Maßnahmen zum Risikomanagement für IT-Sicherheit
NIS2-Richtlinie Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten europäischen Union
Die Gesamtanforderungen der Cybersicherheitskriterien und die Menge an betroffenen Unternehmen ist mit NIS2 stark gestiegen. Unternehmen sind bis Oktober 2024 dazu aufgefordert, die neuen Security-Maßnahmen umzusetzen. Wenn Sie die Anforderungen der NIS2-Richtlinie einfach und nachhaltig umsetzen möchten, sind Sie hier goldrichtig.
- Steigerung des Sicherheitsniveaus
- Verhinderung von Cyberangriffen
- EU-konforme Compliance Standards
Was ist die NIS-2-Richtlinie? Und was bedeutet sie für Unternehmen?
Die EU-Richtlinie NIS 2 (The Network and Information Security Directive) ist eine EU-weite Regulierung für die Cyber- und Informationssicherheit. Sie enthält rechtliche Anforderungen zur IT-Sicherheit, um den aktuellen Mindestsicherheitsstandard auf eine neue Ebene zu bringen und bestehende Mängel zu beheben.
Seit April 2023 gibt es für das neue Gesetz in Deutschland bereits einen vorliegenden Referentenentwurf, der dem Bundesministerium als NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) vorliegt.
Die verschärfte NIS-2-Richtlinie konzentriert sich unter anderem auf die:
- Sicherheit der Lieferkette
- Risikomanagement
- Verschärfung von Aufsichtsmaßnahmen und -pflichten (Stichwort persönliche Haftung der Geschäftsführung)
- Einführung von Durchsetzungsvorschriften mit harmonisierten Sanktionen in allen Mitgliedsstaaten
NIS-2 betroffene Sektoren und Unternehmen
Die Durchsetzung von NIS2 ist abhängig von der Kategorie, in die eine Organisation eingestuft wird. Eine Organisation oder Institution kann als wesentlich (Essential Entity) oder als wichtig (Important Entity) klassifiziert werden. Die Abhängigkeit der Klassifizierung wird durch die Größe des Unternehmens bestimmt und ob es unter einen Sektor mit hoher Kritikalität oder in einen sonstigen kritischen Sektoren fällt. Die Geldstrafen bei Verstößen und die Aufsicht durch Behörden unterscheiden sich je nach Einstufung.
Nutzen Sie die BSI-Betroffenheitsprüfung, um herauszufinden, ob Ihr Unternehmen betroffen ist.
Sollten sich Unternehmen nicht an die neuen Maßnahmen der NIS-2-Richtlinie halten, können je nach Sektor hohe Geldstrafen entstehen. Die Bußgelder reichen bei wesentlichen Einrichtungen von 10 Mio. Euro oder 2 Prozent des Jahresumsatzes. Für die wichtigen Einrichtungen können kosten von 7 Mio. Euro oder 1,4 Prozent des Jahresumsatzes entstehen.
NIS2-Vorgaben einfach umsetzen
Konkrete technische Maßnahmen gibt die EU-Richtlinie NIS 2 nicht vor. Hierfür wird auf Branchenstandards verwiesen, wie etwa B3S! Es gibt generell eine große Überlappung mit der ISO/IEC 27001.
Erfahren Sie auf einen Blick, wie die Enginsight-Software und die passenden Services der Partner Sie bei der Umsetzung und kontinuierlichen Einhaltung von NIS2 unterstützen.
NIS-2 Anforderungen für Unternehmen
Alle Unternehmen und Organisationen, die als Betreibende kritischer Infrastrukturen gelten und somit unter NIS2 fallen, müssen diverse Anforderungen bezüglich Risikomanagement, Vorfallmanagement, Geschäftskontinuität und Reporting erfüllen.
Daraus resultierend lassen sich Sicherheitsziele sowie aufbauende Maßnahmen ableiten, um den Sicherheitszustand nach NIS2 zu verbessern bzw. diesen nachzuweisen.
NIS-2 Anforderungen an CEOs und CISOs
Mit der kommenden Einführung von NIS2 in Deutschland müssen CISOs (IT-Security-Verantwortliche) der Einhaltung für die aktualisierten Cybersecurity-Anforderungen gerecht werden und die Sicherheitsstrategien im Unternehmen an die neuen Regularien anpassen. Bei Sicherheitsvorfällen müssen CISOs ordnungsgemäß und innerhalb von 72 Stunden Bericht erstatten und gemäß der neuen NIS2-Richtlinie eine enge Kommunikation mit den zuständigen Behörden wie dem BSI in Deutschland pflegen.
Auch Geschäftsführer (CEOs) müssen laut der neuen EU-Richtlinie NIS2 sicherstellen, dass ihr Unternehmen alle in der Verordnung aufgeführten Sicherheitsaspekte berücksichtigt und umgesetzt werden. Darunter zählen wichtige Maßnahmen zum Risikomanagement, Richtlinien zur Informationssicherheit, Backup-Planung, Geschäftskontinuität, Riskmanagement & Sicherheit der Lieferkette.
Um wirksame Strategien zur Einhaltung von NIS2 zu entwickeln, als auch genügend Ressourcen zur Erfüllung der neuen Sicherheitspflichten parat zu haben, sollten CEOs in fester Zusammenarbeit mit ihren IT-Security-Verantwortlichen stehen. Denn bei nicht Einhaltung der NIS2 Regularien, haften Sie als Geschäftsführer persönlich für die entstandenen Risiken oder Schäden.
Sicherheitsziele erfüllen mit Enginsight
Die NIS-2-Richtlinie ist eine neue EU-weite Verfassung über die neuen Richtlinien der Netzwerk- und Informationssicherheit, die von allen betroffenen Unternehmen bis zum 17. Oktober 2024 umgesetzt werden muss. Durch die neue Richtlinie steigt die Anzahl der betroffenen Unternehmen erheblich. Betroffene Unternehmen müssen Ihre IT-Sicherheitsmaßnahmen prüfen und ggf. an den neuen Standard anpassen.
Ob ein Unternehmen betroffen ist oder nicht, muss es selbst anhand der neuen NIS2-Kritieren einschätzen und bewerten.
Konkrete technische Maßnahmen gibt die NIS2-Richtlinie allerdings nicht vor. Sie verweist auf Branchenstandards wie B3S. Es gibt generell eine große Überlappung mit der ISO/IEC 27001.
Aus der NIS2-Directive lassen sich jedoch grundlegende Sicherheitsziele ableiten. Enginsight und Partner unterstützen Sie bei der Umsetzung und kontinuierlichen Einhaltung dieser Ziele aus den NIS2-Anforderungen.
- Verfahren zur regelmäßigen Risikoanalyse und Schwachstellenbewertung einführen
- Asset Discovery, Beschreibung und Softwareinventarisierung
- Bestehende Schwachstellen und Sicherheitslücken identifizieren
- Regelmäßige Penetrationstest der eigenen Infrastruktur und bisher ergriffen Sicherheitsmaßnahmen
- ISMS nach ISO 27001, TISAX, etc. umsetzen
- End-to-end Anomalie- und Angriffserkennung umsetzen. Protokollierung aller Ereignisse und Ableitung automatischer Reaktionen.**
- Angriffe, böswillige, fehlerhafte oder andere Aktivitäten im Netz, die sich auf kritische Dienste auswirken könnten, frühzeitig zu erkennen
- Schnelle Reaktion auf Cybervorfälle sicherstellen (Incident Response) ermöglichen
- Schadsoftware und Angreifende an Netzwerkgrenzen bestmöglich abwehren
- Managed Detection and Response Services
- Störung der Prozesse durch Sicherheitsmaßnahmen vermeiden
- Business-Continuity-Plan erstellen
- Mehrstufiges Backup-Management etablieren
- Schnelle Notfallwiederherstellung ermöglichen
- Professionelle Krisenbewältigung und -kommunikation einrichten
- Die technische Kommunikation der Schnittstellen überwachen, auswerten und ggf. automatisierte Maßnahmen etablieren.
- Least Privilege Access für Lieferanten etablieren
- Sicheren Lieferanten-Zugang zum Netzwerk gewährleisten (z. B. sichere Passwörter, VPN)
- Regelmäßige Penetrationstest eigener Software und Infrastruktur
- Dauerhaftes Monitoring von Schwachstellen
- Effektive und sichere Behandlung und von Schwachstellen sicherstellen
- Die Wirksamkeit des Cybersicherheit-Systems fortlaufend überprüfen und verbessern mit Hilfe von automatisierten Pentests
- Cybersicherheitslage und Risikoexposition regelmäßig neu bewerten
- Defense-in-Depth-Architektur aufbauen, um Versagen der Perimetersicherung frühzeitig zu erkennen und interne Netzwerk Kommunikation umfang zu überwachen
- Gefährdete Assets überwachen und abschirmen, bei denen Patches/Aktualisierungen nicht möglich sind
- Ausbreitung von Angriffen eindämmen (z. B. durch Netzsegmentierung)
- Digitale Ressourcen in Bezug auf Firmware, Betriebssystem usw. auf dem neusten Stand halten
- Starke Passwortrichtlinien festlegen und umsetzen
- Regelmäßige Cybersicherheitsschulungen für das Personal umsetzen
- Überwachung und Überprüfung verschlüsselter Verbindungen nach aktuellem Stand der Technik. Abgleich TLS nach TR-03116-4 Checkliste des BSI
- Einrichtung und Sicherstellung einer durchgehenden verschlüsselten Kommunikation im internen Netz
- Zugriffe auf kritische Dateien und Verzeichnisse Unternehmensweit überwachen.
- Sicherheitsüberprüfungen und -sensibilisierung in das Einstellungs- und Vertragsvergabeverfahren integrieren
- Unbefugten physischen Zugriff auf Assets verhindern
- Überwachung sämtlicher Kommunikationssysteme und der Verschlüsselten Verbindungen
- Innerhalb von 24 Stunden nach einem Vorfall Frühwarnung an CSIRT*** übermitteln
- Innerhalb von 72 Stunden erste Bewertung an CSIRT übermitteln (inkl. Aussagen zu Schweregrad, Auswirkungen, Quelle)
- Auf Anfrage des CSIRT Aktualisierungen zum Status des Vorfallsmanagements bereitstellen
- Innerhalb eines Monats detaillierten Berichts an das CSIRT übermitteln (inkl. Informationen zu Schweregrad, interne und grenzüberschreitende Auswirkungen, Ursache, Abhilfemaßnahmen)
- Unbefugten Zugriff auf digitale Assets verhindern. Überwachung aller Logins und Loginversuche
- Personalisierte Multi-Faktor-Authentifizierung sicherstellen
- Sichere digitale Kommunikation gewährleisten
LEGENDE:
Grüne Häcken = direkte Umsetzung durch Enginsight / graue Häckchen = Lösung über Enginsight Trusted Partner verfügbar.
* Die aufgeführten Ziele sind in der NIS2 nicht explizit definiert, sondern spiegeln allgemeine grundlegende Sicherheitsziele wider, wie sie in internationalen Normen wie der IEC 62443 empfohlen werden.
** Verpflichtend für kritische Infrastrukturen
*** CSIRT (Computer security incident response team) = behördliches Computer-Notfallteam
Status-quo Wie gut sind Sie bisher aufgestellt?
Ihr Unternehmen befindet sich in Deutschland oder einem anderen europäischen Staat und ist NIS2-reguliert, aber Sie sind sich nicht sicher, ob Ihre Sicherheitsmaßnahmen zu den Anforderungen der Direktive passen? Dann beginnen Sie jetzt mit einer NIS2-Anforderungsanalyse Ihrer IT-Infrastruktur. Nachdem Sie die Diskrepanzen zwischen dem Status-Quo und dem Soll-Zustand identifiziert haben, können Sie priorisiert geeignete Sicherheitsmaßnahmen umsetzen (lassen) und entspannt den Nachweis erbringen, sobald durch die Gesetzesanpassung die Notwendigkeit besteht.
Übrigens: Die IT-Inventarisierung gelingt in Enginsight auf Knopfdruck. Den Beweis treten wir gerne an. Kontaktieren Sie uns.
FAQ zu den NIS2-Anforderungen
NIS-2 steht für „Network Information Security“ und ist ein Gesetz, das sich auf die Sicherheit von Informationsnetzwerken bezieht. Es baut auf dem ursprünglichen NIS-Framework auf und zielt darauf ab, die Cybersicherheit durch ergänzende Sicherheitsmaßnahmen in Europa zu stärken. Mit der neuen Vorgabe kommen verpflichtende Sicherheitsmaßnahmen und Meldepflichten auf Unternehmen und Organisationen zu, die bisher nicht betroffen (reguliert) waren.
In Deutschland liegt für das neue NIS2 Gesetz bereits ein Referentenentwurf als (NIS2UmsuCG) vor.
In der Europäischen Union wurde Anfang 2023 die neue NIS2-Richtlinie (EU 2022/2555) verkündet. Alle Mitgliedsstaaten sind nun verpflichtet, NIS2 durch nationale Gesetzgebung zu einem verbindlichen Mindeststandard zu machen. In Deutschland wird die Umsetzung der Richtlinie voraussichtlich im Oktober 2024 in Kraft treten.
Alle Unternehmen und Institutionen, die als Sektoren kritischer Infrastrukturen gelten, fallen unter die neue Richtlinie NIS2, wenn sie mindestens 50 Beschäftigte oder mindestens 10 Mio. EUR Jahresumsatz und Jahresbilanz aufweisen. Einige wichtige fallen unabhängig von ihrer Größe unter die Regulierung (z. B. KRITIS). Eine kurze Übersicht aller Sektoren und Anforderungen finden Sie in unserem PDF-Download zu NIS-2.
Gemäß der EU-Richtlinie NIS2 unterscheidet sich die Höhe der Geldbuße je nach Einstufung (wesentlich/wichtig, groß/mittel/klein). Der Höchstbetrag liegt bei 10 Mio € oder 2% des weltweiten Umsatzes.
Wesentliche Einrichtungen werden proaktiv, regelmäßig von Behörden geprüft. Bei wichtigen Einrichtungen findet eine reaktive Prüfung statt, also erst, wenn es Hinweise auf Verstöße gibt.
Als Geschäftsführer müssen Sie im Rahmen der neuen EU-Richtlinie NIS2 die Umsetzung der notwendigen Maßnahmen überwachen und können persönlich haftbar gemacht werden, wenn es zu Verstößen kommt.
Mit NIS2 müssen CEOs an Schulungen teilnehmen und diese auch ihren Angestellten zur Verfügung stellen
Für Schulungen & Hygiene zur Cybersicherheit und den neuen Anforderungen der NIS2 Directive sind wir gern für Sie da. Kommen Sie gerne auf uns zu.
Gemäß der neu eingeführten NIS2-Richtlinie sind alle betroffenen Unternehmen dazu verpflichtet, die folgenden Cybersecurity-Maßnahmen einzuleiten, um die Risiken für Gefahren bei Netz- und Informationssystemen vollständig einzudämmen oder zumindest auf ein Minimum zu reduzieren.
Policies: Konzeptentwicklung für Risikoanalysen und Sicherheit von Informationssystemen
Vorfallbewältigung: Erkennung & Minimierung von Sicherheitsvorfällen
Geschäftskontinuität: Backup-Management & Herstellung sowie Krisenmanagement
Lieferkette: Sicherheit der Lieferkette Einkauf: Sicherheit bei der Beschaffung, Entwicklung und Wartung von IT-Systemen
Wirksamkeit: Strategien zur Bewertung der Wirksamkeit von Maßnahmen im Risikomanagement
Cyberhygiene, Schulungen: Weiterbildungen auf dem Gebiet der Cybersecurity & speziell NIS2
Kryptographie: für Maßnahmen und Einsatz von Kryptographie & Verschlüsselung
Personal, Zugriffe, Assets: Personalsicherheit, Zugriffskontrolle und Asset Management
Authentifizierung: Lösungen für Multi-Faktor-Authentifizierungen oder kontinuierliche Authentifizierungen
Kommunikation: Sichere Sprach-, Video- und Textkommunikation & eventuelle Notfallkommunikationssysteme
Unternehmen und Organisationen kritischer Infrastrukturen müssen nach Verordnung der NIS2-Directive alle erheblichen Sicherheitsvorfälle (schwerwiegende Betriebsstörungen) der nationalen Behörde sowie Empfängern der eigenen Dienste unverzüglich melden.
Frühwarnung innerhalb von 24h nach Problemerkenntnis: Vorfall ist rechtswidrig, beruht auf böswilligen Handlungen oder führt zu grenzübergreifenden Auswirkungen
Ausführlicher Bericht innerhalb von 72h nach Problemerkenntnis: Erste Einschätzung des Sicherheitsvorfalls, einschließlich der Einschätzung des Schweregrads, der Auswirkungen und eventueller Hinweise auf eine Kompromittierung.
Zwischen-/Abschlussbericht ein Monat nach Vorfallsmeldung: Ausführliche Beschreibung des Vorfalls, Art der Bedrohung oder Ursache, Abhilfemaßnahmen und eventuelle grenzüberschreitende Auswirkungen.
Ja. Nach Vorschriften der NIS2-Directive müssen sich alle betroffenen Unternehmen bei der nationalen Behörde registrieren. Das genaue Vorgehen zur Registrierung ist jedoch noch nicht festgelegt.
