Cybersicherheit für industrielle Netzwerke und Systeme – Wofür stehen NIS2, CRA, Data Act und IEC 62443?

Die Netz- und Informationssicherheitsrichtlinie (NIS2) ist die neue EU-Cybersicherheitsrichtlinie, die Organisationen grundlegende Sicherheitsmaßnahmen zur Minderung des Cyberangriffsrisikos und zur Verbesserung des Cybersicherheitsniveaus in der EU (oder Unternehmen, die mit der EU Geschäfte machen) abverlangt.

Die NIS 2 ist eine verbesserte Version der NIS-Richtlinie von 2016, die bereits ein hohes Sicherheitsniveau von Netz- und Informationssystemen in der Europäischen Union gewährleisten sollte, aber einige Schwachstellen aufwies.

Die wichtigsten Unterschiede zwischen NIS 1 und NIS 2 sind:

• Die neue Version bezieht mehr Sektoren und Unternehmen ein, die für die Gesellschaft und die Wirtschaft unverzichtbar sind, wie z. B. Energie, Gesundheitswesen, Verkehr und digitale Infrastruktur.
• Die NIS 2 fordert die betroffenen Unternehmen und Organisationen auf, ein effektives Risikomanagement zu betreiben und ernste oder signifikante Cyber-Zwischenfälle an die zuständigen nationalen Stellen zu melden, die dann die erforderlichen Maßnahmen ergreifen können. Die NIS 1 gab nur allgemeine Vorgaben für die Sicherheitsmaßnahmen und die Meldung von Vorfällen. • Die neue Security-Richtlinie sieht strengere Sanktionen für die Mitgliedstaaten vor, die bis zu 20 Mio. Euro oder vier Prozent des globalen Umsatzes betragen können, wenn die betroffenen Unternehmen und Organisationen die erforderlichen Sicherheitsmaßnahmen nicht umsetzen oder ernste oder signifikante Cyber-Zwischenfälle nicht an die zuständigen nationalen Stellen berichten. Die NIS 1 überließ die Festlegung der Sanktionen den Mitgliedstaaten, was zu einer uneinheitlichen Anwendung führte.
• Die NIS 2 unterstreicht die persönliche Verantwortung des Managements für die Cyber-Sicherheit und legt fest, dass Geschäftsführer erstmals mit ihrem Privatvermögen haften, wenn sie die gesetzlichen Vorschriften nicht einhalten.

Wer ist von NIS-2 betroffen?

Der 17. Oktober 2024 – das ist der Tag, an dem alle 27 EU-Mitgliedstaaten die NIS-2-Cyber-Sicherheitsvorschriften nahtlos in ihre nationalen Gesetze übernommen haben müssen. Doch die drängende Frage bleibt: Welche Unternehmen sind verpflichtet die NIS-2-Richtlinie umzusetzen?

• Wesentliche Einrichtungen: Dies sind die Organisationen, die im Bereich der kritischen Infrastrukturen tätig sind. Dazu gehören z. B. Energie, Transport, Wasserwirtschaft, Gesundheitswesen oder Banken.
• Wichtige Einrichtungen: Zu dieser Kategorie gehören die führenden Unternehmen der Lebensmittel- und Chemieindustrie sowie diejenigen, die für die Herstellung von elektrischen Geräten, Maschinen und Fahrzeugen verantwortlich sind.
• Außerdem haben die Mitgliedstaaten selbst die Möglichkeit, die betroffenen Zielgruppen der NIS 2 zu erweitern. Sie können zusätzliche Einrichtungen in ihre nationalen Listen aufnehmen und so lokale Behörden, Bildungseinrichtungen und mehr dazu verpflichten, die Richtlinien umzusetzen.

Was bedeutet NIS2 konkret für Sie?

Die NIS-2-Richtlinie ist eine EU-Richtlinie, die am 16. Januar 2023 in Kraft getreten ist und die Cyber-Sicherheit und -resilienz von kritischen Infrastrukturen und digitalen Dienstleistern verbessern soll. Die Richtlinie verpflichtet die betroffenen Unternehmen und Organisationen, sich an ein wirksames Risikomanagement zu halten und ernste oder signifikante Cyber-Zwischenfälle an die zuständigen nationalen Stellen zu berichten, die dann die notwendigen Maßnahmen ergreifen können. Um die potenziellen Schäden für die Nutzenden, die Umwelt und die öffentliche Ordnung zu minimieren, ist es dabei Ziel, Sicherheitslücken frühzeitig zu erkennen und präventiv dagegen vorzugehen. Um sicherzustellen, dass alle Beteiligten die gleichen hohen Standards einhalten, sind die Unternehmen außerdem dafür verantwortlich, die Sicherheit der gesamten Lieferkette zu gewährleisten und die Anforderungen an ihre Geschäftspartner und Lieferanten weiterzuleiten.

Zu den weiteren Maßnahmen gehören u. a.:

• Die Implementierung von angemessenen und verhältnismäßigen Sicherheitsmaßnahmen, die den aktuellen Standards und bewährten Praktiken entsprechen, um die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität ihrer Daten und Dienste zu gewährleisten.
• Die Erstellung und Aktualisierung eines Business-Continuity-Plans, der die Wiederherstellung der normalen Betriebsbedingungen nach einem Cyber-Zwischenfall ermöglicht.
• Um unbefugten Zugriff zu verhindern, Einführung einer Multi-Faktor-Authentifizierung für den Zugriff auf ihre Netzwerke und Informationssysteme.

Mit dem Data Act (EU-Datenverordnung) führt die Europäische Union klare Regeln für den Umgang mit Daten ein. Ab September 2025 erhalten Nutzer vernetzter Produkte wie IoT-Geräten oder Maschinen mehr Kontrolle über die von ihnen generierten Daten. Unternehmen werden verpflichtet, diese Daten zugänglich zu machen und mit anderen fair zu teilen. Ziel ist es, eine bessere Nutzung von Daten zu ermöglichen und neue Möglichkeiten für Innovation und Zusammenarbeit zu schaffen. Die Verordnung stellt aber auch klare Anforderungen für Hersteller und Dienstleister. Für Unternehmen ergeben sich technische Herausforderungen, aber auch Chancen für neue Geschäftsmodelle und Innovationen.

Anwendungsbereich des Data Acts

Der Data Act ist bewusst weit gefasst, um die verschiedenen Aspekte der modernen Datenwirtschaft abzudecken. Die Verordnung gilt für alle Unternehmen, die Produkte oder Dienstleistungen in der EU anbieten – unabhängig davon, wo ihr Hauptsitz liegt. Dazu gehören IoT-Geräte wie Smart-Home-Produkte, industrielle Maschinen und Fahrzeuge sowie Anbieter von Cloud- und Edge-Computing-Diensten. Auch öffentliche Stellen können unter bestimmten Bedingungen Zugang zu Daten erhalten, wenn diese für Aufgaben im öffentlichen Interesse benötigt werden. Zentrale Inhalte des Data Acts Der Data Act legt eine Reihe zentraler Regelungen fest, die das Zusammenspiel zwischen Herstellern, Nutzern und Datenempfängern neu definieren. Diese Anforderungen sind entscheidend, um eine gerechte Datenwirtschaft zu fördern und den Schutz sensibler Informationen zu gewährleisten.

• Rechte der Nutzer: Zugang zu ihren Daten
• Verpflichtungen der Unternehmen bei Datenweitergabe
• Regeln für den gesetzlich verpflichtenden Datenaustausch
• Förderung der Interoperabilität von Systemen
• Schutz vor unrechtmäßigen Zugriffen auf Daten

Data Act Implikationen für Produkthersteller

Der Data Act erfordert von Hersteller vernetzter Produkte klare Anpassungen, um die neuen Anforderungen zu erfüllen:

• Technische Anforderungen: Produkte müssen so gestaltet sein, dass Daten in maschinenlesbaren Formaten bereitgestellt werden können. Offene Schnittstellen zur Interoperabilität mit anderen Systemen sind Pflicht.
• Sicherheitsanforderungen: Der Zugang zu Daten darf nur verweigert werden, wenn die Weitergabe nachweislich Sicherheitsrisiken oder den Verlust von Betriebsgeheimnissen verursacht. Solche Fälle müssen dokumentiert und den Behörden gemeldet werden.
• Informationspflichten: Hersteller müssen Nutzer über Art, Umfang und Dauer der Datenerfassung transparent informieren, noch bevor ein Produkt verkauft wird.
• Chancen für neue Geschäftsmodelle: Die geforderte Datenweitergabe eröffnet Potenziale für zusätzliche Services wie datenbasierte Wartung oder Optimierung. Gleichzeitig können Hersteller sich durch innovative Datennutzung im Wettbewerb differenzieren. Der Data Act fordert technologische Anpassungen und stärkere Transparenz, bietet aber auch Möglichkeiten, durch datengetriebene Innovationen neue Märkte zu erschließen.

Der Data Act fordert technologische Anpassungen und stärkere Transparenz, bietet aber auch Möglichkeiten, durch datengetriebene Innovationen neue Märkte zu erschließen.

Data Act - Fazit und Ausblick

Der Data Act markiert einen Wendepunkt für den Umgang mit Daten in der EU. Mit klaren Regeln zu Zugang, Weitergabe und Interoperabilität schafft die Verordnung einen verbindlichen Rahmen, der die Rechte von Nutzern stärkt und zugleich Innovationen fördert. Für Unternehmen – insbesondere Maschinenbauer und IoT-Hersteller – bedeutet dies erhebliche technische und organisatorische Anpassungen, aber auch Chancen durch neue datenbasierte Geschäftsmodelle.

Die erfolgreiche Umsetzung wird davon abhängen, wie gut Unternehmen die neuen Anforderungen in ihre Produkte und Prozesse integrieren. Gleichzeitig werden weitere Leitlinien und Normen eine entscheidende Rolle spielen, um die praktische Anwendung des Data Acts zu erleichtern und die europäische Datenwirtschaft nachhaltig zu stärken.