8. März 2023 • NIS2
Die neue NIS2-Richtlinie verpflichtet Wirtschaftsprüfungsgesellschaften, verstärkte Maßnahmen zur Verhinderung von Cybersecurity-Verstößen zu ergreifen. Das europäische Cyber-Gesetz ist seit dem 16. Januar 2023 in Kraft. Die Niederlande und andere Mitgliedstaaten haben bis Oktober 2024 Zeit, die Gesetzgebung national umzusetzen. Das bedeutet, dass ab diesem Zeitpunkt Wirtschaftsprüfer neue Cybersecurity-Richtlinien einhalten müssen.
Was ist die neue NIS2-Richtlinie?
Die neue NIS2-Richtlinie verschärft die Anforderungen für wesentliche Unternehmen und fügt Verpflichtungen für „wichtige Unternehmen“ hinzu, darunter auch Wirtschaftsprüfungsgesellschaften. In einem früheren Artikel haben wir erläutert, was die neue Richtlinie beinhaltet und welche Änderungen sich im Vergleich zu NIS1 ergeben. Der Hauptunterschied ist die Ausweitung auf „wichtige Unternehmen“ zusätzlich zu den wesentlichen Unternehmen, für die die Richtlinie bereits galt. Wirtschaftsprüfungsgesellschaften gelten ebenfalls als wichtige Unternehmen und müssen ab 2024 strengere Cybersecurity-Richtlinien einhalten.
Was ändert sich für Wirtschaftsprüfungsgesellschaften?
Wirtschaftsprüfungsgesellschaften müssen bereits Richtlinien für eine gute IT-Dokumentation einhalten, insbesondere im Hinblick auf die Informationssicherheit, die die Kontinuität, Zuverlässigkeit und Risiken der automatisierten Datenverarbeitung gewährleistet (ISA 315 (COS 315) des ISAAB). Wirtschaftsprüfungsgesellschaften sind zudem verpflichtet, auf Grundlage einer fachkundigen Prüfung über Cybersecurity zu berichten (Artikel 2:393 Absatz 4 BW).
Zusätzlich werden neue Regeln eingeführt. Beispielsweise ist nun die Geschäftsleitung für die Cybersecurity der Wirtschaftsprüfungsgesellschaft verantwortlich und nicht mehr allein ein IT-Partner innerhalb des Unternehmens. Die neue Richtlinie bringt drei weitere Änderungen mit sich:
- Liste der grundlegenden Mindestsicherheitsmaßnahmen
Die Richtlinie wird konkreter durch eine Liste grundlegender Mindestsicherheitsmaßnahmen, die Unternehmen anwenden müssen. Die Richtlinie schreibt einen Ansatz zum Risikomanagement vor. - Umgang mit Sicherheit in der Lieferkette
Unternehmen müssen Sicherheitsrisiken in ihrer Lieferkette adressieren, einschließlich Risiken, die aus Lieferantenbeziehungen entstehen. - Strengere Aufsicht
Nationale Behörden können eine strengere Aufsicht und Durchsetzung durchführen. Die neue Richtlinie gleicht Sanktionsregeln und Meldepflichten in allen Mitgliedstaaten stärker aneinander an.
Werden Sie bestraft, wenn Sie die Vorschriften nicht einhalten?
Wirtschaftsprüfungsgesellschaften, die der neuen Richtlinie nicht nachkommen, erhalten eine Verwarnung und anschließend eine Mahnung. Die zuständige Behörde kann dann Bußgelder verhängen, bis zu einem Höchstbetrag von 10 Millionen Euro oder zwei Prozent des Jahresumsatzes.
Welchen Risiken sind Wirtschaftsprüfungsgesellschaften ausgesetzt?
Die Europäische Union stuft Wirtschaftsprüfungsgesellschaften als wichtige Unternehmen ein. Cyber-Risiken wirken sich sowohl auf die Unternehmen selbst als auch auf die Gesellschaft insgesamt aus. Natürlich sind Wirtschaftsprüfer sich des Risikos durch Cyberkriminalität schon lange bewusst. Zum Beispiel zeigt eine Skopos-Studie, dass die Mehrheit der Wirtschaftsprüfer der Meinung ist, dass der Informationssicherheit mehr Aufmerksamkeit geschenkt werden sollte.
Die Wirtschaftsprüfungsgesellschaft Grant Thornton weist auf eine Verschiebung von der Gewinnerzielung zu böswilligen Absichten und die damit verbundenen steigenden Risiken hin. Darüber hinaus wurde bereits berichtet, dass niederländische Unternehmen von russischen Geheimdiensten gehackt werden.
Die SRA, die als Netzwerkorganisation 375 unabhängige Wirtschaftsprüfer mit 900 Niederlassungen in den Niederlanden vertritt, berichtet, dass Wirtschaftsprüfungsgesellschaften zunehmend beispielsweise Ransomware, Malware und Cryptojacking begegnen.
Cyberkriminalität verhindern: Was können Sie als Wirtschaftsprüfungsgesellschaft tun?
Basierend auf der neuen NIS2-Richtlinie müssen Wirtschaftsprüfungsgesellschaften ab 2024 angemessene Maßnahmen ergreifen, um Cybersecurity-Verstöße zu verhindern oder deren Folgen zu begrenzen. Sie können bereits im Vorfeld der neuen Richtlinie Maßnahmen ergreifen. Die SRA empfiehlt zum Beispiel:
- Risikokartierung
Sie können nur angemessene Maßnahmen ergreifen, wenn Sie wissen, welchen Risiken Ihre Wirtschaftsprüfungsgesellschaft ausgesetzt ist. Stellen Sie sicher, dass Sie die Risiken erfassen oder externe Spezialisten dafür beauftragen. Innerhalb der Risiken unterscheiden Sie zwischen denen für die direkte Dienstleistungserbringung und die Geschäftskontinuität. Klassifizieren Sie die Risiken, um eine Prioritätenliste zu erstellen und die entsprechenden Maßnahmen zu ergreifen. - Ein Cybersecurity-Richtlinienrahmenwerk
Entwickeln Sie ein Cybersecurity-Richtlinienrahmenwerk, um unternehmensweit über Cyberrisiken und die wichtigen Maßnahmen nachzudenken. Beginnen Sie mit einem einfachen A4-Blatt, das die Prinzipien, Rahmenwerke und unterschiedlichen Verantwortlichkeiten skizziert. Erweitern Sie dies später zu einer umfassenderen Richtlinie, wie zum Beispiel solche, die sich auf spezifische Cyberrisiken konzentrieren, denen Ihre Wirtschaftsprüfungsgesellschaft ausgesetzt ist. - Vorbereitung auf Datenlecks und Hacks
Bereiten Sie sich auf Datenlecks und Hacks vor, denn jede Organisation kann davon betroffen sein. Erstellen Sie einen Plan, der festlegt, wer wie reagieren soll und welche Wiederherstellungsmaßnahmen notwendig sind. Erfassen Sie alle Vorfälle und analysieren Sie, was passiert ist. Schließen Sie Sicherheitslücken und überprüfen Sie, ob die Maßnahmen die gewünschten Ergebnisse liefern. - Konkrete Maßnahmen ergreifen
Ergreifen Sie konkrete Maßnahmen, wenn Sicherheitslücken bestehen bleiben. Oder erfüllen Sie die in der neuen NIS2-Richtlinie festgelegten Maßnahmen, um sich auf die Änderungen im Jahr 2024 vorzubereiten. Stärken Sie die Cybersecurity sowohl in Ihrer Wirtschaftsprüfungsgesellschaft als auch in den Lieferantenbeziehungen. Die neue Richtlinie verpflichtet Unternehmen, Cybersecurity entlang der gesamten Lieferkette zu berücksichtigen. - IT an Spezialisten auslagern
Lagern Sie IT und Cybersecurity an Spezialisten aus, die sich täglich mit diesen Themen befassen. Beauftragen Sie zudem Spezialisten für die Migration von Anwendungen in die Cloud oder für die Erweiterung, Verbesserung oder Änderung anderer IT-Dienstleistungen. Sie entwickeln nach dem Prinzip Security by Design und berücksichtigen (Cyber-)Security bei jedem Schritt.
Darüber hinaus können einige grundlegende Maßnahmen die Cyber-Resilienz Ihrer Wirtschaftsprüfungsgesellschaft direkt verbessern, wie zum Beispiel:
- Multi-Faktor-Authentifizierung (MFA) für alle digitalen Konten
- Regelmäßige (automatisierte) Backups
- Verwendung eines Passwort-Managers mit einem komplexen Master-Passwort
- Richten Sie eine Benachrichtigung für E-Mails von externen Absendern ein.
- Kontaktlisten offline verfügbar machen
Mit Guardey wird es einfach.
Als Wirtschaftsprüfungsgesellschaft fühlen Sie sich möglicherweise von all dem überfordert. Schließlich möchten Sie sich lieber auf Ihre eigentliche Buchhaltungsarbeit konzentrieren. Überlassen Sie Guardey die Cybersecurity für Sie. Wir bieten eine Komplettlösung für sichere Konnektivität, Schutz vor schädlicher Software und professionelle (aber unterhaltsame!) Mitarbeiterschulungen.
Mit Guardey wählen Sie eine komplette Cybersecurity-Lösung auf einmal. Wir sind vollständig Plug & Play, daher ist es unkompliziert, zugänglich und erschwinglich.
Entdecken Sie unsere Lösung oder stellen Sie uns Ihre Fragen. Gerne erklären wir Ihnen, wie Guardey Ihre Wirtschaftsprüfungsgesellschaft vor allen digitalen Bedrohungen schützen und wie Sie ab 2024 die NIS2-Richtlinie einhalten können!
