WeTalkSecurity - der ESET Podcast

Wie weit ist die Umsetzung? Was hat sich geändert? Und worauf müssen sich Unternehmen einstellen? In dieser Folge von „WeTalkSecurity“ geht es um den aktuellen Stand der NIS2-Umsetzung in Deutschland, die Gründe für die Verzögerung, zentrale Inhalte des neuen Regierungsentwurfs und was Unternehmen jetzt konkret tun sollten. Philipp Plum spricht in Jena mit Maik Wetzel (ESET) über Änderungen gegenüber früheren Entwürfen, die Ausweitung des Geltungsbereichs, Meldepflichten an das BSI, mögliche „Goldplating“-Aspekte in Deutschland und die europäische Perspektive. Außerdem: realistische Zeitschiene für das Umsetzungsgesetz und Auswirkungen auf Lieferketten. Gast: Maik Wetzel, Strategic Business Development Director DACH bei ESET Gastgeber: Philipp Plum Schwerpunkte und Inhalte der Episode: Status & Verzögerung der NIS2-Umsetzung: Nach dem Regierungswechsel startet das Verfahren formell neu. Es liegt ein Regierungsentwurf vor, die 1. Lesung im Bundestag findet in dieser Woche statt. Zielkorridor: Ende 2025 bzw. Januar/Februar 2026 für das nationale Umsetzungsgesetz – auch wegen des laufenden EU-Vertragsverletzungsverfahrens. Was bleibt: Ziele & Mindeststandards (§30): Kern von NIS2 ist unverändert: Resilienz erhöhen und Sicherheitsniveau harmonisieren. Die im Entwurf verankerten Risikomanagementmaßnahmen (sinngemäß §30) gelten als vernünftige Mindeststandards – nichts „Raketenwissenschaft“, eher solide „Hausverstand“-Sicherheit, die jedes Unternehmen etablieren sollte. Geltungsbereich & Betroffenheit: Von ~1.800 KRITIS-Unternehmen steigen wir auf rund 29.500 betroffene Einrichtungen. Unternehmen sollen ihre Betroffenheit prüfen (z. B. via BSI-Entscheidungsbaum) und auf dieser Basis Maßnahmen einleiten. Pflichten: Melden & Umsetzen: Es kommt ein dreistufiges Melderegime an das BSI. Wichtig: Für die Umsetzung der Mindeststandards gibt es keine Übergangsfrist mit Inkrafttreten – Fristen beziehen sich primär auf Nachweise usw. Wer betroffen ist, sollte jetzt in der Umsetzung sein. Streitpunkte im Regierungsentwurf: Kritik gibt es u. a. an einer faktischen Absenkung des Sicherheitsniveaus in der Bundesverwaltung (zunächst nur Ministerien & Kanzleramt erfasst) sowie an der Betroffenheitslogik: teils zählt die Gesamtgröße des Unternehmens, auch wenn nur ein kleiner Bereich im relevanten Sektor tätig ist. EU-Perspektive, Harmonisierung & „Goldplating“: Als Richtlinie führt NIS2 zu 27 Umsetzungs-gesetzen – Harmonisierung bleibt damit begrenzt. Deutschland geht in Teilen über die Richtlinie hinaus (z. B. zusätzliche Kategorie „Betreiber kritischer Anlagen“, strengere Akzente bei Haftung/Meldepflichten), was insbesondere KMU belasten kann. **Für wen ist diese Folge besonders relevant? ** IT-Verantwortliche & Geschäftsführungen im Mittelstand ISBs/DSBs KRITIS-Organisationen Compliance-/Rechtsabteilungen Unternehmen mit europaweiten Standorten oder Lieferkettenbezug zu NIS2 Besondere Empfehlungen aus der Folge: 1. Betroffenheit jetzt prüfen (BSI-Leitfäden/Entscheidungsbaum nutzen) und Maßnahmen anschieben. 2. Risikomanagement systematisch umsetzen (Assets/Prozesse bewerten, Schutzniveau ableiten, kontinuierlich nachsteuern). 3. Meldewege & Nachweise früh klären; Reporting-Prozesse und Verantwortlichkeiten festlegen. 4. Lieferkette berücksichtigen: Anforderungen an Zulieferer/Partner definieren und prüfen (indirekte Betroffenheit). 5. Ressourcen planen: ISMS, Schulungen, Technik-Baseline – keine Hauruck-Aktion kurz vor Inkrafttreten. Weiterführende Links: * BSI: Betroffenheitsanalyse NIS2 [https://betroffenheitspruefung-nis-2.bsi.de/] * EU-NIS2-Richtlinie [https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022L2555]

Sichere Herkunft, klare Regeln: Warum ‘Made in EU’ zum Wettbewerbsfaktor wird. In der aktuellen Folge von „WeTalkSecurity“ dreht sich alles um „Made in EU“ in der IT-Sicherheit – und warum europäische Herkunft, gemeinsame Rechtsrahmen und transparente Lieferketten immer wichtiger werden. Philipp Plum spricht dazu mit Thorsten Urbanski, Leiter der TeleTrusT-Initiative „IT Security made in EU“. Im Mittelpunkt stehen digitale Souveränität, die Vorteile des EU-Rechtsrahmens (u. a. DSGVO), Kriterien des TeleTrusT-Siegels, NIS2-Anforderungen sowie praktische Entscheidungshilfen für Beschaffung und Betrieb – von No-Backdoor-Selbstverpflichtungen über Update-Versorgung bis hin zu Awareness und KRITIS-Bezug. Über den Gast Thorsten Urbanski ist Kommunikations- und Sicherheitsexperte bei ESET und engagiert sich seit vielen Jahren für vertrauenswürdige IT-Sicherheitslösungen aus Europa. Als Leiter der TeleTrusT-Initiative „IT Security made in EU“ setzt er sich für transparente Lieferketten, klare Compliance-Standards und eine No-Backdoor-Selbstverpflichtung ein. In Medien, Branchenverbänden und Unternehmen vermittelt er zwischen Technik, Regulierung und Praxis – mit Fokus auf digitale Souveränität, NIS2-Umsetzung und praxistaugliche Security-Strategien. Digitale Souveränität & EU-Rechtsrahmen „Made in EU“ heißt: gleiche Spielregeln für Anbieter und Kunden – von DSGVO bis zu europäischen Aufsichts- und Haftungsmechanismen. Das vereinfacht Verträge, klärt Verantwortlichkeiten und schafft Vertrauen bei Datenverarbeitung, Incident-Handling und Forensik. TeleTrusT-Siegel „IT Security made in EU“ Das Siegel steht für klare Kriterien wie Transparenz, nachvollziehbare Lieferketten und eine ausdrückliche No-Backdoor-Selbstverpflichtung. Unternehmen gewinnen damit ein greifbares Qualitäts- und Vertrauensmerkmal, das in Ausschreibungen und Audits hilft. Beschaffung mit Praxisfokus Statt nur Feature-Listen zu vergleichen, lohnt der Blick auf Herkunft, Update-Versorgung, Support-SLAs und Referenzen. Wer früh mit Security- und Compliance-Teams spricht, reduziert Integrationsrisiken und beschleunigt die Inbetriebnahme. NIS2 & Compliance von Beginn an mitdenken NIS2 verlangt Prozesse, Nachweise und kontinuierliche Verbesserung – nicht nur Technik. Wer Anforderungen in Policies, Schulungen und Monitoring überführt, senkt Umsetzungsaufwand, vermeidet Reibungsverluste und ist audit-ready. KRITIS & Resilienz in der Lieferkette Kritische Infrastrukturen brauchen vor allem Verlässlichkeit: transparente Roadmaps, reproduzierbare Updates und klare Eskalationspfade. Europäische Hersteller mit nachvollziehbarer Wertschöpfung erleichtern Risikoanalysen und Notfallplanung. Security als kontinuierlicher Prozess Produkte sind wichtig – der Unterschied entsteht im Betrieb: Messen, priorisieren, nachschärfen. Mit Awareness, regelmäßigen Tests und gelebten Verantwortlichkeiten wird aus „Made in EU“ ein dauerhafter Sicherheitsgewinn. Weiterführende Links Zum Thema NIS2: https://wetalksecurity.podigee.io/34-haftung-nis2 [https://wetalksecurity.podigee.io/34-haftung-nis2] https://wetalksecurity.podigee.io/23-nis2-wie-ist-der-aktuelle-stand [https://wetalksecurity.podigee.io/23-nis2-wie-ist-der-aktuelle-stand] Zur NIS2-Schwerpunktseite von ESET: https://www.eset.com/de/nis2/ [https://www.eset.com/de/nis2/] Studie zu Made in EU in der IT-Sicherheit [https://eset2nd.my.salesforce.com/sfc/p/#0Y000001lCTe/a/Vk000003jeZ3/p8QLpyTBHqP5rbhqAoQNI7Z7g0O2KU4CB1Z66pvppC0] Zur Made in EU-Website von ESET: https://www.eset.com/de/about/made-in-eu/ [https://www.eset.com/de/about/made-in-eu/]

Was steckt hinter Managed Detection and Response? Wie profitieren Unternehmen davon? In der aktuellen Folge von „WeTalkSecurity“ dreht sich alles um die Transformation klassischer IT-Dienstleister hin zu modernen Managed Service Providern – und die Herausforderungen, die damit für Unternehmen im Zeitalter wachsender Cyber-Bedrohungen einhergehen. Christian Lueg spricht dazu mit Patrick Binner, Geschäftsführer der SysTec Computer GmbH in Ingolstadt. Im Mittelpunkt stehen die veränderten Anforderungen an IT-Dienstleistungen, der wachsende Stellenwert von IT-Security, die Rolle europäischer Anbieter, neue regulatorische Vorgaben sowie der akute Fachkräftemangel in der Branche. Hierbei wird auch der der neue Trend in der IT-Sicherheit "Managed Detection and Response" (MDR) beleuchtet und wie es die IT-Dienstleistungen auf ein neues Level heben kann. Gäste: Patrick Binner, Geschäftsführer der SysTec Computer GmbH Gastgeber: Christian Lueg Schwerpunkte und Inhalte der Episode: Transformation zum Managed Service Provider: Patrick Binner berichtet, wie sein Unternehmen den Wandel vom klassischen Systemhaus zum MSP vollzogen hat. Statt nur Hardware zu liefern und zu installieren, stehen heute proaktive, überwachte Dienstleistungen im Mittelpunkt – von eigenen Rechenzentren bis hin zu individuellen Cloud-Produkten. Veränderte Anforderungen und Komplexität: Die IT-Landschaft ist komplexer geworden. Gerade mittelständische und kleinere Unternehmen können die Vielzahl an IT- und Security-Themen oft nicht mehr alleine stemmen. Themen wie Patchmanagement, regelmäßige Updates und die Überwachung von Systemen sind heute Standard und werden zunehmend ausgelagert. Security als zentraler Service: Moderne MSPs bieten weit mehr als nur klassische IT-Betreuung. Managed Detection & Response (MDR), KI-gestützte Anomalieerkennung und tiefgehende Netzwerküberwachung sind heute essenziell, um raffinierte Cyberangriffe zu erkennen und abzuwehren. Viele Unternehmen wissen oft gar nicht, was in ihrem Netzwerk passiert – hier schaffen moderne Security-Lösungen Transparenz und Schutz. _Fachkräftemangel und Ausbildung: _Der Mangel an qualifizierten IT-Fachkräften ist ein großes Thema. Sister Computer setzt gezielt auf die Ausbildung eigener Nachwuchskräfte, um den Bedarf zu decken und Know-how im Unternehmen zu halten. Die aktuelle Wirtschaftslage hat die Situation am Arbeitsmarkt zwar etwas entspannt, dennoch bleibt Ausbildung der Schlüssel zur nachhaltigen Personalgewinnung. Regulatorische Anforderungen und Cyberversicherungen: Neue gesetzliche Vorgaben und strengere Anforderungen von Cyberversicherungen zwingen Unternehmen dazu, ihre IT-Security kontinuierlich zu verbessern. Dazu gehören regelmäßige Schulungen der Mitarbeitenden, technische Schutzmaßnahmen und die Einhaltung von Zertifizierungen wie ISO 27001. Versicherungen prüfen heute genau, ob alle Sicherheitsvorgaben eingehalten werden, bevor sie im Schadensfall leisten. _Praxisbeispiele und Erfahrungsberichte: _Patrick Binner schildert reale Vorfälle aus dem Alltag, etwa erfolgreiche Abwehr von Ransomware-Angriffen durch moderne Security-Lösungen oder typische Schwachstellen wie unsichere Passwörter und mangelnde Sensibilisierung der Mitarbeitenden. Besonders betont wird die Bedeutung von regelmäßigen Backups, Security-Checks und Penetration-Tests. Digitale Souveränität und „Made in Europe“: Die Sensibilität für Datenschutz und digitale Souveränität ist bei den Kunden gestiegen. Immer mehr Unternehmen achten darauf, europäische Hersteller und Lösungen einzusetzen. Zertifizierungen und Transparenz über die Herkunft der Produkte werden zunehmend eingefordert – auch von Mittelständlern und kleineren Betrieben. Sensibilisierung und Schulung: Ein zentrales Thema ist die Sensibilisierung der Mitarbeitenden für IT-Sicherheit. Viele Angriffe gelingen durch Unachtsamkeit oder Unwissenheit. Regelmäßige Schulungen und Awareness-Programme sind daher unverzichtbar, um Sicherheitslücken zu schließen und das Risiko menschlicher Fehler zu minimieren. Für wen ist diese Folge besonders relevant? IT-Verantwortliche und Geschäftsführer Entscheider im Mittelstand IT-Sicherheitsbeauftragte Unternehmen, die ihre IT-Dienstleistungen modernisieren oder auslagern möchten Alle, die sich für aktuelle Entwicklungen im Bereich IT-Security, Managed Services und Digitalisierung interessieren Besondere Empfehlungen aus der Folge: 1. Setzen Sie auf proaktive IT-Dienstleistungen und regelmäßige Sicherheitsüberprüfungen 2. Schulen Sie Ihre Mitarbeitenden regelmäßig im Umgang mit IT-Sicherheit 3. Prüfen Sie die Herkunft und Zertifizierung Ihrer IT-Lösungen 4. Berücksichtigen Sie die Anforderungen von Cyberversicherungen und gesetzlichen Vorgaben 5. Investieren Sie in die Ausbildung eigener IT-Fachkräfte, um langfristig Know-how zu sichern Weiterführende Links Lückenlose IT-Security beim ERC Ingolstadt - ESET Case Study [https://youtu.be/26nz8rxSkQo]

Die Verantwortung der Geschäftsführung rückt bei NIS2 in den Fokus. Wie ist der aktuelle Stand der Umsetzung? In dieser Folge von WeTalkSecurity dreht es sich um ein brandaktuelles Thema: der NIS2-Richtlinie und den daraus resultierenden Veränderungen für die Geschäftsführung. Gemeinsam mit Dr. Jens Eckhardt, Fachanwalt für IT-Recht und Compliance-Experte in der Kanzlei pitc Legal, beleuchten wir, wie sich die Anforderungen an Geschäftsführer durch die NIS2-Umsetzung verschärfen, welche neuen Pflichten auf das Management zukommen und warum IT-Sicherheit heute Chefsache ist. Dabei werfen wir auch einen Blick auf den aktuellen Stand der Gesetzgebung in Deutschland und geben praxisnahe Empfehlungen, wie sich Unternehmensleitungen jetzt optimal aufstellen können. Über den Gast Dr. Jens Eckhardt ist Fachanwalt für Informationstechnologierecht, Datenschutzauditor sowie IT-Compliance-Manager bei der Düsseldorfer Kanzlei pitc Legal. In seiner täglichen Praxis berät er Unternehmen an der Schnittstelle zwischen IT-Vorfall, Datenschutz und regulatorischer Verantwortung. Ein besonderer Fokus liegt dabei auf der Frage, wann aus einem Cyberangriff ein Haftungsfall wird – insbesondere für Geschäftsführer. NIS2 und der aktuelle Stand der Umsetzung in Deutschland Wir sprechen über den aktuellen Stand des NIS2-Umsetzungsgesetzes in Deutschland. Nach dem Regierungswechsel steht das Gesetzgebungsverfahren erneut an, mit der Hoffnung auf eine Verabschiedung bis Herbst 2025. Trotz politischer Diskussionen und Bedenken bezüglich der EU-Rechtskonformität ist der Gesetzesentwurf weit fortgeschritten und könnte zügig verabschiedet werden. Managementhaftung im Fokus Die Folge beleuchtet, wie sich die Haftung von Geschäftsführern durch die NIS2-Richtlinie und deren Umsetzung in deutsches Recht verändert. Zwar bleibt die klassische Haftung für fehlende Sorgfalt nach § 93 AktG und § 43 GmbHG bestehen, doch neue Anforderungen rücken die Geschäftsführung näher an die IT-Sicherheitsverantwortung heran. Besonders die Pflicht zur eigenen Schulung im Bereich IT-Sicherheit wird als „Hidden Champion“ der Haftungsverschärfung hervorgehoben. Praktische Auswirkungen für Geschäftsführer Geschäftsführer müssen künftig nicht nur die Umsetzung der gesetzlichen Vorgaben billigen und überwachen, sondern auch ihre eigene Kompetenz durch regelmäßige Schulungen nachweisen. Das erhöht den Haftungsmaßstab und verschiebt den Pflichtenkatalog der Geschäftsführung weiter in Richtung IT- und Cybersicherheit. Digitale Geschäftsprozesse und logische Konsequenzen Die Digitalisierung der Geschäftsprozesse macht es unumgänglich, dass die Unternehmensleitung über ausreichende Kenntnisse im Bereich IT-Sicherheit verfügt. Die Folge diskutiert, warum diese Entwicklung eine logische Konsequenz der fortschreitenden Digitalisierung ist und welche Herausforderungen damit verbunden sind. Konkretisierung der Haftungsfälle Es wird erläutert, in welchen Fällen eine persönliche Haftung des Geschäftsführers eintreten kann – etwa bei Verstößen gegen das BSI-Gesetz, fehlenden technischen und organisatorischen Maßnahmen oder unzureichender Schulung. Auch die Schnittstellen zur Insolvenzhaftung werden beleuchtet. Empfehlungen für die Praxis Externe Beratung und die Zusammenarbeit mit spezialisierten Dienstleistern werden als wichtige Maßnahmen genannt, um die komplexen Anforderungen zu erfüllen. Ebenso wird auf die Bedeutung von Versicherungen (z.B. D&O, Cyberversicherung) und deren Anforderungen hingewiesen. Weiterführende Links: * Kanzlei pitc Legal [https://pitc-legal.de/] * WeTalkSecurity Folge 32: Haftungsfalle Cybercrime: Wenn Hacker die Insolvenz auslösen [https://wetalksecurity.podigee.io/33-insolvenz_haftung_cybercrime] * WeTalkSecurity Folge 14: Stand der Technik in der IT-Sicherheit - von Rechts wegen kritisch? [https://wetalksecurity.podigee.io/15-stand-der-technik-juristisch]

Wie kann ein Cyberangriff eine Insolvenz auslösen und welche rechtlichen Fallstricke lauern auf Geschäftsführer? In einer zunehmend digitalisierten Unternehmenswelt reicht ein erfolgreicher Cyberangriff aus, um die wirtschaftliche Existenz eines Unternehmens zu bedrohen – nicht selten mit dramatischen Folgen für die Geschäftsführung. Ein IT-Vorfall kann nicht nur Systeme lahmlegen, sondern auch zur Insolvenz führen. Doch ab wann sind Geschäftsführer verpflichtet, die Reißleine zu ziehen? Und was passiert, wenn sie es nicht tun? In der aktuellen Folge von WeTalkSecurity spricht Christian Lueg mit Dr. Jens Eckhardt, Fachanwalt für IT-Recht und IT-Compliance-Experte bei der Kanzlei pitc Legal, über die rechtlichen Risiken von Cyberangriffen, Insolvenzantragspflichten und persönliche Haftung – ein Thema, das für viele überraschender und brisanter ist, als es auf den ersten Blick scheint. Über den Gast Dr. Jens Eckhardt ist Fachanwalt für Informationstechnologierecht, Datenschutzauditor sowie IT-Compliance-Manager bei der Düsseldorfer Kanzlei pitc Legal. In seiner täglichen Praxis berät er Unternehmen an der Schnittstelle zwischen IT-Vorfall, Datenschutz und regulatorischer Verantwortung. Ein besonderer Fokus liegt dabei auf der Frage, wann aus einem Cyberangriff ein Haftungsfall wird – insbesondere für Geschäftsführer. Cyberangriff, Stillstand, Insolvenz – eine gefährliche Kette Dr. Eckhardt erklärt, wie ein erfolgreicher Cyberangriff zu massiven Betriebsunterbrechungen führen kann – mit wirtschaftlichen Folgen bis hin zur Insolvenz. Besonders kritisch: Die gesetzlichen Fristen zur Insolvenzanmeldung sind kurz – und Geschäftsführer, die zu spät reagieren, haften persönlich. Die Bewertung, ob eine Insolvenz vorliegt, erfolgt dabei oft rückwirkend, was eine rechtzeitige Reaktion umso wichtiger macht. Haftung in der Krise Die Folge beleuchtet, wie sich betriebswirtschaftlich angespannte Lagen durch einen Angriff schnell zuspitzen können. Wenn kein aktuelles Backup existiert, Daten dauerhaft verloren sind oder Produktionsausfälle nicht kompensiert werden können, kann ein Angriff allein das Unternehmen in die Pleite treiben. Spätestens dann wird aus einer IT-Krise ein rechtliches Problem – und für Geschäftsführer steht nicht nur Vermögen, sondern auch Strafverfolgung im Raum. Pflichten und Fallstricke Besonders deutlich wird: Geschäftsführer sind verpflichtet, sich mit der eigenen IT-Sicherheitslage aktiv auseinanderzusetzen – und diese Auseinandersetzung auch zu dokumentieren. Wer IT-Risiken ignoriert oder bei der Krisenbewältigung zu lange zögert, bringt sich selbst in Gefahr. Die Verantwortung beschränkt sich dabei nicht auf große Unternehmen oder kritische Infrastrukturen – auch kleine und mittlere Betriebe müssen resilient aufgestellt sein. Drei Empfehlungen für Geschäftsführer Zum Abschluss gibt Dr. Eckhardt drei zentrale Handlungsempfehlungen: 1. Awareness schaffen: Geschäftsführer müssen sich aktiv mit IT-Sicherheit und möglichen Risiken beschäftigen – und das schriftlich dokumentieren. 2. Ressourcen prüfen und effizient einsetzen: Es gilt zu klären, welche Budgetmittel für IT-Sicherheit zur Verfügung stehen und wie diese gezielt und am Schutzbedarf orientiert eingesetzt werden. 3. Handlungsfähig bleiben: Für den Ernstfall braucht es klare Abläufe und externe Ansprechpartner – von IT-Forensikern über Versicherer bis zu rechtlicher Beratung. Denn wenn der Angriff kommt, ist schnelle Reaktion entscheidend. Fazit: Cybersicherheit ist längst keine rein technische Frage mehr – sondern ein rechtlich hochrelevantes Führungsrisiko, dem sich Geschäftsführer aktiv stellen müssen. **Weiterführende Links: ** * Kanzlei pitc Legal: https://pitc-legal.de/ [https://pitc-legal.de/] * "Stand der Technik in der IT-Sicherheit - von Rechts wegen kritisch?": https://wetalksecurity.podigee.io/15-stand-der-technik-juristisch [https://wetalksecurity.podigee.io/15-stand-der-technik-juristisch]