NIS 2-Studie: Mehrheit geht von termingerechter Umsetzung aus

Für die Studie hat Zscaler 875 IT-Führungskräften in Europa befragt. Die Ergebnisse zeigen eine Diskrepanz zwischen der Zuversicht europäischer Organisationen, eine Konformität mit den Regularien bis zum Stichtag am 17. Oktober 2024 zu erreichen und dem Verständnis zu den Anforderungen. 80 Prozent der befragten IT-Führungskräfte sind zuversichtlich, dass ihre Organisation Compliance-Anforderungen bis zum Stichtag erfüllen wird. Lediglich 14 Prozent geben an, dass sie diese bereits erfüllt haben. Allerdings sind nur 53 Prozent der Ansicht, dass ihre Teams die Anforderungen vollständig verstehen. Nur 49 Prozent glauben, dass dies bei der Unternehmensleitung der Fall ist. 

Unterstützung des Managements fehlt

Die Untersuchung der Diskrepanz zwischen Zuversicht und Verständnis offenbart Herausforderungen zwischen Einschätzung und Vorgehen der Führungskräfte. Die Befragten geben an, dass die Führungsspitze die wachsende Bedeutung der NIS 2-Richtlinie anerkennen: Ein Drittel gibt an, dass NIS 2 für das Management oberste Priorität hat und 52 Prozent bestätigen eine wachsende Bedeutung. Dies scheint sich jedoch nicht in der Unterstützung widerzuspiegeln, die den IT-Teams, die mit der Umsetzung des Konformitätsprozesses betraut sind, angeboten wird. Mehr als die Hälfte der IT-Entscheider haben das Gefühl, dass ihre Teams nicht die Unterstützung des Managements erhalten, die für die Einhaltung der Compliance-Frist erforderlich ist.

Obwohl die NIS 2-Richtlinie auf dem bestehenden NIS-Rahmenwerk aufbaut, sind 62 Prozent der Befragten der Ansicht, dass sich die Anforderungen deutlich von den eingesetzten Rahmenwerken unterscheiden. Um der Richtlinie gerecht zu werden, müssen IT-Führungskräfte die größten Veränderungen in den Bereichen Technologie und Cybersicherheitslösungen (34 Prozent), Mitarbeiterschulung (20 Prozent) und Führungskräftetraining (17 Prozent) vornehmen. Auf die Frage nach den drei größten Herausforderungen der Richtlinie wurden am häufigsten folgende Sektoren genannt:

• Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen (31 Prozent)
• grundlegende Cyber-Hygiene und Cybersicherheitsschulungen (30 Prozent)
• Richtlinien und Verfahren für ein wirksames Risikomanagement der Cybersicherheit (29 Prozent).

Cyber-Hygiene meist nicht „exzellent“

Obwohl die NIS 2-Richtlinie grundlegende Anforderungen an die Cybersicherheit enthält, sind viele Unternehmen in Europa mit ihren Cybersicherheitsstandards noch nicht so weit fortgeschritten. Nur 31 Prozent der Befragten bezeichnen ihre derzeitige Cyber-Hygiene als „exzellent“. Einzelne Branchen wie der Transport- und der Energiesektor geben sich ein noch niedrigeres Votum hinsichtlich ihrer Cyber-Hygiene: Lediglich 14 Prozent der IT-Verantwortlichen im Transportbereich und 21 Prozent in Energieunternehmen schätzen ihre Cyber-Hygiene als ausgezeichnet ein. Diese Zahlen deuten darauf hin, dass zu wenige Betreiber kritischer Infrastrukturen ihre Sicherheitsreviews in den letzten Jahren auf dem aktuellsten Stand gehalten haben, was in der Folge bei der diesjährigen Überprüfung der NIS 2-Konformität zu Schwierigkeiten führen könnte.

James Tucker von Zscaler: „Die pure Einhaltung von Vorschriften wird niemals die Antwort auf eine erstklassige Cybersicherheitshygiene angesichts der umfangreichen Bedrohungslandschaft sein. Tatsächlich geben mehr als die Hälfte der Befragten an, dass die NIS 2-Richtlinie nicht weit genug geht. Die Vorschriften sollten als Chance verstanden werden, die grundlegende Sicherheit auf ein höheres Niveau zu heben. Dazu müssen sie zum Bestandteil der fortlaufenden Prozesse eines Unternehmens werden, anstatt nur eine punktuelle Pflichtübung für IT-Teams zu sein. Organisationen sollten diese Gelegenheit dazu nutzen, den Umfang ihres Technologie-Portfolios zu überprüfen, das es gegebenenfalls zu vereinfachen gilt. Ein hochintegrierter Plattformansatz aus der Cloud reduziert die Komplexität der Hardware-Infrastruktur erheblich.“