Sicherheitsstrategie NIS2: Fünf Maßnahmen, die Unternehmen jetzt umsetzen müssen

Anbieter zum Thema

indevis GmbH

d.velop AG

Kendox AG

xSuite Group GmbH

Die Neufassung der EU-Direktive NIS2 erhöht nicht nur die Mindestanforderungen an die Cybersicherheit, sie betrifft auch deutlich mehr Unternehmen als zuvor. Welche fünf wichtigen Maßnahmen Verantwortliche jetzt einleiten sollten. 

Im Oktober 2024 ist es so weit: Die neue EU-Richtline NIS2 ist dann in nationales Recht überführt und verpflichtet eine deutlich höhere Anzahl an Unternehmen in Deutschland zu höherer Widerstandsfähigkeit gegenüber Cyberbedrohungen. Dies bedeutet, dass auch kleinere und bisher nicht dem KRITIS-Bereich zugeordnete Unternehmen festgelegte Maßnahmen für verbesserte Cybersecurity umsetzen müssen. Daher sollten sich Verantwortliche schon jetzt mit folgenden Maßnahmen auf die NIS2-Konformität vorzubereiten.  

1. Ermitteln, ob das Unternehmen von NIS2 betroffen ist

Die NIS2-Richtlinie erweitert die KRITIS-Sektoren von elf auf achtzehn. Auch kleine Firmen und Organisationen können nun als für die Allgemeinheit wichtige Einrichtungen eingestuft werden. Dies verpflichtet deutlich mehr Organisationen als bisher zur Umsetzung der NIS2-Vorgaben. Ein erster Weg zu ermitteln, ob das eigene Unternehmen betroffen ist, bieten im Internet verfügbare Online-Checks. Jedoch ist hier Vorsicht geboten. 

Denn auch wenn sich die Analyse auf den ersten Blick als negativ erweist, kann es sein, dass man unter NIS2 fällt. Beispielsweise dann, wenn man als Lieferant oder über die eigenen Lieferantenbeziehungen zu NIS2-Maßnahmen verpflichtet ist. Um sicher zu sein, ist es daher sinnvoll, juristische Expertise oder einen erfahrenen Managed Security Service Provider (MSSP) an Bord zu holen. Sollte infolge der NIS2-Betrachtung der Aufbau einer Sicherheitsstrategie in Form eines ISMS (Information Security Management System) beschlossen werden, hat ein MSSP den Vorteil, dass dieser seine Erfahrung einbringen kann und beratend zur Seite steht.

2. Sensibilisierung der Geschäftsführung

Die NIS2-Direktive macht Geschäftsführer persönlich haftbar, wenn es zu einem Sicherheitsvorfall kommt, weil im Unternehmen Security-Vorgaben missachtet wurden. Zudem erlischt in diesem Fall auch der Versicherungsschutz: Sowohl Cybersecurity-Versicherungen für Unternehmen als auch Geschäftsführerversicherungen beziehungsweise D&O-Versicherungen (Directors & Officers Liability Insurance) unterstellen bei fehlenden Security-Systemen zur Angriffserkennung Fahrlässigkeit. Die Verantwortung für die Sicherheit obliegt damit der Geschäftsführung, nicht etwa den IT-Experten einer Organisation. 

Führungsriegen in Unternehmen sollten sich daher umgehend informieren, was aufgrund der NIS-Bestimmungen von ihrem Unternehmen erwartet wird. Hierfür stehen ihnen webbasierte Kurse, aber auch die Expertise externer IT-Berater zur Verfügung. Wichtig ist, dass sie ein Bewusstsein dafür entwickeln, was auf dem Spiel steht und welche Strafen im Ernstfall im Raum stehen. Um dieses Bewusstsein auch in der Firma zu verankern, sollten im zweiten Schritt zielgruppenspezifische Schulungen in den einzelnen Abteilungen erfolgen. Auf diese Weise erhalten alle, die mit der Umsetzung der Sicherheitsmaßnahmen befasst sind, die gleiche Grundlage.  

3. Verantwortliche für die NIS2-Konformität bestimmen

Ist die Geschäftsführung für NIS2 sensibilisiert, wird es einfacher, das Thema Sicherheit im gesamten Unternehmen zu verankern. Denn die Initiative zur Einführung umfassender Maßnahmen geht nun von ganz oben und nicht mehr allein von der IT-Abteilung aus. Der nächste Schritt ist jetzt eine Gap-Analyse – wenn nötig mit externer Hilfe – um herauszufinden, welche Maßnahmen und Security-Systeme oder Tools noch fehlen und wer welche Herausforderungen lösen kann. Diese Unterstützer sind meist mehrere Personen im Unternehmen, beispielsweise der Einkauf, der die Lieferanten steuert oder das Marketing, das die Krisenkommunikation beherrscht.

Ist im Unternehmen ein Qualitätsmanagement-Beauftragter vorhanden, kann dieser beispielsweise Teile der Funktion des Informationssicherheitsbeauftragten (ISB) übernehmen, der sich leitend um die Implementierung von Sicherheitsrichtlinien kümmert. Gibt es im eigenen Unternehmen keinen Mitarbeiter mit den notwendigen Qualifikationen, können Verantwortliche auch einen externen Experten für diese Position engagieren. Auf diese Weise entsteht ein unternehmensübergreifendes Sicherheitsteam, das sich von der Geschäftsführung gesteuert kompetent um das Thema Informationssicherheit kümmert.

4. Zeitplan und Budget für die Umsetzung festlegen

Das Unternehmen im Sinne von NIS2 mit einem Information-Security-Management-System (ISMS), das Regeln, Prozesse und Tools für die Informationssicherheit umfasst, wasserdicht zu machen, kostet Zeit. Fällt eine Firma unter die neue Richtlinie, sollte sie nicht nur ein ausführendes Expertenteam parat haben, das sich um die Einführung oder Erweiterung des ISMS kümmert. Wichtig ist auch, der Belegschaft zu vermitteln, dass NIS2 und damit die Cybersicherheit eine zentrale Rolle spielen und entsprechende Vorgaben einzuhalten sind. Durch Abstimmungsprozesse, das Erstellen von Richtlinien und Schulungen kann sich diese Phase durchaus hinziehen – was wiederum im Budget berücksichtigt sein sollte. 

Wer eine Zertifizierung nach DIN ISO/IEC 27001:2022 seines ISMS anstrebt, sollte – abhängig vom individuellen Reifegrad – mit zirka ein bis zwei Jahren Einführungszeit rechnen. Eine Zertifizierung ist nicht vorgeschrieben, kann aber mit Blick auf zukünftige Compliance-Vorgaben sinnvoll sein und erleichtert es außerdem, gegenüber Kunden, Lieferanten oder dem BSI (Bundesamt für Sicherheit in der Informationstechnik) nachzuweisen, dass ein vorgabenkonformes ISMS im Einsatz ist.  

5. Meldekette für den Ernstfall definieren 

NIS2 schreibt vor, dass ein Sicherheitsvorfall innerhalb von 72 Stunden zu melden ist und eine Evaluation nachgereicht werden muss. Neben den notwendigen Tools für die Angriffserkennung – Incident Management, Endpoint Security oder Managed Detection & Response (MDR) Services – benötigen Unternehmen auch interne Richtlinien, die vorschreiben, wie Sicherheitsvorfälle gemeldet werden müssen. 

Ein Notfallplan, der beschreibt, was im Ernstfall zu tun ist, sollte vorliegen – möglichst auch in physischer Form, damit er bei einem Angriff nicht durch Verschlüsselung unzugänglich gemacht werden kann. Dieser Notfallplan legt Verantwortlichkeiten und Abläufe fest. Im Rahmen von Notfallübungen oder Planspielen lassen sich diese Abläufe überprüfen und verfestigen, sodass die Organisation auch auf individuelle Krisensituationen optimal vorbereitet ist.

Bei NIS2-Konformität auf externe Expertise setzen

Die NIS2-Richlinie nimmt weitaus mehr Unternehmen als zuvor in die Pflicht. Daher sollten Geschäftsleitungen jetzt prüfen, ob sie von den neuen Bestimmungen betroffen sind. Per Top-Down-Ansatz, mit dem richtigen Team und unter Einbeziehung externer Expertise eines erfahrenen Managed Security Service Providers meistern Unternehmen die Anforderungen der neuen Direktive zeitgerecht und ohne Hindernisse. Damit machen sie ihre Organisation resilient gegen Cyberbedrohungen – aktuell und für die Zukunft sowie im Sinne von NIS2.

Cybersecurity

SaaS: Drei Tipps für die sichere Nutzung von Cloud-Anwendungen