Mobile-Menu

Verborgene Risiken und entscheidende Handlungsschritte Checkliste zur Umsetzung der NIS2-Anforderungen

Ein Gastbeitrag von Christopher Stradomsky 6 min Lesedauer

Anbieter zum Thema

msg systems ag
cyberintelligence.institute GmbH

Die NIS2-Richtlinie bringt weitreichende Änderungen für die Cybersicherheit in Europa mit sich. Zwei Jahre nach ihrer Veröffentlichung stehen viele Organisationen vor der Herausforderung, diese komplexen Anforderungen umzusetzen. Wir geben einen klaren Überblick über die versteckten Konsequenzen und praktische Hinweise zur erfolgreichen Anpassung an die neuen Regelungen.

Die NIS-2-Richtlinie soll die Cybersicherheit in Europa verbessern. Unsere „Checkliste zur Umsetzung der NIS2-Anforderungen“ soll einen ersten Überblick über relevante Themenfelder bieten. Sie erhebt keinen Anspruch auf Vollständigkeit, berücksichtigt auch nicht alle Aspekte, bietet jedoch einen guten Einstieg in das Thema!(Bild: Gorodenkoff - stock.adobe.com)
Die NIS-2-Richtlinie soll die Cybersicherheit in Europa verbessern. Unsere „Checkliste zur Umsetzung der NIS2-Anforderungen“ soll einen ersten Überblick über relevante Themenfelder bieten. Sie erhebt keinen Anspruch auf Vollständigkeit, berücksichtigt auch nicht alle Aspekte, bietet jedoch einen guten Einstieg in das Thema!
(Bild: Gorodenkoff - stock.adobe.com)

Das NIS2-Umsetzungs- und Cybersicherheitsgesetz (NIS2umsuCG) sieht weitreichende Änderungen vor und modernisiert grundlegend das BSI-Gesetz, das wir im Folgenden als „BSIG (neu)“ bezeichnen. Da die EU-Richtlinie NIS-2 bis zum 17. Oktober 2024 in nationales Recht umgewandelt werden muss und der Gesetzesentwurf keine Übergangsfrist vorsieht, ist es dringend notwendig, sich mit den Änderungen zu beschäftigen, auch wenn Bundestag und Bundesrat das Gesetz vermutlich erst im März 2025 final verabschieden werden.

Im §30 BSIG (neu) werden zentrale Anforderungen für „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ festgelegt

  • Risikomanagement (Abs. 2 Nr. 1)
  • Vulnerability Management und Incidentmanagement (Abs. 2 Nr. 2)
  • Business Continuity Management (Abs. 2 Nr. 3)
  • Dienstleistersteuerung/ Lieferantenmanagement (Abs. 2 Nr. 4)
  • Beschaffungsprozesse sowie ein allgemeines ISMS (Abs. 2 Nr. 5)
  • Prozesse zur Wirksamkeitsanalyse (Abs. 2 Nr. 6)
  • Awareness- und Schulungskonzept zur Cyberhygiene (Abs. 2 Nr. 7)
  • Konzept zum Einsatz von Kryptographie (Abs. 2 Nr. 8)
  • Zutrittssteuerung, Personalsicherheit, Rollen- und Rechtekonzepte, Zugriffssteuerung sowie Perimetermanagement (Abs. 2 Nr. 9)
  • Einsatz von MFA, Authentisierungskonzept (Abs. 2 Nr. 10)

Diese Schwerpunkte spiegeln sich in jedem umfassenden Informations­sicherheits­management­system wider. Zusätzlich fordert §30 Abs. 2 BSIG (neu) die Einhaltung des Stands der Technik, unter Berücksichtigung europäischer und internationaler Standards. Unternehmen müssen risikoorientier eine Quelle identifizieren, die zu ihrer Branche und den Anforderungen passt, sofern diese nicht gesetzlich vorgegeben sind.

Darüber hinaus dürfen „besonders wichtige“ und „wichtige Einrichtungen“ gemäß §30 Abs. 6 BSIG (neu) ausschließlich IKT-Produkte, IKT-Dienste und IKT-Prozesse einsetzen, die über eine Cybersicherheitszertifizierung der europäischen Cybersicherheitsagentur (ENISA) gemäß Artikel 49 der Verordnung (EU) 2019/881 (auch Cybersecurity Act) verfügen. Welche konkreten Produkte, Dienste und Prozesse hiervon betroffen sind, soll das Bundesinnenministerium durch Verordnung festlegen. Da es noch keine veröffentlichten Schemata gemäß Artikel 49 des Cybersecurity Acts gibt, können derzeit keine IKT-Produkte, -Dienste oder -Prozesse zertifiziert werden.

Wie eine „besonders wichtige“ oder „wichtige Einrichtung“ vorgehen kann, zeigt unsere Checkliste weiter unten.

Konsequenzen für „wichtige“ und „besonders wichtige Einrichtungen“

Regelmäßige Nachweise über die Erfüllung der Anforderungen müssen „besonders wichtige“ und „wichtige Einrichtungen“ zwar nicht proaktiv an das BSI übermitteln. Dennoch ist es ratsam über objektive Überprüfungen der Umsetzung durch qualifizierte Dritte nachzudenken, um auf eventuelle Nachfragen oder Kontrollen vorbereitet zu sein.

Wenn die Anforderungen des NIS2umsuCG nicht erfüllt werden oder kein objektiver Nachweis vorliegt, können nach §65 BSIG (neu) Bußgelder verhängt werden. Besonders interessant sind jedoch auch sekundäre Konsequenzen. Bei einigen Versicherern kann im Falle eines Vorfalls die Zahlung der vereinbarten Summen verwehrt werden, wenn keine Gesetzeskonformität nachgewiesen werden kann.

Die allgemeinen Versicherungsbedingungen (AVB) des Gesamtverbands der Versicherer gibt eine Empfehlung zu den AVB einer Cyber-Security Versicherung aller Versicherer heraus. Die meisten Versicherer halten sich sogar im Wortlaut an diese Empfehlungen. So heißt es zum Beispiel in A.1-16.2 a „Darüber hinaus hat der Versicherungsnehmer alle gesetzlichen, behördlichen sowie vertraglich vereinbarten Sicherheitsvorschriften einzuhalten.“ Das NIS2umsuCG (bzw. das BSIG) kann als gesetzliche Sicherheitsvorschrift gewertet werden. Der darauffolgende Absatz A.1-16.3 verweist sodann bei Nichteinhaltung auf B.3-4, welcher die Szenarien „Kündigung“ und „Leistungsfreiheit“ bereithält.

Ebenso bietet der GDV eine AVB für die allgemeine Betriebs­unterbrechungs­versicherung. So werden in den „Allgemeine Feuer-Betriebsunterbrechungs-Versicherungs-Bedingungen“ unter §8 des Abschnitts B die Obliegenheiten des Versicherungsnehmers wie folgt angegeben: „Vertraglich vereinbarte Obliegenheiten, die der Versicherungsnehmer vor Eintritt des Versicherungsfalles zu erfüllen hat, sind […] die Einhaltung aller gesetzlichen, behördlichen sowie vertraglich vereinbarten Sicherheitsvorschriften […]“. Betriebs­unterbrechungs­versicherungen werden im Falle einer Unterbrechung auf Basis von natürlichen Gefährdungen ausgezahlt. Hierbei können zusätzlich Cybergefahren, wie Verlust, Veränderung oder Nichtverfügbarkeit von Daten und Programmen mitversichert werden. Ähnliche Ausschlüsse finden sich in den AVB vieler Versicherungen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Neben dem Bußgeldrisiko bei Non-Compliance ist dieses geschäftliche Versicherungsrisiko ein weiterer entscheidender Grund für Unternehmen, die in die Kategorie „besonders wichtige“ oder „wichtige Einrichtungen“ fallen, über unabhängige Nachweise der Einhaltung der BSIG (neu)-Anforderungen nachzudenken.

Checkliste zur Umsetzung der Anforderungen

Die nachfolgende Checkliste erhebt keinen Anspruch auf Vollständigkeit, sondern soll einen ersten Überblick über relevante Themenfelder bieten. Sie berücksichtigt nicht alle Aspekte, bietet jedoch einen Einstieg und bettet sich hervorragend in die sechs Schritte des Artikels von Christoph Schuhwerk vom 19.08.2024 ein.

Checkliste zur Umsetzung der NIS2-Anforderungen

Risikomanagement
☐ Orientiert sich das Risikomanagement an einem anerkannten Standard, wie z. B. BSI-Standard 200-3 oder ISO/IEC 27005?
☐ Können auf Basis der gewählten Risikomethodik unterschiedliche Personen zu vergleichbaren Ergebnissen kommen?
☐ Ist die gewählte Methodik auch für adhoc-Gefahrenbewertungen geeignet?
☐ Ist es prozessual vorgesehen, die Risikoanalysemethodik als Entscheidungsgrundlage zu verwenden?
☐ Wird ein vollständiges Gefährdungsbild betrachtet? (z. B. orientiert an den elementaren Gefährdungen des IT-Grundschutz Kompendiums)

Vulnerability Management und Incidentmanagement
☐ Sind Mechanismen eingerichtet, die sicherstellen, dass zeitnahe aus verschiedenen Quellen bekanntgewordene Schwachstellen bewertet werden können? (Hersteller, CVE-Listen, Presse, BSI-CERT Newsletter, …)
☐ Sind Ressourcen geschaffen, um die Schwachstellen bewerten zu können?
☐ Existiert eine Protokollierungsinfrastruktur mit automatisierter Auswertung und Alarmierung?
☐ Falls ja, verfolgt die Protokollierungsinfrastruktur einen konzeptionellen Ansatz?
☐ Existiert ein Prozess zum Incidentmanagement (Erfassung, Bewertung, Ursachenanalyse, Behebung, Dokumentation)?
☐ Ist die Protokollierungsinfrastruktur mit dem Prozess zum Incidentmanagement verbunden?

Business Continuity Management
☐ Sind alle Geschäfts- und Unterstützungsprozesse bekannt und dokumentiert?
☐ Sind tolerierbare Ausfallzeiten für diese Geschäfts- und Unterstützungsprozesse identifiziert?
☐ Existiert eine Übersicht von Abhängigkeiten der Prozesse mit Blick auf Anwendungen, Systemen, Räumen, Gebäuden?
☐ Sieht das Notfallmanagement eine Definition von „Notbetrieb“ vor?
☐ Wurde der Notbetrieb für mindestens die kritischsten Geschäftsprozesse identifiziert?

Dienstleistersteuerung / Lieferantenmanagement
☐ Existiert eine vollständige Liste aller aktiven Vertragsbeziehungen?
☐ Sind die vertraglich eingeräumten Rechte, wie das Auditrecht, vorhanden?
☐ Wurden Dienstleister und Dienstleistungen hinsichtlich ihres Einflusses auf die Geschäftsprozesse bewertet?
☐ Werden angemessene Sicherheitsvorgaben entlang der Lieferkette umgesetzt?
☐ Werden diese Sicherheitsvorgaben regelmäßig auf Umsetzung/Einhaltung überprüft?

Beschaffungsprozesse
☐ Werden Anforderungen aller internen Stellen (ISB, DSB, …) erhoben, bevor eine Dienstleistung beauftragt wird?
☐ Sieht der Beschaffungsprozess von Material den Abgleich mit der Liste gem. §30 (6) BSIG (neu) vor?
☐ Sind sicherheitskritische Materialien in der Beschaffung eingeschränkt auf minimale Anforderungen oder Hersteller?

Konzept zum Einsatz von Kryptographie
☐ Wurde ein „Stand der Technik“-Standard identifiziert und als Grundlage festgelegt? (z.B. BSI TR-02102 Teil 1 bis 4)
☐ Liegt eine Übersicht aller eingesetzter kryptographischer Methoden vor?☐
☐ Sind die zu verwendenden Algorithmen organisatorisch eingeschränkt worden?

Zutritts-/Zugangs-/Zugriffssteuerung (Access-Control)
☐ Falls ein elektronisches Schließsystem verwendet wird: Ist bekannt, welcher Chip durch das System verwendet wird? Wurde geprüft, ob dieser als gebrochen gilt?
☐ Folgt das Access-Control-Management dem Need-to-know Prinzip? (Rechteeinschränkung auf das Minimum)
☐ Ist ein Rollen- und Rechtekonzept erstellt worden?

Über den Autor: Christopher Stradomsky ist Cybersecurity-Experte bei msg systems.

In zehn Schritten zur NIS-2-Konformität


Das ganze Security-Insider eBook „In zehn Schritten zur NIS-2-Konformität“ können Sie hier nach Registrierung kostenlos downloaden!

Aktuelles eBook

In zehn Schritten zur NIS-2-Konformität

eBook NIS2
eBook „In zehn Schritten zur NIS-2-Konformität“
(Bild: Security-Insider)

Die NIS-2-Richtlinie soll das Cybersicherheitsniveau des EU-Wirtschaftsraums stärken – ein dringend nötiges Vorhaben. Aber wie genau setzt man sie um? Dieses eBook erläutert die zehn Schritte auf dem Weg zur NIS-2-Konformität.

Die Highlights im Überblick:

  • NIS2: Anschnallpflicht für Unternehmen
  • Zehn wesentliche Schritte zur NIS-2-Konformität
  • Nicht über Regulierung schimpfen, sondern handeln!

eBook „In zehn Schritten zur NIS-2-Konformität“ kostenlos downloaden

(ID:50208400)

Weiterführende Inhalte