Die NIS2-Richtlinie markiert einen wichtigen Schritt zur Verbesserung der Cybersicherheit in der Europäischen Union.

Auch wenn in Deutschland der Zeitpunkt des Inkrafttretens aktuell und einzelne Inhalte noch unklar sind, ändert sich an den grundlegenden Vorgaben wenig. Schätzungsweise 30.000 mittelständische Unternehmen sind durch diese Richtlinie in der Pflicht, ihr Sicherheitsniveau erheblich zu verstärken. Die frühzeitige Auseinandersetzung mit den Anforderungen ist nicht nur eine regulatorische Notwendigkeit, sondern auch eine strategische Maßnahme zum Schutz der unternehmerischen Existenz.

Dabei sollten Verantwortliche folgende Schritte beherzigen:

#1 Ein Projekt initiieren
Zuerst gilt es, ein Projekt für NIS2 aufzusetzen. Denn die Umsetzung erfordert nicht nur eine erhebliche Investition an Zeit und Ressourcen, sondern auch eine dedizierte Organisationsstruktur. Der Teilnehmerkreis der Projektgruppe setzt sich aus der Geschäftsleitung, den IT-Verantwortlichen, den IT-Sicherheitsverantwortlichen und allen relevanten Stakeholdern zusammen. Ein umfassendes Cybersicherheitstraining für alle Mitglieder des Projektteams ist zu empfehlen, um ein einheitliches Verständnis für die relevanten Sicherheitsstandards zu schaffen.

#2 Geschäftsleitungen in die Pflicht nehmen
Die NIS2-Richtlinie sieht vor, dass die oberste Führungsebene eines Unternehmens unmittelbar für die Umsetzung der erforderlichen Maßnahmen verantwortlich ist. Dies beinhaltet eine persönliche Haftung für Verstöße. Die Unternehmensleitung kann diese Verantwortung nicht delegieren und muss eine aktive Rolle bei der Überwachung der Compliance-Prozesse spielen. Darüber hinaus sind Verzichtserklärungen, die diese Haftung ausschließen würden, nach dem aktuellen deutschen Gesetzentwurf unwirksam. Eine Directors-and-Officers-Versicherung kann zwar weiterhin abgeschlossen werden, doch ist dies keine Garantie für eine Deckung im Falle eines Cyberangriffs.

#3 Ein ISMS implementieren
Ein wesentlicher Baustein für die NIS2-Konformität ist die Einführung eines Informationssicherheits-Managementsystems (ISMS), um die internen IT-Strukturen zu dokumentieren und den Bedarf an zusätzlichen Anschaffungen und Dienstleistungen zu ermitteln. Im Prinzip müssen also alle betroffenen Unternehmen die ISO 27001 umsetzen. Viele Unternehmen werden sich hierbei von externen Beratern unterstützen lassen müssen, um eine objektive und umfassende Analyse ihrer Systeme zu erhalten.

#4 Die Sicherheit der Lieferketten prüfen
Ein aufwändiges Thema ist die Sicherheit in der Lieferkette. Denn Firmen müssen eine detaillierte Analyse ihrer Lieferketten durchführen, um sicherzustellen, dass alle Netz- und Informationssysteme sowie die physische Sicherheit dieser Systeme den Vorgaben von NIS2 entsprechen. Der Einkauf kann dabei unterstützen, weil er die Rechnungen für alle Lieferungen abwickelt. Lieferantenzertifikate sind eine von mehreren Optionen, aber sicherlich eine bequeme Wahl. Wichtig ist, dass Verantwortliche diesen Status regelmäßig prüfen.

Dabei ist es wesentlich, auch die Lieferanten von Open-Source-Software einzubeziehen, da hier oft keine klassischen Kaufverträge vorliegen und der Sicherheitsstatus dieser Produkte regelmäßig überprüft werden muss. Und die Verantwortlichen müssen klären, wie kritisch der Einsatz der Software ist. Wenn die gesamte Buchhaltung mit Open-Source-Software arbeitet, besteht sicherlich ein höheres Risiko, als wenn Open Source nur zur Textverarbeitung verwendet wird. Kreative Lösungen sind gefordert, um die Sicherheit auch in solchen Bereichen zu gewährleisten.

#5 Cybersicherheitszertifikate
Cybersicherheitszertifikate spielen eine zentrale Rolle bei der Vertrauensbildung gegenüber Kunden und Partnern. Unternehmen müssen evaluieren, welche ihrer Produkte einer Sicherheitszertifizierung bedürfen und ob sie als Anbieter oder Käufer auf dem Markt agieren. Angesichts möglicher gesetzlicher Änderungen, die den Erwerb zertifizierter Produkte zur Pflicht machen könnten, sollten Unternehmen proaktiv handeln und die notwendigen Zertifizierungen anstreben. Es fehlen aber noch die entsprechenden Rechtsverordnungen. Somit ist unklar, welche Produkte betroffen sein werden. Der Einkauf sollte sich auf jeden Fall darauf vorbereiten und Unternehmen müssen im Voraus Schritte prüfen, um eine erforderliche Sicherheitszertifizierung für ihre Produkte zu erhalten.

#6 Meldeprozesse etablieren
Die NIS2 verlangt von den Unternehmen, die Meldebehörde innerhalb von 24 Stunden zumindest per E-Mail über einen möglichen Cybersicherheitsvorfall zu informieren und innerhalb von 72 Stunden eine Bewertung des Vorfalls abzugeben. Nach einem Monat ist ein umfassender Bericht zu erstellen. Diese Meldefristen sind sehr knapp bemessen. Verantwortliche müssen also Prozesse etablieren, die es ermöglichen, Vorfälle schnell und präzise zu erfassen und an die zuständigen Behörden zu melden. Die Zusammenarbeit mit Datenschutzbeauftragten kann dabei als Best-Practice-Beispiel dienen, um effektive Meldestrukturen aufzubauen.

#7 Am branchenübergreifenden Austausch teilnehmen
Der Austausch mit anderen Unternehmen und Behörden ist ein weiterer wichtiger Aspekt der NIS2. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) organisiert diesen Austausch, bei dem Unternehmen ihre Erfahrungen teilen und von anderen lernen können. Die aktive Teilnahme an diesen Austauschformaten ist für die kontinuierliche Verbesserung der Cybersicherheitsstrategien unerlässlich.

#8 Beim BSI registrieren
Betroffene Unternehmen müssen sich als wichtiger oder wesentlicher Betrieb beim BSI registrieren. Vor der Meldung ist es entscheidend zu prüfen, ob das Unternehmen überhaupt der NIS2 unterliegt. Allerdings muss das BSI erst die personellen und organisatorischen Voraussetzungen für die Meldestelle schaffen.

Die NIS2-Richtlinie bietet Unternehmen die Möglichkeit, ihre Cybersicherheitsmaßnahmen zu überprüfen und zu verbessern. Durch die frühzeitige Auseinandersetzung mit den Vorgaben und die proaktive Umsetzung der erforderlichen Maßnahmen erhöhen Unternehmen ihre Resilienz gegenüber Cyberbedrohungen und positionieren sich als vertrauenswürdige Partner auf dem Markt. IT-Entscheider und CIOs sollten diesen Transformationsprozess nicht nur als notwendiges Übel, sondern als Chance zur Stärkung der unternehmerischen Zukunftsfähigkeit begreifen.

www.gdata.de

Bild: © G Data

108 Artikel zu „NIS2“

News | IT-Security | Services | Tipps

Die Hausordnung für IT-Systeme: NIS2

22. August 2024

NIS2 sorgt in vielen Köpfen für Unsicherheit. Dabei lässt sie sich gut mit der Hausordnung, wie sie in Mehrfamilienhäusern oder Firmengebäuden existiert, vergleichen: Die europaweite Direktive ist das Regelwerk (Hausordnung), deren Einhaltung Dienstleister (analog zum Hausmeister) für Unternehmen (quasi die Bewohner) sicherstellen. Doch was ist neu an NIS2? Welche Maßnahmen müssen Firmen implementieren? Die nachfolgende…