NIS2 Überblick: Geschichte, wesentliche Inhalte und Bedeutung für das Topmanagement

NIS2 (die Richtlinie über Netz- und Informationssysteme 2) ist der neue EU-Rechtsrahmen für die Informationssicherheit in wichtigen Branchen.

Sie setzt neue Maßstäbe für Informationssicherheitsstandards, erweitert den Anwendungsbereich der ursprünglichen NIS, führt strenge Überwachungsmaßnahmen für die Einhaltung der Vorschriften und auch potenzielle Strafen für Verstöße ein. Ziel ist es, die europäische Informationsinfrastruktur besser zu schützen.

Besonders wichtig ist, dass die NIS2 nicht nur die Standards für die Cybersicherheit von Unternehmen festlegt, sondern auch die oberste Führungsebene für die Einhaltung dieser Standards verantwortlich macht. Nachlässigkeit oder unzureichendes Engagement für diese Vorschriften können erhebliche rechtliche Folgen haben. Wenn Sie bei der Umsetzung robuster Cybersicherheitsmaßnahmen, die den NIS2-Standards entsprechen, nicht die gebührende Sorgfalt walten lassen, kann die oberste Führungsebene persönlich für alle daraus resultierenden Sicherheitsmängel verantwortlich gemacht werden.

Die oberste Führungsebene eines Unternehmens sollte eine strategische Chance sehen, ihre Cyberverteidigung und Wachsamkeit zu verbessern - und nicht nur die Risiken und die zu erledigenden Aufgaben. In diesem Beitrag geht es um NIS2 im Allgemeinen und darum, warum die Übernahme dieser Verpflichtung durch die oberste Führungsebene der Weg zu Nachhaltigkeit und Erfolg Ihres Unternehmens im digitalen Zeitalter sein kann.

NIS2-Hintergrund

Die NIS2-Richtlinie, die die Nachfolge der ursprünglichen NIS-Richtlinie antritt, ist Teil der ehrgeizigen Pläne der Europäischen Union zur Gewährleistung eines hohen gemeinsamen Niveaus der Cybersicherheit in allen Mitgliedsstaaten. Ursprünglich wurde die NIS im Jahr 2013 vorgeschlagen, um ein einheitliches Konzept für die Cybersicherheit zu erreichen. Da Cyber-Bedrohungen jedoch immer komplexer und weit verbreiteter wurden, wurde die Notwendigkeit eines robusteren Rahmens deutlich, was zur Einführung von NIS2 führte. Diese aktualisierte Richtlinie zielt auf ein breiteres Spektrum von Sektoren ab und überträgt der obersten Führungsebene mehr Verantwortung, um die Umsetzung höherer Cybersicherheitsstandards zu gewährleisten, was die Bedeutung der Cybersicherheit im modernen digitalen Zeitalter widerspiegelt.

Trotz ihrer gut gemeinten Anfänge hatte die ursprüngliche NIS-Richtlinie mit mehreren Mängeln zu kämpfen, die ihre Wirksamkeit bei der Verwirklichung eines einheitlichen Konzepts für die Cybersicherheit in der EU beeinträchtigten. Zu diesen Unzulänglichkeiten gehörten:

• Unzureichender Anwendungsbereich: Die ursprüngliche NIS-Richtlinie galt nur für eine begrenzte Anzahl von Sektoren, so dass wichtige Bereiche der digitalen Wirtschaft durch Cyber-Bedrohungen gefährdet waren.
• Untätige Durchsetzung: Die Durchsetzung der Richtlinie war weitgehend uneinheitlich, was zu ebenso uneinheitlichen Cybersicherheitsstandards in den verschiedenen Staaten führte.
• Unzureichende Konzentration auf das Top-Management: Die Verantwortung der obersten Führungsebene für die Gewährleistung der Cybersicherheit wurde nicht ausreichend hervorgehoben, was dazu führte, dass die Verantwortung für Cyberrisiken auf strategischer Ebene nicht ausreichend wahrgenommen wurde.
• Mangelnde Klarheit: Viele Organisationen fanden die vagen Definitionen und unklaren Leitlinien schwierig zu interpretieren, was zu Unstimmigkeiten bei der Anwendung führte.

All diese Unzulänglichkeiten werden in der NIS2 angegangen und "behoben". Dies hat auch dazu geführt, dass viele Dinge nun im Detail in der eigentlichen Richtlinie definiert sind und weniger Spielraum für die Mitgliedsstaaten in der nationalen Gesetzgebung besteht.

Was sind die wichtigsten NIS2-Inhalte?

Die NIS2-Richtlinie enthält keine detaillierten Sicherheitsanforderungen für Organisationen, aber sie führt 13 Hauptbereiche der Informationssicherheit auf , für die Organisationen über dokumentierte Verfahren verfügen müssen. Dies sind die wichtigsten NIS2-Themen für reguläre Organisationen. Diese Verfahren können dann den Behörden vorgelegt oder z. B. im Rahmen eines Sicherheitsaudits auf ihre Umsetzung überprüft werden.

Die wichtigsten Inhalte von NIS2: 13 zu dokumentierende und zu implementierende Sicherheitsbereiche

NIS2 verlangt, dass Organisationen über dokumentierte Maßnahmen verfügen für:

• Risikomanagement und Sicherheit von Informationssystemen: Wie analysiert Ihre Organisation aktiv potenzielle Bedrohungen, um Sicherheitsrisiken zu erkennen, zu bewerten und zu beseitigen? Dies könnte die Verwendung von Vorlagen zur Risikobewertung, die Identifizierung entsprechend kompetenter Risikobewerter und die Dokumentation von Strategien zur Risikominderung umfassen.
• Vorfallmanagement und Berichterstattung: Die Maßnahmen, die Ihr Unternehmen ergreift, um potenzielle Sicherheitsvorfälle zu erkennen, zu verwalten und zu entschärfen, die auftreten können. Die Kommunikation spielt hier eine zentrale Rolle, denn es geht nicht nur darum, ein Problem zu erkennen, sondern auch darum, die erforderlichen Informationen umgehend an die richtigen Teams weiterzuleiten, um die Reaktionszeit zu verkürzen. Im Rahmen von NIS2 ist es auch erforderlich, größere Vorfälle an die nationale Aufsichtsbehörde zu melden.
• Protokollierung und Erkennung: Wie Ihr Unternehmen sicherheitsrelevante Ereignisse systematisch erfasst, analysiert und behandelt. Ihre Protokolle sollten nicht nur Sicherheitsvorfälle registrieren und dokumentieren, sondern auch genügend Details liefern, um die Korrelation von Ereignissen, die Erkennung von Anomalien und die Untersuchung von Vorfällen zu erleichtern.
• Geschäftskontinuität und Backups: Wie will Ihr Unternehmen sicherstellen, dass kritische Geschäftsvorgänge auch bei widrigen Ereignissen ohne Unterbrechung weiterlaufen können? Dies kann die Entwicklung umfassender Kontinuitätspläne, deren regelmäßige Überprüfung und die Schulung Ihrer Mitarbeiter beinhalten. Auch die Einführung und regelmäßige Prüfung robuster Backup-Prozesse ist ein wichtiger Bestandteil dieses Prozesses.
• Sicherheit und Überwachung der Lieferkette: Wie die Beschaffungsvereinbarungen Ihres Unternehmens und die Wahl der Partner ein akzeptables Sicherheitsniveau gewährleisten. So ist es beispielsweise wichtig, die Sicherheitsmaßnahmen von Drittanbietern sorgfältig zu prüfen, bevor Sie Outsourcing-Vereinbarungen abschließen. Genauso wichtig ist es, die Sicherheit Ihrer Lieferketten regelmäßig zu überwachen und sicherzustellen, dass alle Partner über ihre NIS2-Maßnahmen berichten können.  
• Sichere Systembeschaffung und -entwicklung: Wie Ihre Organisation die Sicherheit von Systemen, Anwendungen und Infrastrukturen während ihres gesamten Lebenszyklus erwirbt, entwickelt und verwaltet. Zu den Maßnahmen gehören z. B. die Einführung von Methoden und Architekturen, die Schwachstellen und Sicherheitsrisiken minimieren, die Anwendung robuster Sicherheitstests, Richtlinien für sichere Kodierung und Praktiken für kontrollierte Änderungen.
• Bewertung der Wirksamkeit von Sicherheitsmaßnahmen: Wie Sie die Cyberabwehr Ihres Unternehmens überwachen und testen und welche Verbesserungen Sie an Ihrer Informationssicherheit vornehmen. Dies kann Audits, die Verfolgung von Metriken, Managementüberprüfungen oder eher technische Ansätze wie Schwachstellen- oder Penetrationstests umfassen. Entscheidend ist, dass Sie sowohl die Umsetzung Ihrer Sicherheitsmaßnahmen als auch deren Wirksamkeit im Hinblick auf den tatsächlichen Schutz Ihres Unternehmens bewerten.
• Praktiken und Schulungen zur Cyber-Hygiene: Wie Sie auf allen Ebenen wirksame Praktiken der Cyber-Hygiene umsetzen. Dazu gehören Dinge wie die sichere Aufbewahrung von Geräten, die Durchsetzung guter Passwortpraktiken und der sichere Umgang mit E-Mails, um Phishing-Angriffe zu verhindern. Es geht darum, alle Mitarbeiter zu sicheren Arbeitsweisen anzuleiten und so eine Kultur der Informationssicherheit zu schaffen. Regelmäßige und umfassende Schulungen können dazu beitragen, dass alle Mitarbeiter die Cyberrisiken und ihre Rolle bei der Eindämmung dieser Risiken verstehen.
• Verschlüsselung: Wie digitale Informationen, insbesondere sensible Daten, in einen Code umgewandelt werden, um unbefugten Zugriff zu verhindern. Es ist wichtig, dass Sie verstehen, dass die Verschlüsselung nicht nur die sichere Kommunikation über verschiedene digitale Plattformen umfasst, sondern auch die effiziente Verwaltung der Verschlüsselungsschlüssel.
• Personalsicherheit: Wie stellt Ihr Unternehmen sicher, dass Mitarbeiter, Auftragnehmer und Drittnutzer ihre Verantwortung in Bezug auf die Informationssicherheit verstehen und wahrnehmen? Es ist unabdingbar, dass Unternehmen robuste Einstellungsverfahren, einschließlich Hintergrundüberprüfungen, entwickeln, um von Anfang an einen sicheren Personalstamm zu haben. Eine Kultur, die die Notwendigkeit von Informationssicherheit, verhältnismäßiger Überwachung und z. B. Geheimhaltungsvereinbarungen betont, kann eine Organisation weiter vor internen Bedrohungen schützen.
• Zugangskontrolle: Diese Maßnahmen beschreiben, wie Ihr Unternehmen entscheidet, wer Zugang zu welchen Informationen erhält. Dazu gehört die Einrichtung von Protokollen wie rollenbasierte Zugriffsverwaltung und regelmäßige Zugriffsüberprüfungen. Durch eine rollenbasierte Zugriffskontrolle kann sichergestellt werden, dass nur das erforderliche Personal Zugang zu sensiblen Daten hat, wodurch die Wahrscheinlichkeit eines versehentlichen oder vorsätzlichen Datenmissbrauchs verringert wird.
• Vermögensverwaltung: Wie Ihr Unternehmen seine Informationsbestände identifiziert und klassifiziert. Ein wichtiger Bestandteil dieses Prozesses ist die Klärung der Eigentumsverhältnisse und die Sicherstellung, dass der Eigentümer für den Schutz des Vermögenswertes verantwortlich ist. Außerdem muss sichergestellt werden, dass alle wichtigen Informationsbestände entsprechend klassifiziert und geschützt sind.
• Multi-Faktor-Authentifizierung (MFA): Die Art und Weise, wie Ihr Unternehmen zusätzliche Schutzebenen zu den Standardpasswortprotokollen verwendet. Diese verstärkte Bestätigung soll die Wahrscheinlichkeit von Netzwerkunterbrechungen und unbefugtem Zugriff verringern. Zu den verwendeten Methoden können neben der regulären Passworteingabe auch biometrische Verifizierung, Sicherheits-Token oder Textnachrichten gehören. Die breite Anwendung von MFA erfordert häufig auch die Schulung der Mitarbeiter in den entsprechenden Tools.

Besondere Anforderungen an die Meldung von Zwischenfällen und die Sicherheit der Lieferkette

Darüber hinaus bietet die NIS2 zusätzliche Maßnahmen für das Störfallmanagement und das Lieferkettenmanagement.

Anforderungen an die Berichterstattung über Vorfälle aus NIS2

Wichtig ist, dass die NIS2 anerkennt, dass es zu Zwischenfällen kommt und weiterhin kommen wird. Die Richtlinie dient nicht der Schuldzuweisung, sondern soll für Transparenz sorgen, die Vertrauenswürdigkeit aufrechterhalten und den Austausch von Informationen und bewährten Praktiken fördern, um die allgemeine Sicherheit zu erhöhen.

Organisationen sind verpflichtet, alle bedeutenden Sicherheitsvorfälle, die ihren Betrieb oder die in ihrem Besitz befindlichen Daten gefährden könnten, 24 Stunden, 72 Stunden und 30 Tage nach Entdeckung des Vorfalls den Behörden und Dienstnutzern zu melden.

Die ersten Berichte müssen grundlegende Informationen sowie eine Bewertung des Ausmaßes der Auswirkungen enthalten. Die zweite Meldung muss eine ausführliche Beschreibung des Geschehens, eine Ursachenanalyse und die aufgrund des Vorfalls getroffenen Maßnahmen enthalten.

Anforderungen der NIS2 an die Überwachung der Lieferkette

NIS2 verpflichtet Sie dazu, dafür zu sorgen, dass Ihre Lieferkette nicht das schwächste Glied in der größeren Cybersicherheitsmatrix ist. Es geht nicht mehr nur um Ihre unmittelbaren Betriebsabläufe; Ihr gesetzlicher Auftrag erstreckt sich auch auf Ihre Drittanbieter und Dienstleister.

Unternehmen müssen ein gutes Verständnis ihrer eigenen Lieferketten haben, vor allem, wenn es um die Beantwortung von Fragen geht wie: Wer sind die kritischen Akteure bei der Erbringung unserer Dienstleistungen, welche Art von Gewissheit haben wir über ihr Sicherheitsniveau und wie überwachen wir ihre Sicherheit und verpflichten sie zu bestimmten Maßnahmen?

Dadurch wird die Wirkung von NIS2 nicht nur auf die Unternehmen ausgedehnt, die direkt in den Anwendungsbereich von NIS2 fallen, sondern auch auf ihre wichtigsten Zulieferer.

NIS2-Überwachung in Kürze

Die ursprüngliche NIS wies eindeutige Unzulänglichkeiten bei der Überwachung auf. Die NIS2 versucht, dies zu vermeiden, indem sie klare Mindestmethoden für die Aufsicht auf Richtlinienebene festlegt und nur die Möglichkeit lässt, den nationalen Gesetzen mehr hinzuzufügen.

In den nationalen Gesetzen zur Umsetzung der NIS2 wird natürlich festgelegt, welche Behörden die Umsetzung der NIS2 im jeweiligen Land überwachen, und ob die Überwachung z. B. nach Branchen auf verschiedene Behörden verteilt ist.

In der Richtlinie werden die Mindestmethoden für die Durchführung der Überwachung festgelegt:

• Ersuchen um Informationen
• Ersuchen um detailliertere Nachweise
• Kontrollen vor Ort oder außerhalb des Unternehmens
• Detaillierte Sicherheitsaudits

Werden Verstöße festgestellt, werden z. B. folgende Methoden angewandt:

• Warnungen
• Verbindliche Anweisungen mit Fristen
• Geldbußen (max. 10 Mio. € oder 2% des weltweiten Jahresumsatzes)

Warum ist NIS2 für das Topmanagement von besonderer Bedeutung?

Die NIS2 sagt ganz klar, dass die oberste Leitung der Organisation für die Nichteinhaltung der Sicherheitsanforderungen von Artikel 21 verantwortlich gemacht werden kann. Nach der NIS2 ist die Rolle der obersten Führungsebene bei der Informationssicherheit also mindestens die folgende:

• Akzeptieren Sie die Sicherheitsmaßnahmen für die 13 aufgelisteten Themen - und bestätigen Sie, dass sie gut genug sind, um die Risiken für die Informationssicherheit unter Kontrolle zu halten
• Überwachung und Gewährleistung der Umsetzung dieser Sicherheitsmaßnahmen
• Überwachung der Sicherheitsmaßnahmen in der Lieferkette und Berichterstattung über Vorfälle

Um es klar zu sagen: Die Verantwortung der obersten Führungsebene im Rahmen von NIS2 geht weit über die bloße Information über Cybersicherheit hinaus. Es geht darum, zu handeln und Verantwortung zu übernehmen - Vorschriften umzusetzen, Risiken zu managen und bei der Reaktion auf Cybersicherheitsvorfälle die Führung zu übernehmen.

Darüber hinaus beteiligt sich die oberste Führungsebene an einer guten Informationssicherheitsarbeit in der Regel zumindest durch die Zuweisung von Ressourcen, die Festlegung von Sicherheitszielen und die Demonstration von Engagement für die Informationssicherheit im Allgemeinen.

All dies bedeutet, dass die Rolle der obersten Führungsebene sowohl eine rechtliche als auch eine ethische Verantwortung mit sich bringt. Die NIS2 erachtet die aktive Beteiligung und das Engagement der obersten Führungsebene als entscheidend für die Erreichung ihrer Ziele.

Wie sollten Sie Ihre Organisation vorbereiten? 3 Ebenen für Maßnahmen.

Leichtes Niveau: Dokumentieren Sie Ihre Verfahren, indem Sie geeignete Maßnahmen aus bewährten Verfahren herauspicken

Eine Möglichkeit, sich der NIS2 zu nähern, besteht darin, die gängigsten Best-Practice-Standards (z. B. ISO 27001 oder NIST CSF) zu vergleichen und dort nach detaillierteren Kontrollen für die Umsetzung der 13 Sicherheitsbereiche zu suchen.

Sie können sich dem Thema zumindest teilweise unter dem Gesichtspunkt nähern, was wir bereits getan haben, um schnell voranzukommen.

Der eindeutige Nachteil dieses Ansatzes ist, dass er nicht zu einer nachhaltigen und langfristigen Entwicklung Ihrer Informationssicherheit führt und als Dokumentationsübung endet.

Mittleres Niveau: Beginn des Aufbaus Ihres ISMS (auf der Grundlage bewährter Verfahren)

Ein ISMS (Informationssicherheits-Managementsystem) schafft einen systematischen Ansatz für die Informationssicherheit, indem es die mit der Informationssicherheit zusammenhängenden Aspekte an einer einzigen Stelle zusammenfasst, Ihnen hilft, Ihr aktuelles Sicherheitsniveau zu verstehen und eine gründliche Überwachung der Sicherheitsmaßnahmen ermöglicht.

Auf diese Weise können Sie die Einhaltung der Vorschriften langfristig aufrechterhalten und die Risiken für die Cybersicherheit verringern, indem Sie Ihre Sicherheitsmaßnahmen kontinuierlich verbessern.

Starkes Niveau: Zertifizieren Sie Ihr ISMS nach ISO 27001

Die Zertifizierung Ihres ISMS (z. B. nach ISO 27001) bedeutet, dass ein externer, akkreditierter Prüfer Ihr ISMS durchgesehen hat und sicherstellt, dass es den Anforderungen und Kontrollen des gewählten Rahmens entspricht.  

Dieser Ansatz bietet Vorteile wie den unbestreitbaren Nachweis eines guten Sicherheitsniveaus, den Sie nicht nur für NIS2-Überwachungsmaßnahmen nutzen können, sondern auch für jede Art von Verkaufs- oder Kooperationsbemühungen, die die Perspektive der Informationssicherheit betreffen.

Schlussfolgerung

Abschließend ist es gut zu verstehen, dass die NIS2-Richtlinie ein Teil des größeren Wachstums der digitalen Transformation in der Europäischen Union ist. Sie verlangt von den Unternehmen Klarheit - sie müssen dokumentieren, wie sie verschiedene Aspekte der Informationssicherheit umgesetzt haben, und hinter diesen Entscheidungen stehen. Außerdem verpflichtet sie die oberste Führungsebene zu einem völlig neuen Maß an Informationssicherheit.

Die umfassenden Sicherheitsmaßnahmen der Richtlinie und die Anforderungen an die Berichterstattung über Vorfälle unterstreichen die vorrangige Verlagerung hin zu mehr Transparenz, Rechenschaftspflicht und allgemeiner Widerstandsfähigkeit gegen Cyber-Bedrohungen. Die Umsetzung der NIS2 ist zweifellos mit erheblichem Engagement verbunden, doch überwiegen die Vorteile bei weitem die Kosten.

Die Einrichtung eines Informationssicherheits-Managementsystems (ISMS) ist ein bewährter Weg zum Erfolg, unabhängig davon, ob Sie sich dabei auf andere bewährte Verfahren stützen oder eine Zertifizierung nach ISO 27001 anstreben. Denken Sie jedoch daran, dass es sich um eine Reise und nicht um ein Rennen handelt. Eine schrittweise Strategie, die sich an den Kontext, die Kapazität und die Fähigkeiten Ihres Unternehmens anpasst, bietet nachhaltige Ergebnisse und trägt zu Ihrer langfristigen digitalen Integrität bei.