Welche Richtliniendokumente muss ich für die NIS2-Richtlinie haben

Richtlinien ergeben sich aus den zehn Maßnahmen, nicht aus einer festen Liste

Es gibt keine offizielle Checkliste mit Namen von Richtliniendokumenten, die unter NIS2 erforderlich sind. Was es gibt: zehn Kategorien von Maßnahmen, für die eine Organisation nachweisen muss, wie damit umgegangen wird, und in der Praxis führt sich das in einen Satz von Richtliniendokumenten um, den die meisten Organisationen erstellen. Denken Sie an eine Informationssicherheitsrichtlinie als übergeordnetes Dokument, eine Risikorichtlinie, eine Richtlinie für Incident-Handling und -Meldung, eine Richtlinie für Geschäftskontinuität und Krisenmanagement, eine Lieferantenrichtlinie mit Anforderungen an die Lieferkette, eine Zugriffsrichtlinie und eine Richtlinie für Kryptografie und Verschlüsselung. Einige Organisationen fügen dazu eine separate Richtlinie für Personalsicherheit und Sensibilisierung hinzu, verbunden mit einer Schulung mit Teilnahmebescheinigung — das letztere ist relevant, weil Warum brauche ich ein Teilnahmezertifikat für ein Cybersicherheitstraining erläutern Sie, welcher Nachweis genau erbracht wird.

Wichtiger als der genaue Titel jedes Dokuments ist, dass jedes Stück Maßnahme für Maßnahme damit übereinstimmt, was in der Praxis geschieht, zusammen mit einem Nachweisstück und jemandem, der dafür verantwortlich ist. Ein Richtliniendokument, das in der Schublade liegt, ohne Verbindung zur täglichen Praxis, hat bei einer Überprüfung wenig Wert. Wer noch herausfinden muss, welcher Nachweis zu welcher Maßnahme passt, findet das unter Welche Nachweise muss ich für jede Sicherheitsmaßnahme einreichenund die Frage, wer diese Richtlinie innerhalb der Organisation verwalten muss, wird unter Wer muss in meinem Unternehmen für eine Maßnahme verantwortlich sein.

Grundlage: Artikel 21 Absatz 2 der NIS2-Richtlinie

Die zehn Maßnahmen, die als Grundlage für Richtliniendokumente dienen, sind in Artikel 21 Absatz 2 der NIS2-Richtlinie festgelegt, mit dem deutschen Cybersicherheitsgesetz als nationale Umsetzung davon. Viele Organisationen nutzen zusätzlich Anhang A der ISO/IEC 27001 als praktische Gliederung, um diese Maßnahmen konkret umzusetzen, und das BSI veröffentlicht Leitfäden, wie die Sorgfaltspflicht in der Praxis umgesetzt wird.