Die NIS2-Richtlinie definiert spezifische Anforderungen an das Cybersicherheits-Risikomanagement, um die IT-Sicherheitspraktiken in der gesamten EU zu standardisieren und zu stärken. Diese Anforderungen gelten für Unternehmen, die aufgrund ihrer Rolle, Größe und Gesamtauswirkung auf lebenswichtige Sektoren und Dienste als “wesentlich” oder “wichtig” eingestuft werden. Um den Anwendungsbereich besser zu verstehen, ist es hilfreich, sich mit dem Hauptziel der NIS2-Richtlinie und der von der ACN verwalteten Liste der NIS2-pflichtigen Unternehmen vertraut zu machen.

Schlüsselelemente des Cybersicherheits-Risikomanagements

Die NIS2-Richtlinie verlangt von Unternehmen die Implementierung eines risikobasierten Ansatzes für die Cybersicherheit, der über die bloße Einhaltung gesetzlicher Vorschriften hinausgeht und eine Kultur der proaktiven Risikominderung fördert.

[Callforaction-NIS2]

Um dieses Ziel zu erreichen, enthält die Richtlinie eine Liste von zehn Schlüsselelementen, die im Rahmen dieser Risikomanagement-Richtlinien behandelt werden müssen:

• Risikoanalyse und Sicherheitsrichtlinien: Unternehmen müssen systematische Prozesse zur Identifizierung, Analyse und Dokumentation von Cybersicherheitsrisiken etablieren, die für ihre Betriebsabläufe und angebotenen Dienste spezifisch sind. Dies sollte die regelmäßige Überprüfung und Aktualisierung der Sicherheitsrichtlinien beinhalten, um auf neue Bedrohungen und Schwachstellen zu reagieren.
• Umgang mit Sicherheitsvorfällen: Klare Verfahren für den Umgang mit Cybersicherheitsvorfällen sind unerlässlich, wobei der Schwerpunkt auf einer schnellen und effektiven Reaktion liegt, um Unterbrechungen und potenzielle Schäden zu minimieren. Dies umfasst die Einrichtung von Kommunikationskanälen, Eskalationspfaden sowie Prozessen zur Meldung, Analyse, Eindämmung und Beseitigung von Vorfällen.
• Betriebskontinuität und Krisenmanagement: Unternehmen müssen Pläne zur Gewährleistung der Betriebskontinuität bei Unterbrechungen durch Cybersicherheitsvorfälle aufstellen. Dies beinhaltet Maßnahmen wie Backup- und Disaster-Recovery-Verfahren sowie Strategien für das Krisenmanagement und die Kommunikation während solcher Ereignisse.
• Sicherheit der Lieferkette: Die NIS2 unterstreicht die Bedeutung der Adressierung von Cybersicherheitsrisiken innerhalb der Lieferketten, da diese zunehmend miteinander vernetzt sind. Unternehmen sind verpflichtet, die Risiken im Zusammenhang mit ihren Lieferanten und Dienstleistern zu bewerten und zu verwalten, wobei Faktoren wie die Sicherheitspraktiken und die allgemeine Cybersicherheitslage dieser externen Stellen zu berücksichtigen sind.
• Sichere Beschaffung, Entwicklung und Wartung: Die Richtlinien müssen sichere Entwicklungszyklen für interne Systeme sowie Leitlinien für die Beschaffung von Systemen Dritter enthalten. Dies umfasst Schwachstellenmanagement-Prozesse zur Identifizierung, Bewertung, Behebung und Minderung von Software- und Hardware-Schwachstellen über deren gesamten Lebenszyklus hinweg.
• Bewertung der Wirksamkeit: Regelmäßige und systematische Bewertungen der Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen sind entscheidend, um deren Angemessenheit angesichts sich entwickelnder Bedrohungen zu gewährleisten. Dies beinhaltet die Durchführung regelmäßiger Überprüfungen, Audits und Übungen, um die Leistung der implementierten Sicherheitskontrollen zu bewerten und Verbesserungspotenziale zu identifizieren.
• Grundlegende Cyber-Hygiene und Schulung: Es ist unerlässlich, grundlegende Cybersicherheitspraktiken für Mitarbeiter und Nutzer zu etablieren und zu fördern. Dazu gehören die Anwendung robuster Passwortrichtlinien, die Implementierung von Zugriffskontrollen, die Förderung sicherer Surfgewohnheiten und die Sensibilisierung für gängige Cybersicherheitsbedrohungen wie Phishing und Social-Engineering-Angriffe.
• Einsatz von Kryptografie: Der Schutz sensibler Daten bei der Übertragung und Speicherung ist entscheidend. Die Richtlinie schreibt den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung vor, um die Vertraulichkeit und Integrität der Daten zu gewährleisten. Dies kann die Implementierung sicherer Kommunikationsprotokolle, die Verschlüsselung sensibler Datenspeicher und die Verwendung digitaler Signaturen zur Authentifizierung und Nicht-Abstreitbarkeit umfassen.
• Personalsicherheit und Zugriffskontrolle: Die Richtlinien sollten Hintergrundüberprüfungen für Mitarbeiter, insbesondere in sensiblen Positionen, sowie die Implementierung robuster Zugriffskontrollen abdecken, um unbefugten Zugriff auf kritische Systeme und Daten zu verhindern. Dies beinhaltet die Verwendung starker Authentifizierungsmechanismen, die Einschränkung von Benutzerrechten nach dem Prinzip der geringsten Rechte (Least Privilege) und die Implementierung einer Multi-Faktor-Authentifizierung, wo dies angemessen ist.
• Sichere Kommunikationssysteme: Die Nutzung sicherer Kommunikationskanäle, insbesondere für die interne Kommunikation und die Reaktion auf Vorfälle, ist entscheidend, um sensible Informationen vor unbefugtem Zugriff und Abhörversuchen zu schützen. Dies umfasst die Nutzung sicherer Messaging-Plattformen, verschlüsselter E-Mails, Sprach- und Videokonferenzsysteme sowie dedizierter Notfallkommunikationssysteme, die resilient und vor Kompromittierung geschützt sind.

Anwendung und Rolle des Managements

Die Richtlinie betont die Verantwortung des Managements für die Cybersicherheit und fordert deren Zustimmung und Aufsicht bei der Umsetzung der Cybersicherheits-Risikomanagementmaßnahmen. Dies schließt die Sicherstellung ein, dass angemessene Ressourcen für die Cybersicherheit bereitgestellt werden und eine Kultur des Sicherheitsbewusstseins im gesamten Unternehmen gefördert wird.

Diese Anforderungen spiegeln eine Wende hin zu proaktiveren und umfassenderen Risikomanagementpraktiken wider, da sie die sich entwickelnde Natur der Cyberbedrohungen und die Vernetzung kritischer Infrastrukturen und Dienste anerkennen. Durch die Konzentration auf diese Schlüsselelemente zielt die NIS2 darauf ab, ein höheres Basisniveau der Cybersicherheit in der gesamten EU zu etablieren und die Resilienz wesentlicher Dienste sowie der digitalen Wirtschaft insgesamt zu stärken. Für Unternehmen, die ihren Anpassungsprozess strukturieren oder überprüfen müssen, deckt die von ISGroup angebotene Unterstützung bei der Einhaltung der NIS2-Richtlinie den gesamten Zyklus ab: von der ersten Bewertung bis zur Umsetzung der erforderlichen Maßnahmen. Der offizielle Text der NIS2-Richtlinie bleibt die regulatorische Referenz für jede Anforderungsanalyse.

[Callforaction-NIS2-Footer]