Keine Zeit verlieren bei Umsetzung der NIS2-Richtlinie 8 Maßnahmen für die NIS-2-Konformität

Anbieter zum Thema

G DATA CyberDefense AG

Windhoff Group

Die europäische NIS-2-Richtlinie weitet Cybersicherheit auf sehr viele mittelständische Unternehmen aus. Um die Konformität zu den entsprechenden Vorgaben zu erreichen, sollten Verantwortliche jetzt folgende acht Maßnahmen ergreifen, um die enge Frist einzuhalten

Allein in Deutschland müssen sich bis zum geplanten Inkrafttreten des entsprechenden nationalen Gesetzes am 18. Oktober 2024 schätzungsweise 30.000 Firmen mit NIS-2 aus­ein­ander­set­zen. Das Ziel ist ein besseres gemeinsames Cybersicherheitsniveau in der EU. Welche Maßnahmen können und sollten betroffene Unternehmen ergreifen?

Maßnahme 1: Ein Projekt aufsetzen

Zuerst gilt es, ein Projekt zum Thema NIS-2 aufzusetzen. Der Teilnehmerkreis der Projektgruppe setzt sich aus der Geschäftsleitung, den IT-Verantwortlichen, den IT-Sicherheitsverantwortlichen und allen weiteren relevanten Personen zusammen. Denn die Anforderungen der NIS-2 sind sehr hoch und erfordern eine dedizierte Organisationsstruktur. Für die Umsetzung müssen Unternehmen viel Zeit und auch Budget einkalkulieren. Insbesondere dann, wenn Firmen dem Bereich IT-Sicherheit bis dato wenig Beachtung geschenkt haben.

Zunächst sollte die Projektgruppe ein Cybersicherheitstraining absolvieren, um ein gemeinsames Grundverständnis für IT-Sicherheit zu erlangen. Gruppen, die bereits über dieses Verständnis verfügen, können direkt mit Schritt zwei fortfahren.

Maßnahme 2: Organisatorische Maßnahmen

NIS-2 nimmt Vorstände und Geschäftsführungen in die Verantwortung. Sie müssen die Umsetzung der Maßnahmen überwachen und haften persönlich für Verstöße. Eine Delegation innerhalb des Vorstands ist nicht möglich, weil alle Mitglieder der Chefetage gleichermaßen in der Pflicht sind. Übrigens: Verzichts­vereinbarungen sind nach dem aktuellen deutschen Gesetzentwurf unwirksam. Eine Directors-and-Officers-Versicherung ist weiterhin möglich – sofern sie denn zahlt.

Maßnahme 3: Einführung eines Informationssicherheits-Managementsystems (ISMS)

Ziel ist es, die internen IT-Strukturen zu dokumentieren und den Bedarf an zusätzlichen Anschaffungen und Dienstleistungen im NIS-2-Kontext zu ermitteln. Im Prinzip müssen alle betroffenen Unternehmen die ISO 27001 umsetzen. Dabei müssen viele Firmen auf externe Beratungen zurückgreifen, um Klarheit darüber zu erlangen, was zu tun ist. Die Verantwortlichen erhalten auf Basis einer fundierten Analyse klare und präzise Empfehlungen.

Maßnahme 4: Lieferketten überprüfen

Ein aufwändiges Thema ist die Sicherheit in der Lieferkette. Denn NIS-2 verlangt die Absicherung der gesamten Lieferkette hinsichtlich der Netz- und Informationssysteme und der physischen Umwelt dieser Systeme. Um die Lieferkette abzusichern, ist es unerlässlich, diese zu sortieren und einen umfassenden Überblick über ihre Struktur zu erhalten. Der Einkauf kann dabei unterstützen, weil er die Rechnungen für alle Lieferungen abwickelt. Lieferanten-Zertifikate sind eine von mehreren Optionen, aber sicherlich eine bequeme Wahl. Wichtig ist, dass Verantwortliche diesen Status regelmäßig prüfen.

Dabei ist aber auch zu bedenken, dass nicht für alle Produkte Rechnungen vorliegen, wie beispielsweise Open-Source-Produkte. Und die Verantwortlichen müssen klären, wie kritisch der Einsatz der Software ist. Wenn die gesamte Buchhaltung mit Open-Source-Software arbeitet, besteht sicherlich ein höheres Risiko, als wenn Open Source nur zur Textverarbeitung verwendet wird.

Maßnahme 5: Cybersicherheits-Zertifizierungen

Hier steht an erster Stelle die Frage, ob diese Zertifikate für Unternehmen als Anbieter oder als Käufer relevant sind. Dabei gilt es zu überprüfen, ob ein Unternehmen ein Produkt herstellt, das sicherheitszertifiziert sein muss. Käufer könnten künftig dazu verpflichtet werden, nur noch Produkte zu kaufen, die entsprechend zertifiziert sind. Es ist denkbar, dass gesetzliche Vorgaben Unternehmen vorschreiben, nur zertifizierte Produkte aus einer bestimmten Kategorie einkaufen zu dürfen. Bei fehlenden eigenen Zertifizierungen kann sogar ein Verkaufsstopp drohen. Es fehlen aber noch die entsprechenden Rechtsverordnungen. Somit ist unklar, welche Produkte betroffen sein werden. Der Einkauf sollte sich auf jeden Fall darauf vorbereiten und Unternehmen müssen im Voraus Schritte prüfen, um eine erforderliche Sicherheitszertifizierung für ihre Produkte zu erhalten.

Zurzeit ist das Zertifizierungsschema der ENISA in Bezug auf die Common Criteria am weitesten fortgeschritten. Unternehmen sollten daher Zertifizierungen in diesem Bereich durchführen. Zusätzlich empfiehlt es sich, einen Blick in den Cyber Resilience Act zu werfen und sich mit der dortigen Kategorisierung vertraut zu machen. Es ist zu erwarten, dass viele Firmen auf externe Unterstützung angewiesen sind und dies in ihr Budget einplanen sollten, da es mit finanziellem Aufwand verbunden ist.

Maßnahme 6: Meldeprozesse definieren

Gemäß der NIS-2-Verordnung ist ein Betrieb verpflichtet, die Meldebehörde innerhalb von 24 Stunden zumindest per E-Mail über einen möglichen Cybersicherheitsvorfall zu informieren und innerhalb von 72 Stunden eine Bewertung des Vorfalls abzugeben. Nach einem Monat ist ein umfassender Bericht zu erstellen. Diese Meldefristen sind sehr knapp bemessen. Daher müssen die Verantwortlichen sicherstellen, dass schnell fundierte Informationen vorliegen. Hier sollten Projektverantwortliche das Gespräch mit dem Datenschutzbeauftragten über deren Meldeprozess suchen. Denn hierbei handelt es sich um ein ideales Best-Practice-Beispiel, an dem sich die Projektgruppe orientieren kann.

Maßnahme 7: Vorbereitung auf regelmäßigen Austausch

NIS-2 sieht ein Austauschformat vor, bei dem sich Unternehmen zur Cybersicherheit austauschen können. Diese Plattform wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) organisiert. Um eigene Erfahrungen zu teilen und Informationen aus diesem Kreis weiterzugeben, müssen die Verantwortlichen klären, wer an dem Format teilnimmt.

Maßnahme 8: Registrierung beim BSI

Betroffene Unternehmen müssen sich als wichtiger oder wesentlicher Betrieb beim BSI registrieren. Vor der Meldung ist es entscheidend zu prüfen, ob das Unternehmen überhaupt der NIS-2 unterliegt. Bis Oktober 2024 muss das BSI die personellen und organisatorischen Voraussetzungen für die Meldestelle aber noch schaffen.

Auch wenn Mitte März 2024 noch immer einige Fragen bei NIS-2 offen sind, sollten betroffene Unternehmen keine Zeit verlieren und sich eingehend mit den Vorgaben auseinandersetzen. Wer jetzt handelt, stärkt die IT-Sicherheit der eigenen Firma und investiert in deren Zukunftsfähigkeit. Cyberkriminelle schlafen nicht. Sie nutzen jede Gelegenheit, um ein Unternehmen anzugreifen.

Über den Autor: Tim Berghoff ist Security Evangelist bei G DATA CyberDefense.

(ID:49978056)