Sechs Schritte zum Erfolg Leitfaden zur NIS-2-Compliance bis Oktober

Anbieter zum Thema

Zscaler Germany GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Umsetzung eines über die Grenzen der EU reichenden Sicherheits­rahmens wie NIS 2 mag für viele Organisationen wie eine Mammut­aufgabe wirken. Sie bietet jedoch die Chance, höhere Sicherheitsstandards zu erreichen. Wir geben einen sechsstufigen Leitfaden zur Umsetzung der NIS-2-Anforderungen bis zum Stichtag im Oktober.

Die neue NIS2-Richtlinie macht IT-Sicherheit zu einer Führungsaufgabe, indem sie die Unternehmensleitung stärker in die Verantwortung nimmt. Führungskräfte können persönlich haftbar gemacht werden, wenn die Compliance nicht gewährleistet ist. Trotz möglicher Sanktionen erfordern die aktualisierten Vorschriften in der Regel keine vollständige Überarbeitung der Sicherheitsmaßnahmen. Stattdessen sollten sie als Prozess-Übung verstanden werden, um den Sicherheitsstatus zu verbessern.

Deutsches Gesetz zur NIS2-Richtlinie verabschiedet

Das Warten auf NIS 2 hat (fast) ein Ende

Die Richtlinie zielt hauptsächlich auf Organisationen im Bereich der kritischen Infrastrukturen ab, deren Cyber-Hygiene noch nicht ausgereift ist. Die Prozesse machen Sicherheitslücken transparent, die behoben werden müssen, um mit den sich ständig weiterentwickelnden Cyber-Angriffen Schritt zu halten. Diese kontinuierliche Weiterentwicklung der Sicherheit sollte der nächste logische Schritt auf der Roadmap sein, auf der sich viele Organisationen bereits seit Jahren befinden.

Sechsstufiger Leitfaden zur Umsetzung der NIS 2-Anforderungen bis zum Stichtag im Oktober

1. Schritt: Registrierung von Organisationen

Zunächst müssen Organisationen prüfen, ob sie von den neuen Vorschriften betroffen sind. Laut EU müssen mehr als 160.000 Unternehmen und 15 Sektoren NIS 2 einhalten. In Deutschland betrifft dies zwischen 30.000 und 40.000 Unternehmen. Für alle gelten strengere Anforderungen an das Risikomanagement, die Meldung von Vorfällen, eine breitere Abdeckung von Sektoren und härtere Strafen bei Nichteinhaltung. Jedes betroffene Unternehmen muss sich proaktiv in einem nationalen Portal registrieren. Obwohl diese Portale in vielen EU-Mitgliedstaaten noch nicht verfügbar sind, sollten sich die Organisationen bereits jetzt mit der Richtlinie und den lokalen Umsetzungsgesetzen vertraut machen. Sobald die Registrierung erfolgt ist, sollte ein Umsetzungsplan erstellt werden.

2. Schritt: Konformitätsprozess organisieren

Cybersicherheit sollte ernst genommen werden, besonders wenn ein Unternehmen eine gewisse Größe erreicht hat. Laut einer kürzlich von Zscaler durchgeführten Studie sind die ISO 27001-Zertifizierung, gefolgt von NIS und CIS die am häufigsten genutzten Frameworks. Organisationen ohne bestehende Zertifizierungen sollten NIS 2 als Ausgangspunkt nutzen. Bei einer erstmaligen Umsetzung der Anforderungen dieser Rahmenwerke ist der Prozess mit einigem Aufwand verbunden. Der Abgleich der Rahmenwerke untereinander ist ein guter Ausgangspunkt für den Konformitätsprozess. Solche Zuordnungen sind inzwischen öffentlich verfügbar oder können von Dienstleistern angefordert werden.

Die Anpassung an die Sicherheitsrahmenwerke auf EMEA-Ebene ist nichts, was die Unternehmensleitung ausschließlich an das Sicherheitsteam delegieren sollte. Wird eine Organisation bei der Nichteinhaltung der Vorschriften überführt, kann dies sowohl für die Organisation als auch für den Einzelnen finanzielle Folgen haben. Schwerwiegende Verstöße werden zukünftig durch drakonische Strafen geahndet werden können. Ein gut organisiertes Team mit dem nötigen Wissen und Erfahrung sollte den aktuellen Status und die vorhandenen Richtlinien prüfen.

3. Schritt: Einsetzen eines NIS 2-Teams

Die Verantwortung für den NIS 2-Umsetzungsprozess sollte beim CISO liegen, der die entsprechenden Schritte an ein Projektteam delegieren kann. Entscheidend ist, dass Fachexperten aus verschiedenen Teams innerhalb der Organisation in diese Projektgruppe geholt werden. Die Experten müssen nach Bedarf weitere Funktionen außerhalb des Sicherheitsbereichs abdecken, wie zum Beispiel das in Kapitel 4.2 der NIS 2 beschriebene interne Krisenmanagement. Gemäß den verschiedenen Abschnitten der NIS 2-Direktive muss der Projektleiter auch Fachexperten einbeziehen wie beispielsweise für Risiko & Compliance und CERT, das IT-Architekturteam und das Cloud- & Hosting-Team (zum Beispiel zur Abdeckung von NIS 2-Kapitel 2.1), das Team für Identitäts- & Zugriffsmanagement für NIS 2-Kapitel 2.3, das Netzwerkteam, das Team für physische Gebäudesicherheit (erforderlich in NIS 2-Kapitel 2.5) sowie die Verantwortlichkeiten für Business Resilience sowohl aus IT- als auch aus Geschäftssicht.

Bevor interne Teams gebildet werden, muss der Projektleiter die NIS 2-Dokumente aufschlüsseln, um eine optimale Vorgehensweise in allen Niederlassungen und bei Drittanbietern sicherzustellen. Eine verantwortliche Stabsstelle für die Überprüfung der Dokumente stellt sicher, dass sich die Organisation an einer einzigen Interpretation des Rahmens orientiert und nicht an mehreren Varianten in verschiedenen Regionen.

Viele große Unternehmen verfügen bereits über eine spezielle Abteilung innerhalb ihres Rechts- oder Sicherheitsteams, die sich mit Zertifizierungen und Audits befasst. Dieser Best-Practice-Ansatz sollte auch für die Einhaltung von NIS 2 übernommen werden. Diese Teammitglieder verfügen über ein umfassendes Verständnis der technischen Gegebenheiten und sind in der Lage, Bereiche des Unternehmens, in denen es an Sicherheit mangelt, viel schneller zu erkennen.

Für kleinere Organisationen, die weder über solche Ressourcen noch über das nötige Budget verfügen, empfiehlt sich das Bilden einer Arbeitsgruppe, die sich das prüfungsrelevante Wissen aneignet.

Kostenloses eBook „In zehn Schritten zur NIS-2-Konformität“

Best-Practice-Leitfaden zur NIS-2-Richtlinie

4. Schritt: Überprüfung der Bestandsverwaltung zur Bestätigung des Risikoprofils

Ein vollständiger Überblick über die eingesetzten Technologien und Anlagen in der IT-Umgebung ist essenziell. Eine zentrale Asset-Management-Lösung hilft, die Aufgabe zu bewältigen. Regelmäßige Übernahmen müssen in den Audit- und Compliance-Prozess integriert werden.

Einer der größten Aufwände im Rahmen von Audits zur Einhaltung von Vorschriften entsteht dadurch, dass die Teams aufgrund von Lücken in der Bestandsverwaltung keinen vollständigen Überblick über die eingesetzten Technologien und Anlagen in der IT-Umgebung haben. Je komplexer die IT-Infrastruktur ist, desto schwieriger fällt die Erfassung des Risikos aus. Wenn Unternehmen nicht wissen, was sie schützen müssen, wissen sie auch nicht, wie sie es schützen können.

Die organisatorische Komplexität kann den Compliance-Prozess zusätzlich erschweren, wenn beispielsweise die Geschäftsbereiche ihre eigenen unabhängigen IT-Governance-Prozesse haben. Das ist häufig der Fall, wenn Organisationen unterschiedliche Zuständigkeiten für IT- und OT-Workloads haben, die beide unter die NIS 2-Governance fallen. Das NIS 2-Projektteam muss alle Technologien einbeziehen und sie verstehen, um das vollständige Risikoprofil für das Unternehmen zu ermitteln.

Ein zentrales Asset-Management-System für alle Geschäfts- und Technologiebereiche hilft bei der Bewältigung der Aufgabe. Auf dem Markt sind mehrere Lösungen erhältlich, die den Prozess durch intelligentes Scannen und KI-basierte Datenanreicherung beschleunigen. Da viele Unternehmen auch durch regelmäßige Übernahmen wachsen, müssen die zugekauften Technologien ebenfalls in den Audit- und Compliance-Prozess aufgenommen werden.

5. Schritt: Die Übertragung vorhandener Prüfungsergebnisse in NIS 2

Wie erwähnt, müssen viele Unternehmen bereits Teile ihres Geschäfts mit anderen Verordnungen und Richtlinien in Einklang bringen. Diese Ergebnisse können wiederverwendet werden und sollten auf die entsprechenden NIS 2-Bereiche angewendet werden.

Wenn Organisationen erhebliche Lücken feststellen, muss das Projektteam einen Weg zur Erfüllung der Anforderungen in den verbleibenden Monaten planen. Es könnte sich lohnen, mit sachkundigen Partnern zusammenzuarbeiten, um die Anforderungen effizient zu erfüllen.

6. Schritt: Infrastrukturkomplexität reduzieren

Bisher wurde oftmals neue Technologie angeschafft, um Konformität zu erfüllen. Eine solche Strategie führt nicht selten dazu, dass Organisationen eine Fülle von technologischen Schulden in ihrer Infrastruktur angehäuft haben. Mit diesen Altlasten werden die meisten Sicherheitsteams im Zuge der Einhaltung von NIS 2 zu kämpfen haben. Als Ausweg aus dem Komplexitätsdilemma bieten sich Cloud-basierte Sicherheitsplattformen an. Diese vereinfachen die technische Komplexität, indem sie einen gemeinsamen Nenner für alle Niederlassungen schaffen und für Basishygiene bezüglich der Cybersicherheit sorgen.

Eine Konsolidierung der vorhandenen Technologie-Stacks wird diese Komplexität rasch reduzieren und den Compliance-Prozess in Zukunft reibungsloser gestalten. Ein bewährtes Verfahren ist die Kombination der drei bis fünf wichtigsten Security Plattformen in ein kombiniertes IT-Ökosystem. Dieses deckt dann die gesamte Cybersicherheits-Verteidigung, -Erkennung, -Reaktion, Täuschung und das Incident Response-Management für Arbeitsplatz-Geräte, lokale und Cloud-Workloads ab. Es ist wichtig, dass diese Plattformen über vordefinierte APIs reibungslos miteinander integriert werden.

Für Unternehmen mit Niederlassungen in mehreren Ländern in Europa und auf anderen Kontinenten ist die NIS 2-Compliance eine weitere Ebene der Komplexität. Selbst wenn die Geschäfte zentral von einem Standort aus geführt werden, muss jeder Außenstandort mit NIS 2 konform sein und mit der Sicherheitsperspektive des Hauptsitzes übereinstimmen.

eBook

In zehn Schritten zur NIS-2-Konformität

Konformität als Zukunftsgrundlage

Das Audit-Verfahren mag zwar langwierig und beängstigend erscheinen, die investierte Zeit lohnt sich aber, um das Risikoprofil einer Organisation besser zu verstehen. Viele Organisationen werden erstaunt sein über die Menge an betriebenen Technologie-Stacks und die Komplexität der damit einhergehenden inneren Abläufe. Da nur noch wenige Monate bis zum Inkrafttreten der NIS 2-Richtlinie verbleiben, ist es an der Zeit, die Grundlagenarbeit zu erledigen und Hektik gegen Ende der Umsetzungsfrist zu vermeiden. Die Bemühungen werden nicht umsonst sein, denn der tiefe Einblick in die Unternehmensprozesse könnte sich als Grundlage für künftige Investitionens­entscheidungen erweisen. Es lohnt sich jetzt die Weichen zu stellen für OT/IoT, 5G oder KI und die Infrastruktur sicher und zukunftsorientiert auszurichten.

Über den Autor: Christoph Schuhwerk ist CISO EMEA bei Zscaler.

(ID:50132796)