几天后，NIS-2网络安全指令将生效，企业高管将面临法律责任。现在需要采取哪些措施。
2024年10月17日，《NIS 2 指令》正式生效。这是一项欧洲法规，要求企业和组织加强其 IT 安全系统，从而提高关键基础设施抵御网络攻击的韧性。
未来，德国约有30,000至40,000家企业将受该指令约束。据估计，约80%的受影响企业尚未意识到自身处于影响范围内。这不仅涉及法律后果，还关乎企业价值和声誉的保护。
许多企业高管尚未充分关注这一议题。这尤其令人担忧，因为《NIS 2 指令》规定，企业高管及其他领导职位人员需以其个人财产对安全措施的执行情况承担责任。
发生了哪些变化？
新指令不仅影响关键基础设施，还涉及食品零售和电子商务领域的特定企业。这些企业通常是消费者和企业的重要接触点，并存储大量敏感数据。因此，针对在线市场的网络攻击可能会对受影响的用户和企业产生重大影响。
这意味着比以往更多的中小企业受到新规约束，并被要求实施该指令。对于属于“重要实体”（即关键设施）的企业而言，若未遵守该指令，最高可能面临一千万欧元或全球年营业额百分之二的罚款。
对于属于“重要实体”或关键设施的企业，罚款金额最高可达七百万欧元或全球营业额的 1.4%。因此，企业家们明智的做法是现在就开始关注这一议题。为了预防可能违反该指令的行为，目前有一些措施可以采取。
针对在线市场平台的七项具体行动建议：
- 进行自我检查：
利用德国联邦信息安全局提供的NIS 2 适用性评估，确定您的企业是否必须遵守该指令。
如果您受到影响，请进行详细的风险分析，以识别并优先处理对企业构成最大威胁的因素。例如，您可以使用免费的Mission TOP 5 网络安全立方体来评估当前的安全状况并发现漏洞。 - 引入信息安全管理体系 (ISMS)：
实施信息安全管理体系 (ISMS)，为信息管理建立结构化框架。定期检查所有员工是否仅能访问其工作所需的数据。 - 增强安全意识：
定期开展培训和研讨会，使所有员工认识到网络安全的重要性。此类培训对于建立普遍的安全意识并最大限度地减少人为失误至关重要。 - 定期更新软件：
许多中小企业拥有过时的IT系统，容易受到网络攻击。请始终保持操作系统和应用程序为最新版本，以修补已知的安全漏洞并降低整体脆弱性。 定期创建完整的数据备份，以便在发生数据丢失时能够快速恢复。 创建完整的数据备份，以便在数据丢失的情况下能够快速恢复。 - 制定应急预案：
制定详细的应急预案，描述在网络攻击发生时需要采取的所有必要步骤。如今，关键基础设施机构的应急预案已成为标准配置。通过NIS-2指令，这现在成为许多其他企业的强制要求。该指令对应急报告系统提出了明确要求，包括在24小时内进行报告以及在危机情况下与当局快速合作。 - 审查供应商：
评估您供应商和业务伙伴的网络安全状况，并确保他们采取了适当的措施。这一要求尤其意味着在线市场平台需要承担不可忽视的额外工作量。 - 与专家合作：
寻求经验丰富的网络安全顾问的支持，为您的企业开发个性化解决方案。
结论：防患于未然胜于事后补救
NIS-2指令旨在建立欧盟范围内高水平的共同网络安全措施，并要求企业采取具体行动应对网络犯罪。反过来看，该指令也为企业提供了加强网络安全、长期抵御网络攻击的机会。
网络安全的挑战已经到来，并将长期存在。企业必须认真对待这一问题——不仅因为相关法规有此要求且管理层需承担法律责任，还因为攻击事件（尤其是在德国）的数量极其庞大，并且很可能还会进一步增加。
如今，攻击者不再仅仅有针对性地寻找看似有趣的攻击目标，而是使用机器人和人工智能来随机且跨行业地在其在线平台上发现企业的安全漏洞，然后进行自动化攻击。
主要问题不仅仅在于勒索软件等造成的经济损失，更在于企业许多关键功能的中断。那些未做好充分准备的企业往往需要数周时间才能恢复正常运营状态，在此过程中常常将企业的生存置于险境。
例如，破产和无力偿债的规则并不考虑企业（暂时）无法偿付的原因。这听起来有失公平，但却是现实。
关于作者： 
Oliver Lucas 是一位经验丰富的企业家，也是公认的电子商务与数字化专家。作为 NFQ Solutions GmbH 的执行董事，他为中型企业提供数字化转型和电子商务项目的战略咨询及实施指导。
作为“Mission TOP 5”倡议的共同创始人，他积极致力于推动中型企业的数字化转型。Lucas 担任 Crossbordercommerce 旗下 D2C 专家论坛的主席，并担任 Logivisor Award 的评委成员。