Susanne Steffen hat sich tief in ein Thema gekniet, das andere lieber schnell abhaken wollen: NIS2. Die IT-Chefin des Handelshauses Reyher hat nach ihrem Master in IT-Recht ein Buch zur Umsetzung der Vorgaben für Cybersicherheit geschrieben. Ihr Fazit: NIS2 ist für CIOs Daueraufgabe, lässt sich aber pragmatisch bewältigen.

Von Nicolas A. Zeitler

Für die Gesetzgebung der Europäischen Union zur IT-Sicherheit hat Susanne Steffen viel Lob übrig: Richtig umgesetzt, seien die Vorgaben von NIS2 – dem „Herzstück der Cybersicherheits-Strategie“ der Staatengemeinschaft – alles andere als ein Papiertiger, sondern erhöhten spürbar das Schutzniveau. Der nötige Aufwand lasse sich mit einem strukturierten Vorgehen in Grenzen halten. Susanne Steffen empfiehlt hierfür das sogenannte NIST-Framework.

Es handelt sich dabei um einen Satz von Richtlinien, in den USA entwickelt, mit dem sich die zehn Themenbereiche von NIS2 systematisch bearbeiten lassen, so Steffen. Das Rahmenwerk enthalte „etablierte Best Practices“, an denen man sich entlanghangeln könne. Im ersten Schritt müssten Unternehmen allerdings erst mal prüfen, ob und inwieweit sie unter die Vorgaben der Richtlinie prüfen – und das womöglich immer wieder. Denn: Auch über die Lieferkette könne ein Unternehmen von NIS2 betroffen sein, oder etwa nach einer Übernahme wegen einer neuen Branchenzuordnung erstmals darunter fallen.

Die EU bereitet derzeit schon eine Überarbeitung der NIS2 vor, die für Firmen einige Vereinfachungen bringen soll. An manchen Stellen könne es allerdings auch kompliziert werden, erwartet Susanne Steffen. Als IT-Expertin mit geschärftem Blick für Rechtsfragen verfolgt sie die Gesetzgebung eng. Letztlich, so Steffen, gehe es beim Schutz der Cybersicherheit auch um hohe Ziele wie ein „friedliches Zusammenleben“.

Bei CIOmatch am 28. Oktober auf der it-sa in Nürnberg spricht Susanne Steffen unter dem Titel „NIS-2 for Runaways – und was kommt als Nächstes?“ über die EU-Gesetzgebung zur Cybersicherheit.