeitung, die Vorbereitung auf die Gewährung von Betroffenenrechten, um nur einige Beispiele zu nennen.

Bereits 2020 verabschiedeten Nationalrat und Ständerat das Bundesgesetz über die Informationssicherheit (ISG). Der genaue Zeitpunkt des Inkrafttretens steht noch aus, einige Bestimmungen treten jedoch ohne Übergangsfrist unmittelbar in Kraft. Das Gesetz orientiert sich an internationalen Standards der Informationssicherheit, insbesondere an ISO 27001, und zielt darauf ab, die Schweizer Informationsinfrastruktur zu stärken.

Mit dem Informationssicherheitsgesetz (ISG) hat die Schweizer Regierung ein neues Gesetz eingeführt, das die Informationssicherheitsgesetzgebung einschränkt. IT Sicherheits- und Cybersicherheitsmanagementverpflichtungen für viele Bereiche der Schweizer Verwaltung, für wichtige Organisationen und für Unternehmen wie – und insbesondere – kritische Infrastrukturen.

Das ISG soll sicherstellen, dass verpflichtete Behörden und Organisationen sowie Betreiber kritischer Infrastrukturen potenzielle Risiken minimieren, die Stabilität ihrer Systeme und die Geschäftskontinuität kontinuierlich testen und aufrechterhalten.

Demnach unterliegen Behörden, staatliche und föderale Organisationen, Bundesgerichte, die Nationalbank und viele weitere dem ISG (Art. 2) sowie mit ihnen kooperierende Organisationen (Dritte) (Art. 9). Die Rechtsbegriffe sind (in Art. 5) insbesondere auf die Anwendung des ISG festgelegt. IT Ressourcen werden als „hoch geschützt“ eingestuft und die Gültigkeit des Gesetzes über kritische Infrastrukturen und Einrichtungen, die für das Funktionieren der Wirtschaft oder der Bevölkerung unerlässlich sind, wird bestätigt. Dazu gehören unter anderem die Abwasserversorgung, die Energieversorgung, Banken, Versicherungsunternehmen und das Gesundheitswesen. transport , usw.

Das Informationssicherheitsgesetz (ISG) enthält in erster Linie Anforderungen an Organisationen, Unternehmen und Behörden hinsichtlich der Informationssicherheit (Art. 6-23 ISG). Gemäß ISG sind diese verpflichtet, eine umfassende und proaktive Informationssicherheit zu gewährleisten und zu bewerten sowie geeignete Maßnahmen zum Schutz von Daten und digitalen assets vor Cyberangriffen zu ergreifen. Besonders wichtig ist es, die Fähigkeit der Organisationen sicherzustellen, schnell auf Vorfälle zu reagieren und die Wirksamkeit der getroffenen Schutzmaßnahmen zu überwachen und zu verbessern bzw. zu bewerten. Bedrohung Situation auf fortlaufender Basis.

Was ist NIS2 ?

NIS2 ist die aktualisierte EU-Richtlinie zur Verbesserung der Cybersicherheit kritischer und essenzieller Infrastrukturen. Sie baut auf ihrer Vorgängerin, der ursprünglichen NIS-Richtlinie (Richtlinie über Netz- und Informationssysteme), auf. NIS2 erweitert seine Umfang um mehr Sektoren und Unternehmen einzubeziehen. Die Richtlinie zielt darauf ab, sicherzustellen, dass für Wirtschaft und Gesellschaft wichtige Branchen wie Energie, Transport, Gesundheitswesen , Finanzdienstleistungen und die digitale Infrastruktur müssen strenge Cybersicherheitsstandards einhalten.

Wichtige Anforderungen unter NIS2 die Implementierung umfassender Cybersicherheitsrisikomanagementsysteme einschließen, Vorfall Die Einhaltung der Meldefristen und die Gewährleistung der Cybersicherheit entlang der gesamten Lieferkette sind verpflichtend. Unternehmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro sowie Betreiber kritischer Infrastrukturen, unabhängig von ihrer Größe, unterliegen dieser Verpflichtung.

Nichteinhaltung NIS2 Verstöße können erhebliche Strafen nach sich ziehen, darunter Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes. Die Richtlinie fördert zudem eine engere Zusammenarbeit zwischen den EU-Mitgliedstaaten und verstärkt die Aufsichtsmechanismen, um die allgemeine Cybersicherheitsresilienz in Europa zu verbessern.

NIS2 und vereinfachte Informationssicherheitsmanagementsysteme

Konkret verpflichtet das ISG Unternehmen zur Einrichtung eines ISMS (Informationssicherheitsmanagementsystems), das den gesetzlichen Anforderungen entspricht. Dies umfasst:

• Beurteilung des Schutzbedarfs (Art. 6),
• Klassifizierung von Daten (Art. 11-15),
• Risikobewertung (Art. 8),
• und sicherstellen IT Praktiken (Art. 16-19).

Weitere wichtige Punkte des erforderlichen ISMS sind:

• Die unter das Gesetz fallenden Organisationen müssen weiterhin den Schutzbedarf ihrer Daten ermitteln und bewerten (Art. 6) (Art. 11–15) , um schutzwürdige Daten vor Verlust und Angriffen zu schützen. Das Risikomanagement (Art. 8) beschreibt die Maßnahmen zur Kontrolle von Risiken intern und gegenüber Dritten. Es werden Maßnahmen definiert, um Risiken zu vermeiden und zu reduzieren sowie Restrisiken zu managen.
• Für IT Ressourcen und Sicherheitsverfahren müssen definiert, Sicherheitsstufen zugewiesen und Mindestanforderungen formuliert werden (Art. 16-19) .
• Zu den Personalmaßnahmen gehören die sorgfältige Auswahl der Mitarbeiter sowie deren Schulung und Weiterbildung in Bezug auf ISG und entsprechende Schulungen (Art. 20) .
• Bei der Zusammenarbeit mit Partnern, die nicht der ISG angehören, compliance Die Bestimmungen der ISG-Rechtsverordnung (Art. 9) müssen beachtet und vertraglich festgelegt werden.
• Physischen Bedrohungen ist durch die ISG-Unternehmen durch die Ausweisung von Sicherheitszonen mit entsprechenden Kontrollen entgegenzuwirken (Art. 22-23) .

Meldepflichten, Fristen und Bußgelder: Die Revisionsabschnitte

Die am 12. Januar 2022 verabschiedete Revision des ISG (73a–79 rev.) beschreibt unter anderem eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen sowie Meldeoptionen für Cybervorfälle und Sicherheitsverletzungen. Betreiber kritischer Infrastrukturen müssen demnach Cyberangriffe mit Schadenspotenzial innerhalb von 24 Stunden den Behörden melden. Unternehmen und Verantwortliche, die dies vorsätzlich oder grob fahrlässig unterlassen, müssen mit Geldbußen von bis zu CHF 100.000 wegen Verstoßes gegen die Meldepflicht oder Nichteinhaltung von Fristen rechnen (Art. 74a–h rev.).

Cloud und Dienstleister sowie hardware Auch Softwareanbieter, deren Produkte von kritischen Infrastrukturen genutzt werden, unterliegen der aktiven Meldepflicht für Cyberangriffe.

Cybervorfälle und Schwachstellen in IT Systeme können selbstverständlich weiterhin freiwillig gemeldet werden; die Meldemöglichkeit steht allen Unternehmen offen und nicht nur Betreibern kritischer Infrastrukturen (Art. 73b rev.). Dies trägt wesentlich dazu bei, Cyberangriffe künftig zu verhindern oder abzuwehren.

Das NCSC als Anlaufstelle

Das Nationale Zentrum für Cybersicherheit (NCSC) gilt als zentrale Meldestelle für größere Cyberangriffe. Meldungen sind über ein elektronisches Formular einzureichen. Dadurch werden auch Softwarehersteller über gemeldete Sicherheitslücken in ihren Produkten informiert und Fristen für deren Behebung festgelegt.
Der Gesetzentwurf und seine Überarbeitung erhielten sowohl im Nationalrat als auch im Staatenrat eine klare Mehrheit. Lediglich die Erweiterung um eine Meldepflicht für „regelmäßige“ schwerwiegende Sicherheitslücken in Computersystemen wurde vom Staatenrat abgelehnt, da die Abgeordneten eine Überlastung der Unternehmen befürchteten. Die geänderte Fassung wird voraussichtlich zu einem endgültigen Gesetz führen, das derzeit noch im Nationalrat anhängig ist.

Mehr betroffene Unternehmen und höhere Strafen für Nicht- compliance in der EU

Die EU-Richtlinie NIS2 führt auch für Unternehmen in kritischen Branchen der Europäischen Union neue Cybersicherheitspflichten ein. Mit der „ NIS2 Mit der Richtlinie erweiterten die Behörden den Kreis der Unternehmen, die strengere Anforderungen an die Cybersicherheit und Meldepflichten im Falle von Sicherheitsvorfällen erfüllen müssen.

Ab 2024 müssen Unternehmen aus den unterschiedlichsten Branchen mit mehr als 50 Mitarbeitern und einem Umsatz von 10 Millionen Euro ein dediziertes Cybersicherheitsmanagement implementieren.

Allein in Deutschland werden rund 29.000 Unternehmen und Institutionen von den neuen europäischen Vorschriften für kritische Infrastrukturen betroffen sein. Dies bedeutet, dass künftig auch viele weitere Unternehmen, die bisher nicht zu den Betreibern kritischer Infrastrukturen gezählt wurden, den Vorschriften unterliegen werden. Gleichzeitig steigen die Anforderungen an die sogenannten „ KRITIS Die Betreiber ( Kritische Infrastruktur ) werden deutlich anspruchsvoller.

NIS2 erweitert die Umfang und die Verpflichtungen

Die neue Richtlinie verpflichtet Unternehmen in Deutschland, Österreich und den übrigen EU-Ländern zur Meldung von Vorfällen. Innerhalb von 24 Stunden ist ein vorläufiger Bericht einzureichen, und es werden zusätzliche Maßnahmen zum Cybersicherheitsrisikomanagement ergriffen. Nach der ersten Meldung ist ein vollständiger Bericht inklusive einer ersten Bewertung der Vorfälle zu erstellen. Vorfall , muss innerhalb von 72 Stunden befolgt werden.

Bedeutende Vorfälle und erhebliche Gefahren müssen den Behörden innerhalb des Monats erneut vollständig gemeldet und dokumentiert werden. Vorfall Zusätzlich zu weiteren Sicherheitsmanagementmaßnahmen umfassen die NIS2 Meldepflichten präzise Vorgaben zu Verfahren, Inhalt und Frist der Berichte.

Die Nichteinhaltung kann zu hohen Geldstrafen führen. Unternehmen, die den Vorgaben der Richtlinie nicht nachkommen, müssen mit hohen Geldstrafen durch die nationalen Behörden rechnen. Für systemrelevante Branchen werden Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt, je nachdem, welcher Betrag höher ist.

Für die wichtigsten Branchen beträgt die Höchststrafe bis zu 7 Millionen Euro oder 1,4 % des jeweiligen Umsatzes. Die Richtlinie umfasst außerdem Maßnahmen wie Vor-Ort-Inspektionen, Audits und sogar die Suspendierung oder den Ausschluss von Führungskräften.

Alle 27 EU-Mitgliedstaaten müssen die neue Verpflichtung bis September 2024 in ihr jeweiliges nationales Recht umsetzen.

Die EU NIS2 Richtlinie in Kürze:

• Sektoren: Die Anzahl der kritischen, unverzichtbaren Einrichtungen erhöht sich auf elf Sektoren; die Anzahl der wichtigen Einrichtungen erhöht sich auf sieben Sektoren – insgesamt also achtzehn. NIS2 Sektoren.
• Betreiber: Alle mittleren und großen Unternehmen ab 50 Beschäftigten/10 Millionen Euro Umsatz in den betroffenen Branchen sind betroffen.
• Cybersicherheit: Die Anforderungen an das Management und den Umgang mit Cybersicherheit und Cybervorfällen seitens der Betreiber und Mitgliedstaaten nehmen zu; die Cybersicherheit muss auch in den Lieferketten und bei Drittanbietern gewährleistet sein.
• Zusammenarbeit: Die Aufsicht und Zusammenarbeit zwischen Behörden und Betreibern in der EU wird intensiviert, die europäische Rechtsprechung wird verschärft.
• Sanktionen: Die Strafen und Durchsetzungsmaßnahmen werden deutlich ausgeweitet – auf Höchststrafen von mindestens 7 oder 10 Millionen Euro, je nach Branche.

Die heutigen Aufgaben für die betroffenen Unternehmen:

• Analyse und Bewertung der Sicherheitsrisiken des Unternehmens IT Systeme: Prävention, Erkennung, Identifizierung, Eindämmung , Schadensbegrenzung und Reaktion auf Vorfälle ( Reaktion auf Vorfälle Aktivitäten)
• Sicherstellung der Geschäftskontinuität und des Krisenmanagements
• Gewährleistung der Sicherheit bei der Beschaffung durch Dritte sowie bei der Entwicklung und Wartung von Netzwerken und Informationssystemen
• Testen und Bewerten der Wirksamkeit von IT Sicherheitsrisikomanagementmaßnahmen

Fazit

Diverse nationale und EU-weite Vorschriften haben die Anforderungen an die Überwachung und Meldung von Cybersicherheitsvorfällen für Schweizer und EU-Unternehmen verschärft. Daher ist es für Unternehmen unerlässlich, der Überwachung, Erkennung und Meldung von Cyberangriffen höchste Priorität einzuräumen. Network Detection & Response sind dabei neben anderen Maßnahmen ein grundlegendes Element, um die verschärften Anforderungen zu erfüllen.

Weitere Informationen zur Einhaltung der Vorschriften NIS2 Laden Sie hier die Checkliste Compliance herunter .

Die KuppingerCole Executive View on NDR ist auch ein gut geeignetes und hilfreiches Tool für ein tieferes Verständnis der Netzwerküberwachung als grundlegendes Element der Sicherheitsarchitektur für NIS2. Darin wird beschrieben, wie die Netzwerksicherheitssoftwarelösung Exeon.NDR maschinelles Lernen nutzt, um eine umfassende Netzwerküberwachung, die sofortige Erkennung potenzieller Cyberbedrohungen und effiziente Reaktionen zum Schutz globaler Unternehmen und kritischer Infrastrukturen zu ermöglichen.