Wenn Ihr Unternehmen ein Schreiben vom BSI erhalten hat oder ein Kunde von Ihnen die Bestätigung verlangt hat, dass Sie die NIS2-Anforderungen erfüllen, war Ihre erste Frage vermutlich einfach: Gilt das überhaupt für uns? Die zweite Frage ist meist schwerer: Was genau müssen wir vorweisen, um es zu belegen?
NIS2 ist die Richtlinie der Europäischen Union zur Sicherheit von Netz- und Informationssystemen. Jeder Mitgliedstaat setzt sie in nationales Recht um, mit eigenen Registrierungsfristen, eigener Aufsichtsbehörde und eigenen Sanktionen, sodass die Einzelheiten von Land zu Land abweichen (in Deutschland erfolgt die Umsetzung zum Beispiel durch das NIS-2-Umsetzungsgesetz). Anders als die früheren Regeln, die einen relativ engen Kreis von Betreibern erfassten, bezieht der neue Rahmen viele mittelständische und sogar kleinere Unternehmen ein, die bisher bei Cybersicherheit an Virenschutz und Passwörter dachten.
In diesem Artikel gehen wir in einfacher Sprache durch, für wen die Anforderungen gelten, was sie in der Praxis bedeuten und welche Dokumente Sie brauchen. Am Ende: wo Sie anfangen, wenn Sie heute nichts haben.
Für wen NIS2 gilt: wichtige und besonders wichtige Einrichtungen
Die Richtlinie teilt Organisationen in zwei Gruppen ein: besonders wichtige und wichtige Einrichtungen. Der Unterschied liegt nicht im Inhalt der Anforderungen, sondern in der Strenge der Aufsicht und der Höhe der Sanktionen. Besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen meist erst nach einem Vorfall oder einer Beschwerde.
In welche Gruppe Sie fallen, bestimmen zwei Dinge: Sektor und Unternehmensgröße. Die Sektoren gliedern sich grob wie folgt:
- Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen und Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur (Rechenzentren, Cloud-Anbieter, DNS, elektronische Kommunikationsnetze), Management von IKT-Diensten (Anbieter von Managed Services und Managed Security Services), öffentliche Verwaltung, Weltraum.
- Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, chemische Industrie, Herstellung und Vertrieb von Lebensmitteln, verschiedene Fertigungsbranchen (Medizinprodukte, Elektronik, Fahrzeuge, Maschinen), digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.
Die Größenschwelle liegt in der Regel bei einem mittleren Unternehmen, also 50 Mitarbeitenden oder mehr bzw. einem bestimmten Jahresumsatz. Es gibt aber Ausnahmen: Manche Einrichtungen (zum Beispiel Anbieter elektronischer Kommunikation oder von Vertrauensdiensten) werden unabhängig von der Größe erfasst, und die Behörde kann auch ein kleineres Unternehmen einbeziehen, wenn es in einer Region der einzige Anbieter eines wichtigen Dienstes ist.
Nach unserer Erfahrung ist der häufigste Fall ein Fertigungs-, Logistik- oder Gesundheitsunternehmen mit 60 bis 200 Mitarbeitenden, das zum ersten Mal über den Fragebogen eines Kunden von NIS2 hört. Wenn das auf Sie zutrifft, sind Sie sehr wahrscheinlich eine wichtige Einrichtung. Da jeder Mitgliedstaat Einzelheiten zum Anwendungsbereich und zu den Fristen selbst festlegt, prüfen Sie die Regeln des Landes, in dem Sie tätig sind.
Was in der Praxis verlangt wird
Die Richtlinie schreibt keine bestimmten Technologien vor. Sie verlangt, dass ein Unternehmen Cybersicherheitsrisiken im Verhältnis zu seiner Größe und den Bedrohungen, denen es ausgesetzt ist, steuert. In der Praxis sind das fünf Bereiche.
Risikomanagement
Sie müssen wissen, welche Systeme Sie einsetzen, welche Daten sie enthalten, was sie bedroht und was Sie tun, damit diese Bedrohungen nicht eintreten. Formalisiert wird das in einem Risikoregister und in Sicherheitsrichtlinien: Zugriffskontrolle, Passwörter und Mehrfaktor-Authentifizierung, Updates, Netzwerksegmentierung, Einsatz von Kryptografie. Eine Risikobewertung ist die erste Aufgabe, und alles Weitere hängt von ihr ab.
Vorfallmanagement und Meldepflichten
Sie brauchen ein Verfahren dafür, wie ein Vorfall erkannt wird, wer dafür verantwortlich ist und wie er gemeldet wird. Die Meldefristen sind streng: eine Frühwarnung an das BSI innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Ohne einen im Voraus vorbereiteten Plan lassen sich diese Fristen kaum einhalten.
Sicherheit der Lieferkette
Ihre Verantwortung endet nicht an den eigenen Servern. Läuft Ihre Buchhaltung bei einem Cloud-Anbieter und betreut ein externes Unternehmen Ihre IT, müssen Sie deren Sicherheit bewerten und vertraglich festhalten. Das heißt: eine Lieferantenliste, eine Risikobewertung für jeden Lieferanten und Vertragsbedingungen zu Sicherheit, Meldung von Vorfällen und Auditrechten.
Backups und Betriebskontinuität
Ein Unternehmen muss den Betrieb nach einem Vorfall wiederherstellen können. Dafür braucht es Backups, die getrennt von der Hauptinfrastruktur aufbewahrt werden, und einen getesteten Wiederherstellungsplan. Ein Backup, das nie jemand wiederhergestellt hat, ist auf dem Papier nichts wert. Hier empfehlen wir oft unveränderliche Backups, die sich nicht ändern lassen und aus dem Netz nicht sichtbar sind, denn genau diese überstehen Ransomware-Angriffe.
Verantwortung der Geschäftsleitung
Das ist ein neues Element und für viele eine Überraschung. Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Bei Verstößen kann eine persönliche Haftung eintreten. In der Praxis bedeutet das, dass Sicherheitsthemen auf die Tagesordnung von Vorstands- oder Geschäftsleitungssitzungen gehören und Entscheidungen im Protokoll festgehalten werden müssen.
Welche Dokumente Sie brauchen
Bei einer Prüfung oder beim Ausfüllen eines Kundenfragebogens werden Dokumente verlangt, keine Geschichten. Der Mindestumfang, den wir jeder Einrichtung empfehlen:
- Eine von der Geschäftsleitung genehmigte Informationssicherheitsleitlinie.
- Ein Verzeichnis der Assets (Systeme, Geräte, Daten).
- Ein Bericht zur Risikobewertung und ein Risikoregister mit Verantwortlichen und Terminen.
- Eine Richtlinie zur Zugriffskontrolle und Nachweise über die Überprüfung von Zugriffsrechten.
- Ein Verfahren für das Vorfallmanagement mit Meldevorlagen und Kontakten.
- Ein Vorfallprotokoll (auch wenn es vorerst leer ist).
- Eine Backup-Richtlinie und Nachweise von Wiederherstellungstests.
- Ein Notfall- und Kontinuitätsplan.
- Eine Liste der Lieferanten, ihre Risikobewertung und Sicherheitszusätze zu den Verträgen.
- Ein Verfahren für Patch- und Schwachstellenmanagement.
- Nachweise über Schulungen der Mitarbeitenden und der Geschäftsleitung.
- Beschlüsse der Geschäftsleitung (Protokolle), die die Maßnahmen billigen.
Sie brauchen keine hundert Seiten Dokumente. Zehn kurze Dokumente, an die sich die Menschen tatsächlich halten, sind besser als ein dicker Ordner, den niemand gelesen hat.
Die Registrierung verdient eine eigene Erwähnung. Einrichtungen müssen sich in der vom BSI geführten Liste registrieren und Kontaktdaten angeben, über die Warnungen verschickt werden und über die die Behörde Sie nach einem Vorfall erreicht. Fristen und Verfahren hängen vom Land ab. Es ist ein einfacher Schritt, aber ohne ihn wirkt alles andere unbegonnen. Benennen Sie außerdem eine für Cybersicherheit verantwortliche Person und halten Sie das schriftlich fest, denn genau nach dieser Person wird die Behörde fragen.
Die häufigsten Fehler, die wir sehen
Erstens: mit Dokumenten statt mit der Realität anfangen. Eine kopierte Richtlinie, nach der überall Mehrfaktor-Authentifizierung aktiviert ist, obwohl sie nur für E-Mail eingeschaltet ist, schadet Ihnen bei einer Prüfung mehr als gar keine Richtlinie.
Zweitens: davon auszugehen, dass der IT-Dienstleister die Compliance für Sie „sicherstellt“. Ein Dienstleister kann die technische Seite in Ordnung bringen und die Dokumente vorbereiten, aber Verantwortung, Entscheidungen und die Einbindung der Geschäftsleitung bleiben beim Unternehmen.
Drittens: die Meldefristen für Vorfälle vergessen. Das Unternehmen hat hervorragenden Schutz, aber wenn ein Vorfall eintritt, weiß niemand, wer innerhalb von 24 Stunden wo melden muss.
Wo Sie anfangen
Wenn Sie heute nur Virenschutz und gute Absichten haben, sieht ein realistischer Weg so aus:
- Klären Sie, ob Sie eine betroffene Einrichtung sind und in welcher Gruppe. Im Zweifel prüfen Sie es besser, als es von der Behörde zu erfahren.
- Führen Sie eine Risikobewertung und eine Bestandsaufnahme der Assets durch. Sie bildet die Grundlage für alle anderen Dokumente und zeigt, wo die echten Lücken liegen.
- Bringen Sie die technischen Grundlagen in Ordnung: Mehrfaktor-Authentifizierung, Endpoint-Schutz, getrennt aufbewahrte Backups, ein Update-Prozess.
- Bereiten Sie ein Verfahren für das Vorfallmanagement vor und gehen Sie es gemeinsam mit der Geschäftsleitung „auf dem Papier“ durch.
- Sichern Sie die Einbindung der Geschäftsleitung: Richtlinien billigen, Schulungen einplanen, Sicherheit auf die Tagesordnung von Sitzungen setzen.
Wir können diesen ganzen Weg mit Ihnen gehen. Unsere NIS2-Compliance-Leistung umfasst die Prüfung des Einrichtungsstatus, die Risikobewertung, die Erstellung der Dokumente und die Umsetzung technischer Maßnahmen, und wenn Sie eine dauerhafte Sicherheitsleitung ohne Vollzeitstelle brauchen, hält CISO as a Service die Dokumente auch nach der Prüfung lebendig. Unser Team verfügt über gültige ISACA-Zertifikate, und wir erbringen unsere Leistungen nach den Anforderungen von ISO 27001, sodass wir wissen, was Auditoren fragen und was sie zuerst prüfen.
