In zehn Schritten zur NIS-2-Konformität, Teil 4 Keine Angst vor NIS 2!

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Diese Artikelserie erläutert die zehn Schritte, die erforderlich sind, um NIS-2-Konformität zu erreichen. Hier nun der abschließende Teil 4.

Teil 1 dieser Serie erläuterte, wie es in puncto Cybersecurity zur „Anschnallpflicht“ für Unternehmen kam und warum NIS 2 zumindest indirekt – Stichwort: Lieferkette – viel mehr Unternehmen betrifft, als es zunächst scheint. Teil 2 diskutierte Fragen des Cybersecurity-Grundwissens und der Risikoeinschätzung, Teil 3 hatte die Einführung eines ISMS (Information Security Management System) und die Risikoprüfung der Lieferkette zum Thema. Hier folgen nun Tipps, um bei den letzten drei Schritten zur NIS-2-Konformität nicht zu straucheln.

Schritt 8: Krisenmanagement-Prozess definieren

Ist ein ISMS etabliert und das Risikoprofil der Lieferkette geklärt, gilt es im Folgeschritt, einen Prozess für die Notfallreaktion zu etablieren. Ausgangspunkt ist laut Marco Eggerling, CISO Global bei Check Point, die Frage: Habe ich schon einmal einen Krisenprozess durchlaufen? Falls nicht, ist dieser nun zu etablieren. „Im Ernstfall muss man wissen, an welchem Stecker man ziehen muss, um das Netzwerk abzuschotten“, so Eggerling. „Im Großkonzern ist das ein Riesenproblem, im Mittelstand oft ebenfalls.“

Er rät jedem Unternehmen, ein Krisenmanagement-Team zu etablieren, das neben einem Vertreter der Geschäftsführung den Datenschutz- und den Security-Verantwortlichen umfasst, zudem Vertreter der IT- und der Personalabteilung. „Dieses Team sollte Ernstfallabläufe regelmäßig üben, zum Beispiel zweimal jährlich per Tabletop Exercise (Durchspielen eines Krisenszenarios, d.Red.), gegebenenfalls mit Unterstützung durch einen externen Dienstleister“, sagt er. Die Geschäftsführung müsse stets eingebunden sein und informiert bleiben. „Anschließend“, so Eggerling, „packt das Team die Dokumentation in einen knallgelben Ordner, der auch die Angaben zur Eskalationskette enthält.“ Schließlich ist ein Notfallplan wertlos, wenn er nach einem Ransomware-Angriff verschlüsselt auf einem Server ruht.

Auch Dirk Wocke, Compliance-Manager bei Indevis, rät zu solchen Planspielen, die aufzeigen: Wie kommunizieren wir, wenn das Netzwerk nicht mehr läuft? Sind uns die privaten Telefonnummern und privaten E-Mail-Adressen der Ansprechpartner im Krisenstab bekannt, können wir sie erreichen? Was müssen wir sofort machen, damit sich ein Angriff nicht ausbreitet? „Diese Abläufe sind individuell, je nach Unternehmen, je nach Krise“, sagt Wocke. „Ich muss im Rahmen des Krisenmanagements vorbereitet sein und die Abläufe üben, um adäquat, schnell und nach Plan vorgehen zu können.“

„Es ist ganz wichtig, Notfallpläne regelmäßig zu überprüfen und anzupassen“, ergänzt seine Kollegin Mareen Dose, Presales Consultant bei Indevis. „Denn Personalien können sich ändern, Prozesse und Systeme ebenfalls.“

Wie aber könnten solche Notfall- und Reaktionspläne bei einem Kleinunternehmen aussehen, das kein Krisenmanagement-Team aufbauen kann? Dr. Sebastian Schmerl, VP Security Services EMEA bei Arctic Wolf, rät KMUs erneut zum Standard-Tool, das schon zum Einsatz kam, um die Risiken zu ermitteln: „Hier trägt man in jede Zeile der Excel-Liste ein: Was mache ich, wenn dieser Ernstfall eintritt? Wer sind die Verantwortlichen, wer die Ansprechpartner, wer die Stellvertreter? Das ist eine Form eines leichtgewichtigen Notfall-Reaktionsplans.“ Schmerl bringt das auf die Formel: „Es geht letztlich darum, im Ernstfall den ‚Headless-Chicken-Modus‘ zu vermeiden.“

Das Schwierigste für KMUs wird es laut Einschätzung von Andreas Schneider, Field CISO EMEA bei Lacework, sein, dass mögliche kritische Sicherheitsvorfälle innerhalb von 24 Stunden zu melden sind. „Wichtig ist, dass man diese Meldepflicht erfüllen kann“, sagt er. „Das muss man aber auch schon für die DSGVO so handhaben.“ Wer einen Meldeprozess für die DSGVO hat, könne dort gut andocken.

„In vielen Unternehmen gibt es Personen, die von Meldepflichten bereits Ahnung haben“, ergänzt Robert Stricker, VP Security Consulting bei Materna. „Das kann der Datenschutzbeauftrage sein, je nach Branche bestehen aber noch ganz andere Meldepflichten, etwa in der Chemie- oder Lebensmittelbranche.“ Diese Personen sollte man in das Krisenmanagement einbeziehen.

Und natürlich ist bei einem Cyberangriff stets das IT-Team gefordert. „Es hat sich bewährt, sich hier an den Bereitschaftsdienst dranzuhängen“, sagt Andreas Schneier. Denn einen Incident-Managementprozess habe längst jeder Betrieb definiert. „In der Checkliste muss man dann fragen: Handelt es sich um einen betrieblichen oder möglicherweise auch um einen Sicherheitsvorfall? Man kann den Prozess also einfach erweitern“, so der Lacework-Experte.

„Ich muss einen sicherheitsrelevanten Vorfall bei der Behörde innerhalb von 24 Stunden melden, auch nach Feierabend oder an einem Feiertag“, mahnt Tim Berghoff, Security Evangelist bei G Data, und folgert mit Blick auf den IT-Personalnotstand: „Viele Unternehmen werden hier auf einen Dienstleister zurückgreifen müssen, der das ISMS betreut und in Echtzeit die Aktivitäten überwacht.“ Zahlreiche Unternehmen nutzen laut Berghoff bereits Incident-Response-Dienstleister auf Retainer-Basis mit garantierten Antwortzeiten und Service Level Agreements, um zeitnah auf Vorfälle reagieren zu können. „In diese Richtung wird es für den Mittelstand gehen“, sagt er.

Lacework-Mann Schneider sieht dies aber nicht als zwingende Notwendigkeit: „Wie bei der DSGVO läuft das Zeitfenster ab dem Zeitpunkt, ab dem der Vorfall bekannt wird.“ Wenn allerdings dann die Rückfrage kommt, wie man den Vorfall erkannt hat, dann sei „Zufall“ keine gute Antwort. „Eine 24/7-Überwachung erwartet man von einem KMU nicht, aber das Unternehmen muss zu den Bürozeiten in der Lage sein, das zu erkennen“, beschwichtigt Schneider. „Alles andere ist utopisch.“

Ob ein Unternehmen einen externen Dienstleister mit der laufenden Angriffsüberwachung beauftragt, hängt also mehr vom eigenen Sicherheitsbedürfnis ab als von den NIS-2-Vorgaben. Denn sinnvoll ist eine 24/7-Überwachung für viele Unternehmen auch unabhängig von NIS 2.

Schritt 9: Registrierung beim BSI als NIS-2-relevantes Unternehmen

Unternehmen müssen sich selbsttätig als von NIS 2 betroffene Organisationen registrieren. „Das ist wohl der einfachste Teil des NIS-2-Prozesses“, urteilt G-Data-Experte Tim Berghoff. „Ein Unternehmen muss sich gegenüber dem BSI oder der jeweils relevanten Behörde – in der Energiewirtschaft zum Beispiel ist das die Bundesnetzagentur – als kritisches Unternehmen identifizieren.“

Das Unternehmen müsse dazu seinen Namen angeben, eine ladungsfähige Adresse, die relevanten Webseiten und IP-Ranges sowie einen Ansprechpartner, der per Telefon und Email erreichbar ist. „Dieser Ansprechpartner muss dann aber eben auch immer auf dem Laufenden sein“, rät Berghoff. Die NIS-2-Meldestellen muss der Staat aber erst noch schaffen.

Schritt 10: Security als kontinuierlichen Prozess betreiben

Risikomanagement und Security sind keine Produkte, die man wie ein Auto kaufen könnte und dann einfach in die Garage stellt für den Fall, dass man’s mal braucht. Vielmehr müssen sie, da sind sich die Fachleute einig, Teil der Unternehmenskultur sein. Entsprechende Prozesse und Abläufe wollen nicht nur immer wieder geübt werden, sondern entwickeln sich auch weiter. Anlässe können Änderungen in der Organisationsstruktur ebenso sein wie neue IT- und OT-Systeme oder auch neue Angriffsweisen. Schließlich schläft ja auch die Angreiferseite nicht.

Nicht umsonst betonte Materna-VP Robert Stricker in Teil 1 dieser Serie zum Thema NIS-2-Projektteam: „Ein Projekt hat per Definition einen Start und ein Ende, das ist bei Cybersicherheit nicht der Fall.“ Seine Folgerung: „Ich sollte als Geschäftsführer informiert sein wollen über die Cybersicherheitsrisiken in meinem Unternehmen. Dazu muss ich eine Sicherheitsorganisation mit entsprechendem Personal aufbauen und Management Reviews aktiv einfordern.“

Neben regelmäßigen internen Audits kann gegebenenfalls eine ISO-27001-Zertifizierung für ein Unternehmen mit Blick auf künftiges Business von Nutzen sein. Schließlich dürften, wie bereits erwähnt, NIS-2-relevante Organisationen künftig entsprechende Nachweise vermehrt von ihren Zulieferern einfordern, z.B. eine ISO-27001-Zertifizierung. Diese aber ist nur befristet gültig und wird jährlich auditiert – auch daraus folgt also der Ruf nach einer lebendigen Security-Kultur.

Zudem sollten die Unternehmen laut Lacework-Fachmann Schneider eine weitere anstehende EU-Gesetzgebung im Hinterkopf behalten: „Nächstes Jahr kommt der Cyber Resilience Act, der voll auf digitale Produkte durchschlägt. Dann dürfen in Software keine Schwachstellen mehr enthalten sein, und man muss über viele Jahre eine Wartungsgarantie geben.“

Fazit: Nicht über Regulierung schimpfen, sondern handeln!

Zum Stichtag 18. Oktober steht zahlreichen Organsationen in Deutschland wie auch deren Zulieferern mit NIS 2 eine neue Regulierung zum Cyberrisikomanagement samt drohender Strafen ist Haus. Die vorliegende Liste der zehn wichtigsten Schritte zur NIS-2-Konformität bieten insbesondere kleineren und mittelständischen Unternehmen eine Hilfestellung.

Manch ein Entscheider sorgt sich sicherlich dennoch, den erforderlichen Aufwand nicht stemmen zu können. Was wäre ihnen zu raten? „Diese Unternehmen sollen ihre Hausaufgaben machen“, betont Andreas Schneider und führt aus: „Ich bin kein Freund von Regulierung. Regulierung bremst und ist immer langsam. Regulierung hat unglaublich viele negative Effekte. Aber die Wirtschaft hatte zwei Jahrzehnte Zeit, sich um das Thema zu kümmern. Wenn etwas läuft, wird es nicht reguliert.“

In puncto Cybersicherheit „läuft“ es aber eben nicht: „Wir haben immer mehr Incidents“, so Schneider weiter. „Sich vor Nation-State-Angriffen zu schützen, ist das eine, da sollte der Staat eine stärkere Rolle spielen. Aber dass es Kleinkriminelle so einfach haben, einen so großen wirtschaftlichen Schaden anzurichten, das darf nicht passieren. Das ist die Verantwortung der Wirtschaft, und da hat sie einfach kläglich versagt. Wer da nach weniger Regulierung schreit, muss sich an die eigene Nase fassen.“ Denn, so Schneider: „Wenn’s nach der Wirtschaft ginge, hätten wir noch heute keine Anschallpflicht im Auto.“

Deshalb heißt es nun: Anschnallen, Gas geben und durchstarten in Richtung Risikomanagement und Cybersecurity. Dies ist auch dann sinnvoll, wenn ein Unternehmen nicht als „wichtige“ Einrichtung gemäß NIS 2 gilt oder keine 50, sondern nur 49 Beschäftigte hat. Denn ist ein Unternehmen erst einmal Opfer von Ransomware & Co. geworden, dann landet es schnell im Straßengraben. Und hat der Geschäftsführer dabei auf den Sicherheitsgurt verzichtet, dann nutzt es bekanntlich auch nichts, sich am Lenkrad abzustützen.

---

Dieser Artikel ist Teil des Security-Insider eBook „In zehn Schritten zur NIS-2-Konformität“. Das ganze eBook können Sie hier nach Registrierung kostenlos downloaden!

Aktuelles eBook

In zehn Schritten zur NIS-2-Konformität

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Aber wie genau setzt man sie um? Dieses eBook erläutert die zehn Schritte auf dem Weg zur NIS-2-Konformität.

Die Highlights im Überblick:

• NIS2: Anschnallpflicht für Unternehmen
• Zehn wesentliche Schritte zur NIS-2-Konformität
• Nicht über Regulierung schimpfen, sondern handeln!

eBook „In zehn Schritten zur NIS-2-Konformität“ kostenlos downloaden

(ID:50185580)