IT-Sicherheit ist kein Termingeschäft Sechs Tipps zur NIS2-Readiness

Anbieter zum Thema

NOVATEC Consulting GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Bedrohung durch Cyberangriffe steigt, und Unternehmen müssen sich dringend auf die NIS2-Richtlinie vorbereiten. In sechs Schritten, von der Sensibilisierung des Managements bis hin zu Trainingsmaßnahmen, können IT-Sicherheitsteams ihre NIS2-Readiness verbessern und Haftungsrisiken minimieren.

Laut dem Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist die Bedrohung im Cyberraum so hoch wie nie zuvor. Besonders Ransomware-Attacken nehmen gravierend zu. Die Europäische Union will mit der NIS2-Richtlinie insbesondere kritische Infrastrukturen besser absichern. Doch wie und wann gehen Unternehmen das Thema NIS2-Readiness richtig an?

Kostenloses eBook „In zehn Schritten zur NIS-2-Konformität“

Best-Practice-Leitfaden zur NIS-2-Richtlinie

Planmäßig soll die NIS2-Richtlinie bis zum 17. Oktober 2024 in deutsches Recht überführt sein und die Bundesregierung drückt aufs Tempo. Auf Verzögerungen zu hoffen, ist gefährlich, zumal viele Unternehmen den Aufwand für die Umsetzung der NIS2-Anforderungen unterschätzen. Laut einer Studie des Verbands der Internetwirtschaft eco haben aktuell nur 13,2 Prozent der Unternehmen in Deutschland ihr Risikomanagement im Bereich Cybersecurity optimiert. Nur 7 von 100 Unternehmen haben bislang den Standard ISO 27001 oder den BSI-IT-Grundschutz eingeführt. Je größer das Unternehmen und je komplexer die internen Lieferstrukturen, desto langwieriger der Prüfungs- und Realisierungsprozess. Die folgenden sechs Handlungsempfehlungen helfen dabei, bei der NIS2-Umsetzung zügig aufzuholen:

Schritt 1: Sensibilisierung des Managements

Der entscheidende Faktor für eine NIS2-konforme IT-Sicherheit ist das Bewusstsein im und der Support durch das Management. Nur wenn die Geschäftsführung bereit ist, sich der Cyberbedrohung zu stellen und die Dringlichkeit modernster IT-Sicherheit anzuerkennen, lassen sich die technischen und organisatorischen Maßnahmen (TOMs) optimal ausrichten und Ressourcen für die Umsetzung einplanen. Ein starkes Argument dahingehend ist die persönliche Haftbarkeit. Die NIS2-Richtlinie sieht vor, dass auch die Geschäftsführung persönlich haftet, wenn sie ihre Pflichten im Hinblick auf Cybersicherheit vernachlässigen. Dies kann neben den persönlichen Konsequenzen wie etwa Geldstrafen oder Entlassung auch zu Betriebsunterbrechungen sowie immensen wirtschaftlichen Schäden führen. Um schnell in die praktische Umsetzung zu kommen ist es ratsam, eine durchdachte Roadmap zu erstellen und professionelle IT-Unterstützung für die NIS2-Konformität in Anspruch zu nehmen.

Schritt 2: Analyse des Ist-Zustands

Zunächst müssen Unternehmen alle bestehenden Informations­sicherheits­risiken analysieren. Dies umfasst die Untersuchung der IT-Infrastrukturen, Assets und Ressourcen sowie die Identifizierung von Schwachstellen. Entscheidend bei einem solchen Security Audit sind die Abhängigkeiten in Prozessen und Systemen. Es ist auch zu überprüfen, welche Sicherheits­maßnahmen bereits vorhanden sind und wie frühere Sicherheitsvorfälle gehandhabt wurden. Unternehmen, die bereits Maßnahmen zur Cybersicherheit ergriffen haben und etwa über eine Zertifizierung nach TISAX oder ISO-27001 verfügen, sind im Vorteil, dürfen sich jedoch nicht darauf ausruhen, sondern müssen diese mit den Anforderungen der NIS2-Richtlinie mappen, um ableiten zu können, welche Maßnahmen noch fehlen. Denn Fakt ist: Es werden definitiv Ergänzungen erforderlich, beispielsweise bei der Auslegung des Meldeverfahrens, spezifischer Schulungen und dem Rollenbewusstsein des Managements.

Schritt 3: Übersicht über Prozesse und Verantwortlichkeiten

Im nächsten Schritt ist es erforderlich, alle Unternehmensprozesse und Verantwortlichkeiten zu durchleuchten. Insbesondere in Unternehmen mit verzweigten oder vielschichtigen Strukturen oder bei dezentral sowie mobil arbeitenden Teams ist es entscheidend, klare Verantwortlichkeiten zu schaffen und eine koordinierte Arbeitsweise zu etablieren, wann und wie der Zugriff auf Systeme und Daten möglich ist. So lassen sich klare Rollenverteilungen für das Sicherheitsmanagement ableiten und Prozessanpassungen sowie -kontrollen etablieren. Dies bildet die Grundlage für ein solides und sicheres Berechtigungsmanagement und Authentifizierungsverfahren. Die Kommunikations- und Zusammenarbeitsstrukturen im Unternehmen sind ebenfalls relevant und müssen lückenlos dokumentiert werden.

Deutsches Gesetz zur NIS2-Richtlinie verabschiedet

Das Warten auf NIS 2 hat (fast) ein Ende

Schritt 4: Beurteilung entlang der Lieferkette

Alle externen Serviceunternehmen bergen potenzielle Risiken, besonders bei bestehenden Schnittstellen zwischen Systemen oder beim Datenaustausch. Unternehmen müssen sicherstellen, dass Verträge mit Partnerunternehmen klare Sicherheitsanforderungen definieren, die der NIS2-Richtlinie entsprechen. Dazu gehören Zugangskontrollen, regelmäßige Sicherheits­überprüfungen und eine offene Kommunikation innerhalb der gesamten Lieferkette. Dazu ist es ratsam, eine Liste der Partnerunternehmen einschließlich der Art der Zusammenarbeit sowie der genutzten Systeme zu erstellen und eine Risikobewertung durchzuführen. Diese hilft dabei, die notwendigen Maßnahmen zu priorisieren. So sollte beispielsweise der Dienstleister, ohne dessen Zutun der Betrieb stillstehen würde, vorrangig geprüft und alle Prozesse mit diesem abgesichert werden.

Schritt 5: Etablierung eines Meldekonzepts

Die vorangegangenen Schritte sind Voraussetzung für die Einführung eines Meldekonzepts (Incident Response Plan), das den Anforderungen der NIS2-Richtlinie entspricht. Jeder Mitarbeitende muss genau wissen, was im Ernstfall zu tun ist. Detaillierte Prozesse und Workflows für die Erkennung, Meldung und Behandlung von Sicherheitsvorfällen sind entscheidend. Hier gibt es auch deutlich knappere Zeitfenster bzw. Fristen als in bisherigen Regularien. Ein gut ausgearbeiteter Kommunikationsplan stellt sicher, dass alle internen und externen Stakeholder schnell und effizient informiert werden. Alle Schritte und Entscheidungen während eines Vorfalls sollten systematisch dokumentiert werden, um Transparenz und Nachvollziehbarkeit zu gewährleisten.

Schritt 6: Trainings fürs Team

Ein umfassendes und regelmäßiges Cybersicherheitstraining für das Team ist unerlässlich. Dabei ist die Expertise von erfahrenen IT-Spezialisten besonders hilfreich, um von deren Wissens- und Erfahrungsschatz zu profitieren. Regelmäßige Schulungen halten die Mitarbeitenden über die neuesten Bedrohungen und Sicherheitspraktiken auf dem Laufenden. Phishing-Simulationen helfen, das Bewusstsein für solche Angriffe zu schärfen und die Reaktionsfähigkeit zu testen. Den Mitarbeitenden sollte Zugang zu aktuellen Ressourcen, Tools und Informationen zur Cybersicherheit bereitgestellt werden, damit sie stets auf dem neuesten Stand sind und die allgemeine Sicherheitslage des Unternehmens verbessern können.

Fazit: Die Zeit drängt – so oder so

Eine „Aufschieberitis“ in Sachen NIS2 ist mehr als gefährlich für Unternehmen. Selbst wenn man die potenziellen Bußgelder für Unternehmen sowie Haftungsrisiken für Geschäftsführer und Vorstände außer Acht lässt, bleibt noch immer die wachsende Bedrohung durch Cyberkriminelle sowie damit einhergehend mögliche wirtschaftliche und Reputationsschäden für ein Unternehmen. Dabei ist die NIS2-Richtlinie aber nur ein folgerichtiger Schritt aus dem Bedarf heraus, IT-Strukturen bestmöglich gegen Attacken von außen abzusichern. Cyberangriffe halten sich nicht an bürokratische Fristen. Jetzt ist die Zeit, zu handeln!

Über den Autor: Nils Heilgermann ist Managing Consultant im Bereich IT-Security bei der Novatec Consulting GmbH und hilft Unternehmen aus verschiedenen Branchen dabei, die IT-Sicherheit stets auf dem aktuellen Stand zu halten. Er verfügt über mehr als sieben Jahre Erfahrung in den Bereichen Security Intelligence & Operations Consulting wie auch Security Strategy, Risk & Compliance aus.

(ID:50156412)