Verständnis der NIS2-Richtlinie: Was sie für Softwarelösungen im Managed Print Services (MPS)-Bereich bedeutet

by Marzia Romeo

Von Nicola De Blasi, Chief Strategy Officer

Die NIS2-Richtlinie, die 2022 von der Europäischen Union verabschiedet wurde, bringt neue Compliance-Anforderungen für Unternehmen mit sich, die in kritischen Sektoren tätig sind oder diese unterstützen. Ziel ist es, die Cybersicherheitslage in der EU zu stärken und klare Vorschriften für Organisationen zu schaffen, die als essenziell für Gesellschaft und Wirtschaft gelten. Doch was bedeutet das für Anbieter von Managed Print Services (MPS)-Software? Besteht eine gesetzliche Verpflichtung oder handelt es sich lediglich um einen Wettbewerbsvorteil?

Wenn Ihr MPS-Softwareunternehmen die Druckindustrie bedient, aber keine sensiblen Daten verwaltet, keine Hochrisiko-Informationen verarbeitet oder keine entscheidende Rolle in der öffentlichen Infrastruktur spielt, fällt es wahrscheinlich nicht unter die NIS2-Richtlinie. Dennoch kann es strategische Vorteile bringen, sich mit der Richtlinie vertraut zu machen und auf mögliche zukünftige Entwicklungen vorbereitet zu sein.

Was ist die NIS2-Richtlinie?

Die Richtlinie über die Sicherheit von Netz- und Informationssystemen 2 (NIS2) ist ein EU-weites Regelwerk zur Stärkung der Cybersicherheit in wirtschaftlich und gesellschaftlich kritischen Bereichen. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016, erweitert den Anwendungsbereich und verschärft die Compliance-Anforderungen.

NIS2 unterscheidet zwischen zwei Hauptkategorien von Organisationen:

1. Essenzielle Einrichtungen, wie Gesundheitsdienste, Energieversorger und Finanzinstitute.
2. Wichtige Einrichtungen, darunter digitale Dienste, Produktionsunternehmen und Lebensmittelversorgungsketten.

Unternehmen, die unter NIS2 fallen, müssen strenge Cybersicherheitsmaßnahmen implementieren, detaillierte Risikobewertungen durchführen und Sicherheitsvorfälle umgehend an nationale Aufsichtsbehörden melden.

Wer muss NIS2 einhalten?

Unternehmen sind zur Einhaltung von NIS2 verpflichtet, wenn sie mindestens eine der folgenden Kriterien erfüllen:

• Sie gehören zu einem von der Richtlinie oder einer nationalen Behörde als kritisch eingestuften Sektor.
• Sie überschreiten die Größe eines mittleren Unternehmens, d. h. mehr als 50 Mitarbeiter und einen Jahresumsatz oder eine Bilanzsumme von mindestens 10 Millionen Euro.
• Sie werden als entscheidend für die nationale Sicherheit, das öffentliche Interesse oder die wirtschaftliche Stabilität angesehen – unabhängig von ihrer Größe.

Warum MPS-Softwareanbieter wahrscheinlich nicht betroffen sind

Der Bereich Managed Print Services gehört nicht zu den von NIS2 explizit als kritisch eingestuften Branchen. Anders als Gesundheitswesen oder Energieversorgung trägt das Drucken nicht direkt zur öffentlichen Sicherheit oder wirtschaftlichen Stabilität bei. Obwohl Drucktechnologie für Unternehmen essenziell ist, zählt sie nicht zu den lebenswichtigen Infrastrukturen.

Weitere Faktoren sprechen gegen eine NIS2-Verpflichtung für MPS-Softwareanbieter:

1. Unternehmensgröße: Firmen mit weniger als 50 Mitarbeitern und einem Umsatz unter 10 Millionen Euro sind ausgenommen, es sei denn, sie werden von einer nationalen Behörde anders eingestuft.
2. Sensible Daten und Risikostufe: Wenn Ihre MPS-Plattform sich auf Druckressourcenmanagement konzentriert, ohne hochsensible Daten zu verarbeiten oder Zahlungen abzuwickeln, ist eine NIS2-Relevanz unwahrscheinlich.
3. Bedeutung für die öffentliche Infrastruktur: B2B-Softwarelösungen, die keine direkte Rolle für kritische Infrastrukturen oder das öffentliche Interesse spielen, fallen in der Regel nicht in den Geltungsbereich von NIS2.

Was tun, wenn NIS2 nicht auf Ihr Unternehmen zutrifft?

Auch wenn keine gesetzliche Verpflichtung besteht, ist es ratsam, Cybersicherheitsmaßnahmen proaktiv zu verbessern. Hier sind einige strategische Schritte:

1. Stärken Sie Ihre Cybersicherheit durch bestehende Zertifizierungen: Unternehmen mit ISO/IEC 27001, AICPA SOC 2 und CSA STAR-Zertifizierungen verfügen bereits über eine solide Grundlage zur Demonstration ihrer Cybersicherheitsmaßnahmen.
2. Bereiten Sie sich auf Kundenanforderungen vor: Insbesondere Kunden aus regulierten Branchen legen großen Wert auf Cybersicherheit.
3. Optimieren Sie Ihr Incident-Response-Management: Eine schnelle Reaktionszeit bei Sicherheitsvorfällen, ähnlich den NIS2-Vorgaben, gilt als Best Practice.
4. Beobachten Sie regulatorische Entwicklungen: Nationale Behörden können in Zukunft strengere Anforderungen einführen.

Warum proaktive Maßnahmen sinnvoll sind

Die zentralen Prinzipien von NIS2 – Cybersicherheitsresilienz, Verantwortlichkeit und Transparenz – setzen sich zunehmend als Branchenstandard durch. Auch wenn MPS-Softwareanbieter nicht zur NIS2-Compliance verpflichtet sind, können sie von einer freiwilligen Angleichung profitieren:

• Stärkung des Kundenvertrauens: Cybersicherheitsmaßnahmen sind ein entscheidendes Kaufkriterium.
• Vorbereitung auf zukünftige Gesetzesänderungen: Wer jetzt handelt, vermeidet später kostenintensive Anpassungen.
• Risikominimierung: Verbesserte Cybersicherheitsstrategien schützen vor Bedrohungen.

Handlungsempfehlungen für MPS-Softwareanbieter

Falls NIS2 für Ihr Unternehmen nicht gilt, können Sie dennoch folgende Maßnahmen ergreifen:

• Nutzen Sie bestehende Sicherheitszertifizierungen: Setzen Sie auf ISO 27001, SOC 2 und CSA STAR als Grundlage Ihrer Sicherheitsstrategie.
• Seien Sie auf Kundenanfragen vorbereitet: Entwickeln Sie klare Argumente zur Cybersicherheitsstrategie Ihres Unternehmens.
• Verfolgen Sie regulatorische Entwicklungen: Beobachten Sie Ankündigungen nationaler Aufsichtsbehörden.
• Optimieren Sie Ihre Vorfallmeldeprozesse: Übernehmen Sie bewährte Meldezeiten nach NIS2-Standards.
• Schulen Sie Ihre Mitarbeiter: Sensibilisieren Sie Teams für Cybersicherheitsrisiken.

Fazit

Für MPS-Softwareanbieter besteht derzeit keine direkte Verpflichtung zur NIS2-Compliance – es sei denn, sie überschreiten bestimmte Schwellenwerte oder bedienen regulierte Branchen. Dennoch bietet es sich an, sich freiwillig an NIS2-Prinzipien zu orientieren, um die Wettbewerbsfähigkeit zu erhöhen, Kundenanforderungen zu erfüllen und langfristig auf mögliche regulatorische Änderungen vorbereitet zu sein. Eine starke Cybersicherheitsstrategie schafft Vertrauen und stellt sicher, dass Ihr Unternehmen in einer zunehmend digitalisierten Welt resilient bleibt.