Mit dem Inkrafttreten  des Gesetzes über die Cybersicherheitszertifizierung und Cybersicherheitsaufsicht wurde auch in Ungarn mit der Umsetzung der neuen NIS2-Richtlinie (Network Information System v2) der EU in nationales Recht begonnen. Die neuen Anforderungen im Bereich des Informationsschutzes betreffen einen breiteren Kreis als je zuvor, nach vorläufigen Schätzungen unterliegen 2500 bis 3000 Gesellschaften direkt ihrer Geltung. Die betroffenen Firmen hatten sich bis zum 30. Juni 2024 bei der Aufsichtsbehörde für reglementierte Tätigkeiten  (Szabályozott Tevékenységek Felügyeleti Hatósága) anzumelden. Im Zuge der Registrierung mussten neben den Firmendaten administrativer und technischer Art auch die Daten und Kontaktdaten zum Informationssicherheitsbeauftragten (nachstehend kurz ISB genannt) angegeben werden.

Den nach 30. Juni 2024 gegründeten Firmen stehen 30 Tage nach der Firmengründung für die Anmeldung bei der Aufsichtsbehörde zur Verfügung.

ISB: Wer soll der Beauftragte sein?

Im Zuge der Registrierung bei der Aufsichtsbehörde ist eine der wichtigsten Fragen die Bestimmung des ISB. Die Entscheidung ist unseres Erachtens für internationale Firmen schwierig, auch wenn im NIS-Gesetz keine konkreten Erwartungen oder Anforderungen an den vorgesehenen Beauftragten gestellt werden, es wird sogar ausdrücklich ermöglicht, dass die Position unter Hinzuziehung eines externen Experten besetzt wird.

Auslagerung der Position ISB ist nur zum Teil eine Lösung für internationale Unternehmen

Die Auslagerung der Position des ISB kann auf den ersten Blick als eine rationale Lösung erscheinen, wenn intern keine fachlichen Kenntnisse, Erfahrungen oder Ressourcen für die Besetzung der Position zur Verfügung stehen. Unsere Erfahrungen zeigen jedoch, dass bei vielen Unternehmen dennoch ein interner Mitarbeiter in das Formular der Aufsichtsbehörde als ISB eingetragen wird.

Bevor wir über die Gründe dafür schreiben, überblicken wir, mit welchen Aufgaben und Herausforderungen ein zukünftiger ISB bei einer ungarischen Tochtergesellschaft mit internationalem Hintergrund im Laufe der Vorbereitung auf das NIS2-Audit konfrontiert wird.

Wofür ist ein ISB verantwortlich?

Primäre Aufgaben eines ISB

• Reduzierung der Risiken von Cybersicherheitsvorfällen sowie
• Verkürzung der Zeit bis zu deren Aufdeckung.

Cybersicherangriffe sind in der Regel auf das Datenvermögen der Firma gerichtet. Die Schwere der Inzidenzen steigt dadurch weiter, dass infolge des Diebstahlsversuchs in vielen Fällen auch mit der vollständigen oder teilweisen Einstellung der Dienstleistung oder sogar mit der Aussetzung der ganzen Geschäftstätigkeit gerechnet werden muss, was in jedem Fall bedeutende, manchmal sogar auch katastrophale Folgen für den Unternehmensbetrieb haben kann.

Neben der Senkung der Wahrscheinlichkeit der Cybersicherheitsvorfälle bedeutet eigentlich die Reduzierung der daraus resultierenden Schäden die Schutzfähigkeit und Resilienz des Unternehmens, die durch

• Einführung von Schwellen,
• Schaffung von Regeln,
• Einführung von Instrumenten und
• Veranstaltung von Schulungen

erhöht werden können.

Die Neuartigkeit von NIS2 birgt sich gerade darin, dass die betroffenen Unternehmen gezwungen werden, ihre Fähigkeiten im Bereich Cyberschutz durch die o.g. Maßnahmen fortlaufend zu entwickeln, und es wird mit der Rechtsnorm versucht, dazu einen einheitlichen Standard auf Gemeinschaftsebene sicherzustellen.

Eine der wichtigsten Aufgaben des ISB ist, dass die zwingend anzuwendenden Maßnahmen im Bereich der Informationssicherheit im Einklang mit der Bedrohung und im Rahmen des verfügbaren Budgets erarbeitet werden.

Die Cyberschutzmaßnahmen verlangsamen zwangsläufig das Geschäft und erwarten von einem Großteil des Unternehmens eine aktive Zusammenarbeit bei der Durchführung. Der interne ISB muss die Ganzheit des Geschäftes berücksichtigen, wenn er über die Antworten auf die Bedrohung nachdenkt und wenn er mit dem lokalen IT-Team, den Leitern der Geschäftsbereiche, Juristen, der zentralen (ausländischen) Führung oder gerade mit der Aufsichtsbehörde zusammenarbeitet.

Ungarische NIS2 für ungarische Firmen  

Obwohl es sich bei der NIS2 um eine Richtlinie der Europäischen Union handelt und ihr Ziel die Schaffung eines einheitlichen, gemeinsamen Cybersicherheits-Rahmensystem und Schutzebene war, werden sie von den Mitgliedstaten nicht  gleich terminiert und nicht mit vollständig einheitlichem Inhalt in ihr eigenes Recht umgesetzt.

Der interne ISB einer ungarischen Tochtergesellschaft muss auch mit den Besonderheiten der „ungarischen” NIS2-Regelung vertraut sein, damit er neben den anderen nationalen Anforderungen auch diese auf globaler Ebene bei der Ausgestaltung und Adaptierung des verwalteten Informationssicherheits-Managementsystems und der damit verbundenen Regelungen und Verfahrensordnungen vertreten kann.

Die Compliance der in Ungarn ansässigen Unternehmen wird in jedem Fall aufgrund des ungarischen “NIS2-Gesetzes”, der von ungarischen Einrichtungen erlassenen Durchführungsverordnungen und des herausgegebenen methodischen Leitfadens, in ungarischer Sprache und von ungarischen Auditoren beurteilt oder bei Nichtentsprechung beanstandet.

Die Vorbereitung erfordert daher in jedem Fall eine aktive Mitwirkung der nationalen operativen Führung. Die Vorbereitung kann mit Sicherheit nicht ausschließlich aus dem Ausland, unter unveränderter Verwendung der von der Zentrale ausgearbeiteten Regeln und Systemelemente gemanagt werden.

Es liegt zwar auf der Hand, ist jedoch nicht ratsam, ein Mitglied des IT-Teams als Leiter Compliance zu delegieren

In internationalen Unternehmensgruppen erwartet ein ziemlich komplexer Verantwortlichkeitsbereich die IBS, die Auslagerung der Position kann daher nicht überall als eine effektive Lösung angesehen werden.

Bei diesen Unternehmen kann als zweckmäßig erscheinen, wenn die Fähigkeiten und Ressourcen des lokalen Leiters Compliance erweitert werden, damit er auch die Vorbereitung auf die Erfüllung der neuen, im NIS2-Gesetz gestellten Compliance-Anforderungen koordinieren kann. Dies kann nach Bedarf unter Hinzuziehung von externen Beratern und Experten erfolgen.

Die Ortskenntnisse des Leiters Compliance, seine vorhandenen Kanäle und Akzeptanz bedeuten aus der Sicht des lokalen IT-Teams, der zentralen IT-Leitung, der Geschäftsbereiche und des Managements Vorteile, die bei der Einführung des NIS2-INformationssicherheits- Managementsystems auch benötigt werden, in Anbetracht dessen, dass dies mit großer Wahrscheinlichkeit eine bedeutende Auswirkung auf den Großteil der derzeitigen Abläufe beim Unternehmen haben und auch die Organisationskultur prägen wird.

Die IT wird ein bedeutender Akteur bei den Änderungen sein, aber ähnlich wie in den anderen Bereichen wird sie in vielerlei Hinsicht eine durchführende Rolle innehaben, es ist aus diesem Grund nicht ratsam, die Leitungspositionen in den Bereichen IT und Informationssicherheit miteinander zu verknüpfen.

Durch ein berufliches Mentoring können die Leiter Compliance unterstützt werden

NIS2 erfordert von den Unternehmen eine laufende Entwicklung auf dem Gebiet der Cyberschutzfähigkeiten. Dabei haben sie ein Informationssicherheitssystem für sich auszuarbeiten, das sich effektiv betreiben und stabil auditieren lässt. Damit die beauftragte Führungskraft Erfolge erzielen kann, muss er nicht nur die internationalen und nationalen Regelungen, sondern auch die internen Abläufe des Unternehmens und auch seinen Betrieb in entsprechender Tiefe kennen.

Das erschwert die vollumfängliche Auslagerung der Aufgaben im Bereich der NIS2-Vorbereitung und kann die Firmen eher in die Richtung der Entwicklung der internen Kompetenzen leiten. Ein entsprechendes Mentoring kann dazu beitragen, dass sich die Leiter Compliance an die neuen Anforderungen anpassen können.

Wir empfehlen unsere Dienstleistung NIS2 berufliches Mentoring für die Leiter Compliance, die das  NIS2-Informationssicherheits-Managamentsystem, das durch die nationale Regelung ausgestaltet wurde und ab 2025 als Anforderung behandelt wird, auf Leitungsebene kennenlernen wollen und einen unterstützenden Partner bei der Besetzung der Position des ISB mit einem internen Mitarbeiter suchen.