Die Quellen konzentrieren sich hauptsächlich auf Cybersicherheit und enthalten keine expliziten Details zu den physischen Sicherheitsanforderungen für Netzwerk- und Informationssysteme.

Sie bieten jedoch einige Ansätze, die indirekt die physische Sicherheit betreffen:

Die Bedeutung eines Multi-Risiko-Ansatzes

• Berücksichtigung der physischen Umgebung: Die NIS2-Richtlinie fördert einen Multi-Risiko-Ansatz für die Cybersicherheit, der Risiken berücksichtigt, die über digitale Bedrohungen hinausgehen. Dieser Ansatz unterstreicht die Bedeutung der physischen Sicherheit:
  • Artikel 21, Absatz 2: Definiert die Maßnahmen für das Risikomanagement im Bereich der Cybersicherheit.
  • Mitteilung der Kommission: Sie spezifiziert, dass diese Maßnahmen „nicht nur die Netzwerke und Informationssysteme der Einrichtung, sondern auch die physische Umgebung dieser Systeme vor Ereignissen wie Sabotage, Diebstahl, Feuer, Überschwemmungen, Telekommunikationsproblemen oder Stromausfällen oder vor unbefugtem physischen Zugang schützen müssen, der die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der gespeicherten, übertragenen oder verarbeiteten Daten oder der von den Netzwerken und Informationssystemen angebotenen oder über diese zugänglichen Dienste beeinträchtigen könnte.“

[Callforaction-NIS2]

Spezifische Anforderungen und Überlegungen

• Sichere Standorte für CSIRTs: Die Richtlinie verlangt, dass Computer Security Incident Response Teams (CSIRTs) in sicheren Einrichtungen untergebracht sind:
  • Artikel 11, Absatz 1(b): Legt fest, dass „die Räumlichkeiten und Informationssysteme, die die CSIRTs unterstützen, an sicheren Standorten untergebracht sein müssen“. Dies deutet darauf hin, dass physische Sicherheit für die Gewährleistung der Cybersicherheit von grundlegender Bedeutung ist. Um mehr über die mit CSIRTs verbundenen Verpflichtungen zu erfahren, siehe auch die Verpflichtung zur Benennung eines CSIRT-Ansprechpartners für NIS-Subjekte.
• Sicherheit von Rechenzentren: Obwohl die physische Sicherheit nicht direkt angesprochen wird, impliziert die Einbeziehung von Rechenzentrumsanbietern als wesentliche oder wichtige Einrichtungen die Notwendigkeit, robuste Sicherheitsmaßnahmen zu ergreifen, die wahrscheinlich auch physische Schutzvorkehrungen umfassen.
• Allgemeine Grundsätze der Vertraulichkeit und des Risikomanagements: Die Quellen betonen, wie wichtig es ist, die Vertraulichkeit von Informationen zu schützen und einen risikobasierten Sicherheitsansatz zu verfolgen. Diese Grundsätze erstrecken sich auch auf die physische Sicherheit, was die Notwendigkeit impliziert, physische Ressourcen und Einrichtungen zu schützen, deren Kompromittierung die Informationssysteme oder Daten gefährden könnte.

Schlussfolgerungen und bewährte Verfahren

Obwohl nicht ausdrücklich gefordert, sollten Organisationen, die der NIS2-Richtlinie unterliegen, die Implementierung physischer Sicherheitsmaßnahmen im Einklang mit den umfassenderen Grundsätzen der Richtlinie in Betracht ziehen. Wer sein Konformitätsniveau bewertet, findet möglicherweise den von ISGroup angebotenen Weg zur NIS2-Anpassung hilfreich, der auch die Überprüfung der Schutzmaßnahmen für die physische Umgebung umfasst. Beispiele für solche Maßnahmen sind:

• Zugangskontrolle zu Einrichtungen: Implementierung von Zugangskontrollsystemen, um den physischen Zutritt zu sensiblen Bereichen, in denen sich Netzwerkausrüstung oder Daten befinden, zu beschränken.
• Umweltkontrollen: Schutz vor Umwelteinflüssen wie Feuer, Überschwemmungen und Stromausfällen durch Maßnahmen wie Brandschutzsysteme, Doppelböden in Rechenzentren und Notstromaggregate.
• Physisches Sicherheitspersonal: Einsatz von Sicherheitspersonal, um unbefugten Zutritt abzuschrecken, Überwachungssysteme zu kontrollieren und auf Sicherheitsvorfälle zu reagieren.
• Sichere Entsorgung von IKT-Ressourcen: Implementierung von Verfahren zur sicheren Entsorgung oder Zerstörung von IKT-Geräten, um eine mögliche Offenlegung sensibler Daten zu vermeiden.

Wichtiger Hinweis: Es ist wichtig zu beachten, dass diese Schlussfolgerungen und Beispiele auf der Interpretation der Grundsätze und allgemeinen Anforderungen der NIS2-Richtlinie basieren. Organisationen sollten ihre eigenen Risikobewertungen durchführen und Cybersicherheitsexperten konsultieren, um die für ihre spezifischen Bedürfnisse am besten geeigneten physischen Sicherheitsmaßnahmen zu bestimmen. Der offizielle Text der NIS2-Richtlinie bleibt die primäre regulatorische Referenz für jede Überprüfung.

[Callforaction-NIS2-Footer]