NIS2 Directive

Die Auswirkungen von NIS2 auf eine Organisation hängen von ihrer Cybersicherheitsreife ab. Stark regulierte Branchen wie das Gesundheitswesen erfüllen möglicherweise bereits viele der Anforderungen, während weniger regulierte Sektoren vor großen Herausforderungen stehen könnten.

Technologie- und SaaS-Unternehmen, die zuvor nur wenige rechtliche Cybersicherheitsanforderungen hatten, könnten Schwierigkeiten mit Governance- und Lieferkettensicherheitsanforderungen haben, obwohl sie über starke technische Kontrollen verfügen. Sie müssen schnell umfassende Risikomanagement-Frameworks einführen, um die Vorschriften einzuhalten.

Organisationen, die erstmals Cybersicherheitsvorschriften unterliegen, könnten feststellen, dass Governance- und Verfahrenskontrollen – und nicht technische Maßnahmen – die größte Hürde darstellen. Dies gilt insbesondere für Sektoren, die bisher nicht streng reguliert wurden.

Selbst Organisationen, die nicht direkt von NIS2 betroffen sind, könnten dessen Auswirkungen spüren, wenn sie Lieferanten oder Partner regulierter Unternehmen sind. Diese Unternehmen müssen wahrscheinlich nachweisen, welche Cybersicherheitsmaßnahmen sie ergreifen, um Geschäftsbeziehungen mit NIS2-regulierten Organisationen aufrechtzuerhalten.

Lassen Sie sich nicht von der scheinbar einfachen Natur der NIS2-Berichtsanforderungen täuschen. Bedeutungsvolle Vorfallberichte innerhalb von 24 bis 72 Stunden bereitzustellen, ist eine große Herausforderung. Dies erfordert wirkungsvolle interne Prozesse sowie eine klare Governance, um eine zuverlässige und konsistente Umsetzung zu gewährleisten. Das Nichterfüllen dieser Anforderungen kann zu ernsthaften Sanktionen für Ihr Unternehmen führen.

Falls Ihre Organisation derzeit nicht in der Lage ist, Vorfälle innerhalb der von NIS2 vorgegebenen Fristen zu melden, wird die Umsetzung dieser Fähigkeit eine der größten Herausforderungen auf dem Weg zur NIS2 Compliance sein. Schlüsselkompetenzen sind:

• Rechtzeitige Erkennung von Vorfällen
• Bewertung, ob sie die NIS2-Schwelle eines „bedeutenden Vorfalls“ erreichen
• Ausreichendes Verständnis über den Vorfall, um eine erste Warnmeldung abzugeben
• Detaillierte Analyse des Vorfalls für eine erste Einschätzung innerhalb von 72 Stunden
• Umfassende Untersuchung und Behebung des Vorfalls, Implementierung zusätzlicher Maßnahmen und Erstellung eines vollständigen Abschlussberichts innerhalb von 30 Tagen

Unabhängig davon, wie ausgereift Ihr Cybersicherheitsprogramm derzeit ist, wird die Erfüllung dieser Anforderungen eine anspruchsvolle Aufgabe sein. Die Durchführung von Simulationen für den Vorfallmeldeprozess kann helfen, bestehende Lücken in Ihrer Organisation zu identifizieren.

NIS2 verlangt von betroffenen Organisationen die Durchführung einer „Risikobewertung“ sowie die Fähigkeit, die „Wirksamkeit von Risikomanagementmaßnahmen“ zu beurteilen. Obwohl diese Begriffe einfach erscheinen, sind ihre Auswirkungen komplex.

Die Implementierung eines umfassenden und nachweisbaren Risikomanagement-Frameworks ist eine große Herausforderung. Unternehmen müssen Richtlinien festlegen, Risikoverantwortliche benennen, eine einheitliche Terminologie definieren und für Konsistenz bei der Analyse und Berichterstattung sorgen.

Eine bewährte Vorgehensweise, wie sie etwa von der ISO empfohlen wird, ist essenziell, doch ebenso wichtig ist die Einbindung der gesamten Organisation. Während Risiko Managers und Risikoteams Experten für Messung und Management sind, können Risiken oft nur von den jeweiligen Fachbereichen selbst erkannt werden. Daher muss das Risikomanagement eng mit allen Abteilungen zusammenarbeiten, um die gesamte Bandbreite an Risiken zu erfassen, beispielsweise in Bereichen wie:

• Beschaffung neuer IT-Systeme oder Technologien
• Personal- und Einstellungsprozesse
• Notfall- und Geschäftskontinuitätsplanung

Um dies zu gewährleisten, müssen das Risikoteam oder der Risiko Manager alle relevanten Mitarbeitenden schulen, um eine einheitliche Anwendung von Begrifflichkeiten, Bewertungsmethoden und Taxonomien sicherzustellen.

Die Lieferkettensicherheit war in den letzten Jahren ein zentrales Thema in der Informationssicherheit – und das aus gutem Grund. Viele Sicherheitsvorfälle der jüngeren Vergangenheit wurden durch Angriffe auf die Lieferkette verursacht oder verschärft.

Die NIS1-Richtlinie enthielt keine direkte Bezugnahme auf die Sicherheit der Lieferkette, und über grundlegende Maßnahmen hinaus wird dieser Bereich oft nicht ausreichend berücksichtigt.

Falls Ihr Unternehmen die Sicherheit Ihrer Lieferkette nicht überwacht hat, wird die Umsetzung dieses Teils der NIS-2-Compliance zeitaufwendig und herausfordernd sein.