Cyberrisiko i sikte: Ny lov for 30 000 selskaper fra 2026!

Cyberrisiko i sikte: Ny lov for 30 000 selskaper fra 2026!

Den føderale regjeringen planlegger å ta et avgjørende skritt for å forbedre cybersikkerheten i Tyskland. Hvordan Radio Ennepe Ruhr rapporter, skal reglene vedtatt av EU, som har som mål å beskytte viktige anlegg og selskaper mot nettangrep, implementeres i nasjonal lovgivning innen begynnelsen av 2026. Claudia Plattner, president for Federal Office for Information Security (BSI), uttrykker håp om at denne loven kan tre i kraft i begynnelsen av 2026.

Men hva betyr det konkret? Implementeringen av det europeiske NIS 2-direktivet, som har vært i kraft siden 27. desember 2022, har som mål å forbedre cybersikkerheten til selskaper og institusjoner betydelig. Rundt 29.000 virksomheter som er klassifisert som spesielt viktige vil bli berørt av det nye regelverket. Dette tallet representerer en betydelig økning, ettersom så langt bare rundt 4500 operatører av kritisk infrastruktur har mottatt intensiv støtte. En «NIS 2 impact test» har allerede blitt lagt ut på nettet og har nå mottatt over 200 000 forespørsler. Plattner advarer imidlertid om at mange bedrifter ennå ikke tar de nye kravene seriøst nok.

Utfordringene ved implementering

Et stort poeng er at fristen for å implementere NIS 2-direktivet faktisk gikk ut 17. oktober 2024, men denne ble ikke overholdt av Tyskland og enkelte andre EU-stater. Mangel på flertall i Forbundsdagen etter oppløsningen av trafikklyskoalisjonen har forsinket fremdriften av lovgivningen kraftig. Tidlige valg forhindret også at den parlamentariske prosedyren for NIS 2 Implementation and Cybersecurity Strengthening Act (NIS2UmsuCG) ble fullført. Det er derfor et sterkt behov for å øke gjennomføringstakten.

Høyt BSI Rollen til BSI styrkes av NIS 2-retningslinjen. Loven forventes å tre i kraft i 2025 og vil ikke bare overføre EUs minimumsstandarder for cybersikkerhet til tysk lovgivning, men også forbedre samarbeidet mellom staten og næringslivet. Sikkerhetskravene økes betydelig for operatører av kritiske systemer.

Virkeområdet for det nye regelverket

Berørte sektorer inkluderer energi, transport, telekommunikasjon, drikkevann, matproduksjon og sanitær. Innføringen av nye kategorier av anlegg fremmer tilpasning til moderne utfordringer i cyberspace. Operatører av kritiske systemer må dokumentere overholdelse av sikkerhetstiltak hvert tredje år. Videre må sikkerhetsrelaterte hendelser rapporteres innen 24 timer, med straffer for brudd på disse forskriftene som varierer fra 100 000 til 20 millioner euro, avhengig av globalt salg.

Disse vidtrekkende reguleringene er nødvendige for å sikre den langsiktige funksjonaliteten til den kritiske infrastrukturen i Tyskland. Hvis alt går etter planen, kan NIS-2-UmsG virkelig føre til bedre beskyttelse mot cyberangrep, som sist men ikke minst kan øke sikkerheten til befolkningen betydelig. OpenKritis viser.

Den føderale regjeringen står overfor en av de mest grunnleggende utfordringene i å endelig bringe cybersikkerhet i Tyskland oppdatert. Det blir spennende å se hvordan byråkratiet arter seg i året som kommer og om de planlagte tiltakene faktisk lar seg gjennomføre i tide.