NIS2
Die NIS2-Richtlinie schafft einen europaweit einheitlichen Rahmen für Cybersicherheit in kritischen und wichtigen Einrichtungen. Gegenüber der ursprünglichen NIS-Richtlinie wurde der Anwendungsbereich deutlich erweitert und umfasst nun zahlreiche zusätzliche Branchen und Organisationen. Betroffene Unternehmen müssen angemessene Sicherheitsmaßnahmen etablieren, Cyberrisiken steuern, relevante Sicherheitsvorfälle melden und Risiken in der Lieferkette berücksichtigen. Zudem wird die Verantwortung der Geschäftsleitung für die Umsetzung und Überwachung der Anforderungen ausdrücklich gestärkt. Ziel ist die Erhöhung der Cybersicherheit und Widerstandsfähigkeit kritischer Dienstleistungen innerhalb der Europäischen Union.
Das NIS2-Regelwerk verpflichtet betroffene Organisationen dazu, nachweisbar:
- angemessene Maßnahmen zur Steuerung von Cyber- und Informationssicherheitsrisiken umzusetzen
- kritische Geschäftsprozesse und wesentliche Dienstleistungen gegen Sicherheitsvorfälle abzusichern
- Risiken innerhalb der Lieferkette und bei Dienstleistern systematisch zu bewerten
- Verfahren zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen zu etablieren
- Business-Continuity- und Krisenmanagementfähigkeiten für Cybervorfälle vorzuhalten
- Verantwortlichkeiten und Aufsichtspflichten der Geschäftsleitung festzulegen
- die Wirksamkeit von Sicherheits- und Resilienzmaßnahmen regelmäßig zu überprüfen
- die Einhaltung regulatorischer Anforderungen gegenüber Behörden und Prüfern nachzuweisen
5 typische Herausforderungen bei NIS2
Die Umsetzung der NIS2-Anforderungen erfordert weit mehr als die Einführung einzelner Sicherheitsmaßnahmen. Betroffene Organisationen müssen regulatorische Anforderungen, Cybersecurity, Business Continuity Management, Krisenmanagement und Lieferkettenrisiken in einem gemeinsamen Governance-Rahmen zusammenführen. In der Praxis entstehen dabei Herausforderungen.
1
Der tatsächliche Betroffenheitsgrad ist unklar
Viele Organisationen sind unsicher, ob sie als wesentliche oder wichtige Einrichtung eingestuft werden und welche konkreten Anforderungen daraus resultieren.
2
Die Verantwortung der Geschäftsleitung ist nicht ausreichend operationalisiert
NIS2 verlagert Verantwortung auf die Leitungsorgane. Häufig fehlen jedoch klare Governance-Strukturen, Steuerungs-mechanismen und belastbare Entscheidungsgrundlagen für das Management.
3
Die Widerstandsfähigkeit kritischer Dienstleistungen ist nicht nachweisbar
Vorhandene Sicherheitsmaßnahmen reduzieren einzelne Risiken, erlauben jedoch oft keine belastbare Aussage darüber, ob wesentliche Dienstleistungen während eines schwerwiegenden Cybervorfalls tatsächlich aufrechterhalten oder rechtzeitig wiederhergestellt werden können.
4
Lieferkettenrisiken werden nicht ausreichend bewert
Risiken durch Dienstleister, Cloud-Anbieter und sonstige externe Abhängigkeiten sind häufig nur teilweise erfasst oder nicht systematisch überwacht.
5
Regulatorische Nachweise sind schwer belegbar
Vorhandene Maßnahmen sind häufig nicht ausreichend dokumentiert oder deren Wirksamkeit wurde nie überprüft. Die Nachweisführung gegenüber Behörden und Auditoren wird dadurch erschwert.
Unsere Leistungen
Von der ersten Betroffenheitsanalyse bis zur Vorbereitung auf Audits und behördliche Prüfungen begleiten wir Organisationen bei der strukturierten Umsetzung der Anforderungen aus NIS2 und der nachhaltigen Stärkung ihrer Cyber-Resilienz.
NIS2-Betroffenheitsanalyse
Bewertung, ob und in welchem Umfang eine Organisation unter die NIS2-Anforderungen fällt.
Gap-Analyse gegen NIS2-Anforderungen
Vergleich bestehender Sicherheits- und Resilienzmaßnahmen mit den regulatorischen Vorgaben der NIS2.
Business Impact Analysen und Risikoanalysen
Identifikation kritischer Prozesse und Bewertung möglicher Auswirkungen von Sicherheitsvorfällen.
BCM- und Cyber-Resilience-Konzepte
Entwicklung von Konzepten zur Aufrechterhaltung kritischer Dienstleistungen bei Cybervorfällen.
Governance-, Rollen- und Verantwortlichkeitsmodelle
Definition von Zuständigkeiten für Cybersicherheit, BCM, Krisenmanagement und regulatorische Compliance sowie Erarbeitung der Governance
Lieferketten- und Abhängigkeitsanalysen
Bewertung von Risiken durch Lieferanten, Dienstleister und sonstige externe Abhängigkeiten.
Krisenmanagement für Cybervorfälle
Aufbau von Strukturen und Abläufen für die Bewältigung schwerwiegender Cyber- und IT-Sicherheitsereignisse.
Übungen, Tests und Wirksamkeitsnachweise
Durchführung von Tests und Übungen inklusive Dokumentation zur Nachweisführung gegenüber Behörden und Auditoren.