In zehn Schritten zur NIS-2-Konformität, Teil 2 NIS-2-Einführung ist keine Zauberei

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Diese Artikelserie erläutert die zehn Schritte, die erforderlich sind, um NIS-2-Konformität zu erreichen. Hier nun Teil 2.

Teil 1 dieser Serie erläuterte, wie es in puncto Cybersecurity zur „Anschnallpflicht“ für Unternehmen kam und warum NIS 2 zumindest indirekt – Stichwort: Lieferkette – erheblich mehr Unternehmen betrifft, als es zunächst den Anschein hat. Hier geht es für ein Unternehmen erstens darum, zunächst rechtsverbindlich zu klären, ob es von NIS 2 betroffen ist. Ist dies der Fall und hat man zweitens ein geeignetes Projektteam zusammengestellt, kann sich dieses um die nun anstehenden Schritte zur NIS-2-Konformität kümmern.

Ein wichtiger Hinweis vorab: Das von NIS 2 geforderte „Cyberrisikomanagement“ klingt nach einer sehr komplexen Aufgabe. Doch viele Experten betonen: Ein Unternehmen auf NIS-2-Kurs zu bringen ist kein Hexenwerk. Also nur Mut, NIS-2-Projektteams, ihr schafft das!

3. Schritt: Führungsebene schulen

NIS 2 macht Cybersecurity und Cyberrisikomanagement zur Chefsache. Der Fokus der Geschäftsleitung liegt jedoch in aller Regel auf dem Business und den Finanzen. Wie sehr das alles heute von IT abhängt, ist vielen Führungskräften gar nicht bewusst. Ein Experte berichtete im Interview vom Chef eines ambulanten Pflegedienstes, der aus allen Wolken fiel, als ein Ransomware-Angriff seinen Betrieb beinahe lahmlegte.

„In der Geschäftsführung und den oberen Leitungsebenen ist das Problembewusstsein oft noch nicht in ausreichendem Maße vorhanden“, konstatiert Tim Berghoff, Security Evangelist bei G Data. Es gilt also zunächst, für einheitliches Basiswissen und eine gemeinsame Sprache zu sorgen. Viele IT-Verantwortliche kennen diese Hürde noch aus Zeiten, als es um die Einführung eines IT-Servicemanagements gemäß ITIL ging oder um die Umsetzung der Datenschutz-Grundverordnung (DSGVO).

Berghoff rät zu Security-Schulungen, die auf die Zielgruppe Führungkräfte zugeschnitten sind. Schließlich müsse die Geschäftsleitung einschätzen können, wo Handlungsbedarf besteht. „Wenn ich mein Bedrohungsszenario nicht kenne“, so Berghoff, „dann brauche ich mir über Maßnahmen gar nicht erst Gedanken machen.“

Zusätzlich zur Security-Basisschulung und Awareness-Trainings für die Chefetage kann je nach Ausrichtung und Größe eines Unternehmens auch individuelles Consulting von Vorteil sein. Denn laut Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Hochschule Bremen, haftet ein Geschäftsführer für die NIS-2-Umsetzung im doppelten Sinne: erstens im Sinne einer „Wissenshaftung“: „Ich muss Entscheidungen, die ich zum Risikomanagement treffe, auch verstehen können“, sagt Kipker. Zweitens hafte ein Chef, der NIS 2 vernachlässigt, für entstandene Schäden („Innenhaftung“).

Mangelndes Engagement fällt einem also spätestens beim ersten größeren Sicherheitsvorfall auf die Füße. „Es ist auf jeden Fall sinnvoll, sich dazu beraten zu lassen“, sagt Andreas Schneider, Field CISO EMEA bei Lacework; ein weiterer Tipp: „Jeder Geschäftsführer sollte sich anschauen, ob man solche Vorfälle in die private Haftpflichtversicherung mit reinnimmt.“

4. Schritt: Security-Strategie kommunizieren

Ein Unternehmen muss also eine Security-Strategie erarbeiten oder seine bestehende gegebenenfalls überarbeiten. Es ist sinnvoll, dies frühzeitig im Haus zu kommunizieren. „Die Geschäftsleitung sollte alle Führungskräfte gleich zu Anfang informieren und dem auch Nachdruck verleihen: ‚Wir haben die Auflage, NIS 2 umzusetzen, und ich möchte, dass Sie mithelfen!‘“, rät Dr. Sebastian Schmerl, VP Security Services EMEA bei Arctic Wolf.

Ein wichtiger Baustein der Unternehmenssicherheit sind informierte und wachsame Beschäftigte. „Die NIS-Direktive umfasst 46 Artikel, davon sind sechs relevant für Unternehen, die Artikel 20 bis 25“, sagt Marco Eggerling, CISO Global bei Check Point. „Diese sollte jedes Unternehmen sozusagen ausgedruckt an der Toilettentür hängen haben, um die Relevanz zu verdeutlichen.“

Hilfreich ist es hier, Achtsamkeitsschulungen einzuführen, sofern sie im Haus nicht schon üblich sind. „Für die Belegschaft gibt es sehr schöne Awareness-Trainings“, sagt Schmerl, „am besten eignen sich alle 14 Tage kurze Trainingsclips.“ Auch dies sollte man rechtzeitig ankündigen.

Da heutzutage praktisch alles mehr oder weniger IT-gestützt abläuft, steht letztlich der gesamte Unternehmensalltag auf dem Prüfstand. „Man muss nicht jeden Stein umdrehen bei der Implementierung von Cybersicherheit, aber man schaut sich jeden Stein an“, sagt Robert Stricker, VP Security Consulting bei Materna. Bei einigen dieser Steine wird laut Stricker der Betriebsrat ein Wort mitreden wollen, z.B. bei Endpoint Protection, Security Monitoring oder der Auswertung von Awareness-Schulungen. „Da kann ich nur dringendst empfehlen, den Betriebsrat von Anfang an mit ins Boot zu holen“, sagt er, „denn man hat ja das gemeinsame Interesse, Schaden vom Unternehmen abzuwenden.“

Eine Hürde: Der Begriff „Detection“ wird oft mit „Überwachung“ übersetzt. „Da wird jeder Betriebsrat sofort aufspringen“, so Lacework-Fachmann Schneider. Es gehe aber nicht um Überwachung, sondern um Angriffserkennung. Er vergleicht die Angriffserkennung mit einem Rauchmelder und betont: „Man muss, um NIS 2 zu erfüllen, keine Mitarbeiter überwachen.“

Im laufenden Betrieb kann es sinnvoll sein, die Belegschaft regelmäßig über die Security-Lage zu informieren, z.B. in den Quartalsmeetings. „Ich würde aber kein ‚Riesending‘ daraus machen“, rät Schmerl, „sondern über das Thema so berichten wie über den Arbeitsschutz.“

5. Schritt: Risiken der Geschäftsprozesse und IT-Systeme analysieren

NIS 2 zielt im Kern auf ein Cybersecurity-Management unternehmenskritischer Prozesse ab. Deshalb besteht die erste große Aufgabe eines NIS-2-Projektteams darin, die Geschäftsprozesse – und unter diesen insbesondere die kritischen – zusammenzustellen, deren Abhängigkeit von den IT-Systemen zu ermitteln und hierzu Risiken wie auch Abhilfemaßnahmen zu erfassen.

„In vielen unserer Security-Projekte führen wir in den ersten Wochen nur eine Geschäftsprozessanalyse durch, weil dies im Unternehmen nicht vorhanden ist“, berichtet Materna-VP Stricker. „Welche Geschäftsprozesse habe ich, wie lassen die Prozesse sich auf die IT-Infrastruktur mappen? Hier sollte man mit einer Konsolidierung starten: Was nicht in diesem Mapping auftaucht, fliegt raus.“ Denn dies reduziere die Angriffsfläche und spare zugleich Kosten und Lizenzgebühren – also eine Win-Win-Situation.

Gerade in kleineren Unternehmen muss die NIS-2-Umsetzung aber nicht in eine wochen- oder gar monatelange Geschäftsprozess-Analyse ausarten. „Wir empfehlen eine einfache Methode der Risikobewertung: Eintrittswahrscheinlichkeit mal Schadenshöhe, vier Risikoklassen“, sagt Dirk Wocke, Compliance-Manager bei Indevis. Es gehe im Grunde nur um wenige Kernfragen: Welche Werte habe ich im Unternehmen, welche Bedrohungen, welche Schwachstellen, welche Maßnahmen, um diese Risiken zu minimieren? Reichen meine jetzigen Maßnahmen aus, um das Risiko zu bewältigen, oder muss ich mehr tun? „Dies kann man sogar in Excel abbilden“, beruhigt Wocke, „das ist kein Hexenwerk.“

Schmerl stimmt in puncto „kein Hexenwerk“ voll zu und rät, sich nicht zu verzetteln. „Vielen kommt es als Riesenherausforderung vor, ein Risikomanagement aufzusetzen“, sagt er, „das ist es aber eigentlich nicht.“ Erforderlich sind laut dem Arctic-Wolf-Experten vor allem zwei Dinge: erstens ein Verständnis der Anforderungen, also welche der hauseigenen Systeme in die NIS-2-Kategorie fallen; zweitens eine Governance-Struktur oder einfacher gesagt: ein Risikomanagement-Team aus den verschiedenen Fachbereichen.

„Risiko-Identifikation bedeutet im Grunde nur: Ich muss ein Inventar meiner geschäftskritischen Prozesse und zugehöriger Systeme erstellen“, so Schmerl weiter. Auch er rät hier im KMU-Segment schlicht zur Excel-Liste. Ebenso simpel sei die Bedrohungsanalyse: „Es geht vor allem um drei Fragen: A, wer hat physisch Zugang zum System? B, wer hat IT-technisch Zugang, wer kann sich einloggen? Und C, ist das System ans Internet angebunden? Weiter würde ich anfangs mit der Bedrohungsanalyse gar nicht gehen.“

Denn laut Schmerl scheitern die meisten derartigen Projekte daran, am Anfang zu viel erreichen zu wollen. Deshalb solle man „mit dem Breitschwert vorgehen, nicht mit der Pinzette“. Er rät, anfangs keine 100-Prozent-Lösung anzuvisieren, sondern eher eine 80-Prozent-, gegebenenfalls nur eine 60-Prozent-Lösung. „Wichtig ist: Ich brauche eine Strategie, um Risiken anzugehen“, sagt er und erläutert: „Zur Risikobehandlung muss ich einfach in jede Zeile meiner Excel-Liste schreiben, was beim jeweiligen Risiko mein Plan ist.“ Oft reichten dabei ganz einfache Mitigationsmaßnahmen.

Zum Thema Risikobewertung hat Check-Point-CISO Marco Eggerling zwei sehr hilfreiche Tipps. Erstens: „Sehr nützlich ist es hier, die Beschäftigten nach ihren ‚Bauchschmerzen‘ bei den Geschäftsprozessen zu fragen. Denn die Belegschaft kennt die Leichen im Keller ganz gut“, sagt er. „Bevor man also über Pen-Tests oder Red Teaming redet, sollte man die ‚Bauchschmerzen‘ der Mitarbeiter beheben und dabei mit dem kritischsten Geschäftsprozess anfangen. Wichtig: Das ist ein Marathon, kein Sprint!“

Seine zweite Empfehlung lautet, sich an einen Anbieter von Cybersecurity-Versicherungen zu wenden und zu erfragen: Was wären denn die zehn, 20, 50 Prüfkriterien, um meinem Unternehmen eine solche Versicherung zusprechen zu können? „Diese Punkte sollte das Unternehmen dann gestaffelt nach Kritikalität – also von sehr wichtig bis weniger wichtig – durchgehen“, rät Eggerling.

Es kann aber natürlich auch vorkommen, dass ein Unternehmen sich mit einem Risiko-Assessment überfordert fühlt, zumal es ja um die Risiken hausinterner und von außen bezogener IT-Services und deren Wechselwirkung geht. „Viele Unternehmen können das in Eigenleistung nur sehr schwer gewährleisten, weil die Expertise häufig fehlt“, sagt Tim Berghoff von G Data und nennt ein Beispiel: „Der Geschäftsführer kann nicht einfach zum IT-Leiter gehen und fragen: ‚Haben wir eine Schatten-IT?‘“

Berghoff rät deshalb dazu, im Zweifel Expertise von externer Seite hinzuzuziehen: „Ein Security-Dienstleister liefert im Idealfall Handlungsempfehlungen, an denen klar abzulesen ist, welche Maßnahmen zu ergreifen sind, zum Beispiel die Zahl möglicher Fehlversuche beim Remote Log-in zu begrenzen oder strengere Passwortrichtlinien einzuführen.“

Diese Maßnahmen sind dann in vielen Fällen schnell umgesetzt. Denn auch Passwortrichtlinien sind keine Zauberei.

---

Dieser Artikel ist Teil des Security-Insider eBook „In zehn Schritten zur NIS-2-Konformität“. Das ganze eBook können Sie hier nach Registrierung kostenlos downloaden!

Aktuelles eBook

In zehn Schritten zur NIS-2-Konformität

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Aber wie genau setzt man sie um? Dieses eBook erläutert die zehn Schritte auf dem Weg zur NIS-2-Konformität.

Die Highlights im Überblick:

• NIS2: Anschnallpflicht für Unternehmen
• Zehn wesentliche Schritte zur NIS-2-Konformität
• Nicht über Regulierung schimpfen, sondern handeln!

eBook „In zehn Schritten zur NIS-2-Konformität“ kostenlos downloaden

(ID:50185578)