Was müssen Sie über die zehn Maßnahmen der NIS2 wissen?
Die NIS2-Richtlinie beschreibt zehn Arten von Maßnahmen, mit denen Organisationen ihre digitale Sicherheit nachweisen können. Es geht nicht um zehn einzelne Regeln, die Sie der Reihe nach abhaken müssen, sondern um zehn Bereiche, auf die eine Organisation Richtlinien und Verfahren haben sollte. Viele Abnehmer übernehmen diese Bereiche wörtlich in ihre Cybersicherheit-Fragelisten, weil sie wiederum nachweisen müssen, dass ihre Lieferanten etwas dafür tun.
Ob die Richtlinie unmittelbar auf Ihre Organisation anwendbar ist, hängt von dem Sektor ab, in dem Sie tätig sind, und von Ihrer Größe. Viele kleinere Unternehmen fallen nicht unmittelbar unter NIS2, erhalten die Fragen aber dennoch, weil ihr Kunde das tut und die Lieferkette weiterfragen muss. Dieser Unterschied zwischen unmittelbarer Unterstellung unter die Richtlinie und Bestandteil der Verantwortung eines anderen Unternehmens ist genau dort, wo viel Verwirrung entsteht.
Worum es in den zehn Bereichen geht
Die Richtlinie nennt unter anderem Risikoanalyse und Informationssicherheitsrichtlinien, die Abwicklung von Vorfällen, Geschäftskontinuität und Krisenmanagement bei einer Störung sowie die Sicherheit der Lieferkette. Darüber hinaus nennt sie die Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen, Richtlinien zur Bewertung der Effektivität von Maßnahmen sowie bewährte Verfahren im Bereich der Cyberhygiene und Sensibilisierungsschulung für Mitarbeiter. Die letzten Bereiche befassen sich mit Richtlinien für die Verwendung von Kryptografie und Verschlüsselung, Personalsicherheit und Zugangsrichtlinien, Asset-Management und die Verwendung von Multi-Faktor-Authentifizierung oder ähnlichen Lösungen für sichere Kommunikation.
Es ist wichtig zu verstehen, dass dies Politikbereiche sind, keine Checkliste mit einer richtigen Lösung. Ein Installationsbetrieb mit zehn Mitarbeitern wird wahrscheinlich in jedem dieser Bereiche eine andere, einfachere Lösung haben als ein IT-Dienstleister mit hundert Mitarbeitern. Die Aufsichtsbehörden prüfen, ob die Maßnahmen zu den Risiken passen, die mit der Organisation verbunden sind, nicht nach einem festen Schema, das für alle gleich ist.
Warum Ihr Kunde danach fragt
Wenn Ihr Abnehmer unter NIS2 fällt, muss dieser Abnehmer nachweisen können, dass auch seine Lieferanten diesen Bereichen Aufmerksamkeit schenken. Daher laufen Fragelisten oft wörtlich die zehn Bereiche ab: Haben Sie ein Vorfallverfahren, verwenden Sie Multi-Faktor-Authentifizierung, haben Sie eine Richtlinie für Ihre Lieferanten. Für Sie als Empfänger der Frageliste bedeutet dies oft, dass dieselben zehn Themen in leicht unterschiedlicher Formulierung bei jedem Kunden, der die Liste versendet, auftauchen.
Das ist auch gleichzeitig das größte praktische Problem: nicht der Inhalt der Fragen, sondern die Wiederholung. Dieselben Informationen über Ihre Passwortrichtlinie, Ihre Sicherungsverfahren und Ihre Vorfallbehandlung werden in zehn verschiedenen Formaten abgefragt, mit zehn verschiedenen Portalen. Supplia wurde gebaut, um diese Wiederholungsarbeit zu reduzieren: Sie beantworten diese Themen einmal in Ihrer eigenen Lieferkettendatei, und das System erkennt ähnliche Fragen in der Liste jedes neuen Kunden. Sie bestätigen jede Antwort selbst mit ja oder nein, bevor sie zum Portal Ihres Kunden geht; Supplia bewertet nichts und loggt sich selbst nirgendwo ein.
Wie Sie dies für sich handhabbar halten
Es hilft, nicht bei den zehn Bereichen selbst anzufangen, sondern bei dem, was Sie bereits haben: eine Passwortrichtlinie, ein Sicherungsschema, eine Liste mit wem Zugriff auf welche Systeme hat. Viele dieser Unterlagen existieren bereits, sind aber über Ordner und Köpfe verteilt. Das Ordnen davon ist oft mehr Arbeit als die tatsächliche Durchführung neuer Maßnahmen. der Erklärung pro Thema in der Wissensdatenbank läuft die zehn Bereiche einzeln durch mit dem, was dazugehört.
Wenn Sie schnell wissen möchten, welche dieser Bereiche bei Ihrer Situation bereits in Ordnung sind und welche Aufmerksamkeit erfordern, dann bietet der Erkennungscheck in einigen Fragen einen ersten Hinweis. Für denjenigen, der wissen möchte, woher die Informationen auf Supplia stammen und wie sie verwaltet werden, erklärt der Seite über unsere Arbeitsweise das.
Ob NIS2 in Ihrem speziellen Fall gilt und welche Maßnahmen dabei genau passen, ist etwas, das Sie am besten einem Juristen oder der zuständigen Aufsichtsbehörde vorlegen sollten. Dieser Artikel beschreibt die Richtlinie in allgemeinen Begriffen und ersetzt diese Beratung nicht.
Erkennen Sie die Fragen, die Ihr Kunde sendet, möchten aber zunächst sehen, wie das Ausfüllen in der Praxis funktioniert? Lesen Sie die häufig gestellten Fragen zum Ausfüllen und Einreichen oder starten Sie den kostenlosen Quick-Scan, um zu sehen, welche Themen in Ihrem Unternehmen eine Rolle spielen.