Die zehn Maßnahmen aus der Sorgfaltspflicht, in verständlicher Sprache
Wenn Ihre Organisation unter die NIS2-Richtlinie fällt und als wesentliche oder wichtige Einheit gilt, haben Sie eine Sorgfaltspflicht: Sie müssen geeignete Maßnahmen ergreifen, um Risiken für Ihre Netz- und Informationssysteme zu mindern. Die Richtlinie konkretisiert dies durch eine Reihe von zehn Arten von Maßnahmen, aufgelistet in Artikel 21. Sie sind bewusst breit formuliert, um auf ein Installationsunternehmen mit zwanzig Mitarbeitern und ebenso auf ein Energieunternehmen mit tausend Mitarbeitern zu passen. Woran erkennen Sie, dass eine Maßnahme ordnungsgemäß umgesetzt ist? Nicht an einem Häkchen, sondern an drei Dingen, die zusammenpassen: ein konkretes Dokument oder eine technische Einstellung, die die Maßnahme umsetzt, ein Name einer Person, die dafür verantwortlich ist, und ein Zeitpunkt, an dem dies zuletzt überprüft wurde.
Die zehn Maßnahmen lassen sich grob in vier Gruppen einteilen: Risiken erkennen und dokumentieren, Vorfälle bewältigen, die Lieferkette beherrschen und Menschen sowie Technik in Ordnung halten. Nachfolgend gehen wir sie durch – nicht als Checkliste zum Abhaken, sondern als Erläuterung, was jede Maßnahme in der Praxis bedeutet.
Risiken erkennen und dokumentieren
Die erste Maßnahme ist eine Richtlinie für Risikoanalyse und Informationssicherheit: ein Dokument, das beschreibt, welche Systeme wichtig sind, was schiefgehen kann und wie Sie das bewerten. Dies muss kein umfangreiches Gutachten sein, sollte aber etwas sein, das ein Außenstehender – ein Aufsichtsbehördenvertreter, ein Auftraggeber, ein neuer Kollege – lesen und verstehen kann. Darüber hinaus nennt die Richtlinie Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen: Sie dokumentieren nicht nur, WAS Sie tun, sondern überprüfen auch, ob es funktioniert. Und es gibt eine separate Maßnahme für Cybersicherheitshygiene und Schulungen: praktische Grundregeln und die Fähigkeit der Mitarbeiter, eine verdächtige E-Mail zu erkennen.
Vorfälle bewältigen
Eine zweite Gruppe behandelt, was passiert, wenn trotzdem etwas schiefgeht. Vorfallsmanagement bedeutet, dass es ein Verfahren gibt, wer was tut, sobald ein Vorfall erkannt wird, und wie dieser gemeldet wird. Geschäftskontinuität – einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement – befasst sich mit der Frage, wie Sie nach einer Störung oder einem Angriff weitermachen: Haben Sie ein aktuelles Backup, wissen Sie, wer die Krise koordiniert, und wurde das bereits getestet? Dies ist der Bereich, in dem Organisationen oft Vertrauen haben, ohne ihn getestet zu haben – und genau diese Prüfung ist das, was ein Aufwichtsbehördenvertreter oder ein Auftraggeber sehen möchte.
Die Lieferkette beherrschen
Die Richtlinie widmet eine separate Maßnahme der Sicherheit der Lieferkette, einschließlich der Beziehung zu einzelnen Lieferanten. Das ist der Grund, warum auch nicht-regulierte KMU-Unternehmen Fragebogen von ihren Auftraggebern erhalten: Der Auftraggeber muss seine eigene Lieferkette bewerten, um diese Maßnahme zu erfüllen. Eine verwandte Maßnahme behandelt die Sicherheit beim Erwerb, der Entwicklung und der Wartung von Netz- und Informationssystemen, einschließlich des Umgangs mit Schwachstellen – also auch die Frage, wie Software beschafft und gepflegt wird.
Menschen und Technik in Ordnung
Die letzte Gruppe ist am technischsten, aber nicht weniger konkret. Personalsicherheit, Zugangsrichtlinien und Verwaltung von Betriebsmitteln befassen sich damit, wer auf welche Systeme Zugang hat und was geschieht, wenn jemand aus dem Dienst ausscheidet. Der Einsatz der Multifaktor-Authentifizierung oder vergleichbarer Lösungen und sichere Sprach-, Video- und Textkommunikation sowie sichere Notfallkommunikationssysteme – dies ist die Maßnahme, die der Alltagspraxis am nächsten kommt: Ist die Anmeldung bei E-Mail und Betriebssystemen noch nur mit Passwort möglich, oder ist ein zweiter Schritt erforderlich? Und gegebenenfalls gibt es Richtlinien und Verfahren für die Verwendung von Kryptographie und ggf. Verschlüsselung.
Was diese zehn Maßnahmen gemeinsam haben, ist, dass sie alle drei Dinge verlangen: einen Nachweis, einen Verantwortlichen und einen Kontrollzeitpunkt. Genau so ist auch ein lebendes Dossier aufgebaut, anstelle einer Momentaufnahme, die nach einem halben Jahr schon wieder veraltet ist. Wie streng eine Maßnahme in Ihrem Fall ausgefüllt werden muss, hängt von der Größe Ihrer Organisation und den Risiken ab, die in Ihrem Sektor anfallen — darüber gibt die kostenlose Prüfung in ein paar Fragen einen ersten Hinweis.
Für diejenigen, die wissen möchten, wie sich diese zehn Maßnahmen im nationalen Recht und in konkrete Schritte pro Thema übersetzen, gibt es einen Überblick pro Thema, ausgefiltert nach Situation. Dort ist auch erläutert, welche Quelle zu welcher Erklärung gehört und auf welches Datum sie konsultiert wurde, wie auf der Seite über die Herkunft der Informationenbeschrieben. Für die Frage, was genau kostenlos ist und was zu einem Abonnement gehört, gibt es einen Überblick über häufig gestellte Fragen.
Diese zehn Maßnahmen sind ein Rahmen, keine Übung zum Ausfüllen mit einer richtigen Antwort. Was für Ihre Organisation geeignet ist, hängt von Ihrem Sektor, Ihrer Größe und den Systemen ab, auf die Sie angewiesen sind — dafür geben der Wortlaut des Gesetzes selbst und die Erläuterung der Aufsichtsbehörde die sicherste Antwort. Wenn Sie zuerst wissen möchten, ob und wie diese Sorgfaltspflicht auf Ihre Organisation zutrifft, beginnen Sie mit der kostenlosen NIS2-Prüfung oder blättern Sie durch die Wissensdatenbank auf secria.eu.