NIS-2: Mein Risikomanagement-Einmaleins für den Mittelstand

Diese 10 Mindestanforderungen gelten für das Risikomanagement nach NIS-2

NIS-2 sieht einen „gefahrenübergreifenden Ansatz“ vor, um „die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen“. Was das im Einzelnen bedeutet, erkläre ich gerne: 
 

1. Risikoanalyse und Sicherheitskonzept 

Die wichtigste Hausaufgabe für jedes Unternehmen, für das NIS-2 ein Thema ist, lautet in den kommenden Monaten: Die Risiken identifizieren, bewerten und dokumentieren, nur so lässt sich ein wirksames Konzept entwickeln. Je systematischer die Grundlagen, desto höher die Sicherheit. Der Zeitpunkt ist jetzt gekommen, ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 einzuführen. 
 

2. Sicherheitsvorfälle und Meldepflicht 

In zahlreichen Unternehmen gibt es noch keine Verhaltensregeln oder Prozesse für Sicherheitsvorfälle. Das muss und wird sich ändern. Eindeutige Verantwortlichkeiten und Meldeketten sind in Zukunft unerlässlich, um NIS-2 gerecht zu werden. Ohne diese Grundlagen kann keine Incident Response-Strategie funktionieren. 
 

3. Backups, Continuity und Notfallmanagement

Murphys Cybersecurity-Gesetz: Was passieren kann, wird auch passieren – aber idealerweise in einem Unternehmen, das darauf vorbereitet ist. Ein gutes Business Continuity Management beinhaltet unter anderem ein Notfallhandbuch und verschiedene Szenarien, wie der Betrieb wiederaufgenommen oder IT-Systeme mittels Backups nach und nach wiederhergestellt werden können. 
 

4. Sicherheit der Lieferkette

Eine wirksame Risikomanagement-Strategie muss auch die Schnittstellen zu anderen Unternehmen berücksichtigen. Wer hat Zugriff auf Systeme, wer darf die Halle betreten, welche Daten und Produkte gelangen in die sichere Zone des eigenen Unternehmens? Sind diese Fragen geklärt und sauber dokumentiert, lassen sich Mechanismen für eine gute Zusammenarbeit finden – von Audit bis zum Zertifikat. 
 

5. Erwerb, Entwicklung und Wartung von ITK 

Klar: Updates nerven. Doch richtig nervig wird es in Zukunft für Unternehmen, die sich nicht um die Wartung ihrer IT kümmern – sie handeln nach NIS-2 nämlich ebenso fahrlässig wie beim Erwerb bedenklicher IT-Lösungen. Glücklicherweise lassen sich viele Aufgaben systematisieren und automatisieren, etwa das Patch Management als Service. 
 

6. Planung und Bewertung von Maßnahmen 

Ein umfangreiches Konzept ist gut – ein funktionierendes noch besser. Deshalb ist es wichtig zu verifizieren, inwiefern die organisatorischen und technischen Maßnahmen greifen. Cybersecurity-Analysen, Vulnerability Checks und Penetration Tests durch Profis helfen dabei, die Strategie auf Herz und Nieren zu prüfen. Die Bewertung von Risiken und deren Maßnahmen ist für die Geschäftsleitung verpflichtend.
 

7. Awareness und Cyber-Hygiene

Die wichtigste Schutzmaßnahme in jedem Unternehmen ist die menschliche Firewall. Alle technischen oder organisatorischen Maßnahmen sind nur dann wirkungsvoll, wenn alle Mitarbeiter*innen sie kennen und umsetzen. Mit Awareness-Workshops oder Schulungen zur Cyber-Hygiene wird Informationssicherheit zur Gemeinschaftsaufgabe. 
 

8. Konzepte und -verfahren für Kryptografie

Die unverschlüsselte E-Mail ist noch immer eine der beliebtesten Formen der Kommunikation in der Geschäftswelt. Dabei mangelt es nicht an Angeboten für Kryptografie-Verfahren. Was oft fehlt, ist die richtige Strategie – deshalb ist Kryptografie ein zentraler Baustein im Risikomanagement gemäß NIS-2. Einen Blackout zu verhindern kann dadurch manchmal einfacher sein als gedacht. 
 

9. Personal, Zugriffskontrolle und Anlagenmanagement

Risiken bestehen nicht nur da, wo Firewalls oder Virenscanner versagen – sondern auch dort, wo Unbefugte ohne Weiteres Zugriff auf Dokumente, Maschinen oder IT haben. Wer wann wo reinkommt, ist deshalb in allererster Linie eine organisatorische Frage. Konsequenten Zugriffskontrollen oder Videoüberwachung helfen dabei, sensible Bereiche zu schützen. 
 

10. Multifaktor-Authentifizierung und gesicherte Kommunikation

Zweistufige oder kontinuierliche Authentifizierung hat sich in den letzten Jahren durchgesetzt –bei der Endpoint Security genauso wie im privaten Online-Banking. Die Verfahren machen unberechtigte Zugriffe unwahrscheinlicher, aber nicht unmöglich. Deshalb sieht NIS-2 auch funktionierende Kommunikationskanäle für den Notfall vor.