Die NIS2-Richtlinie stellt Unternehmen vor neue Herausforderungen im Bereich der IT-Sicherheit. Mit der bis zum 18. Oktober 2024 umzusetzenden Richtlinie müssen zehntausende Unternehmen in Deutschland ihr Sicherheitsniveau erheblich erhöhen. In diesem Artikel werden sechs wichtige Maßnahmen vorgestellt, um NIS2-konform zu werden und somit die gesetzlichen Vorgaben zu erfüllen.

Bildung eines Projekt-Teams

Ein wesentlicher Schritt zur Umsetzung der NIS2-Richtlinie ist die Bildung eines Kernteams aus Entscheidungsträgern. Dieses Team sollte aus der Geschäftsleitung, IT- und Datenschutzbeauftragten sowie Vertretern der Rechtsabteilung und des Einkaufs bestehen. Eine erste Maßnahme für das Kernteam ist die Schulung in relevanten Bereichen der NIS2. Diese Schulungen helfen den Mitgliedern, die verschiedenen Aspekte der Richtlinie zu verstehen und umzusetzen. So bieten spezialisierte Schulungsprogramme Führungskräften Einblicke in die Erfüllung der NIS2-Vorgaben und sensibilisieren sie für die notwendigen Sicherheitsmaßnahmen.

Ein praktisches Beispiel aus der Praxis ist die Implementierung von Sicherheitsprotokollen und Notfallplänen, die in Schulungen erarbeitet und getestet werden können. Diese Protokolle müssen regelmäßig überprüft und aktualisiert werden, um den sich ständig ändernden Bedrohungen gerecht zu werden.

Strukturen schaffen

Die NIS2-Richtlinie macht deutlich, dass IT-Sicherheit Chefsache ist. Geschäftsführer und Vorstände sind unmittelbar verantwortlich und können bei Verstößen persönlich haftbar gemacht werden. Daher müssen geeignete organisatorische Strukturen geschaffen werden, um die Führungsebene in sicherheitsrelevante Entscheidungen einzubinden. Dies erfordert möglicherweise die Einrichtung neuer Informationskanäle, damit die Geschäftsführung alle notwendigen Informationen erhält, um fundierte Entscheidungen zu treffen.

Ein praktischer Ansatz ist die Einführung regelmäßiger Sicherheitsbriefings, bei denen die Geschäftsführung über aktuelle Bedrohungen und Sicherheitsmaßnahmen informiert wird. Diese Briefings sollten auf verständliche Weise die wesentlichen Sicherheitsaspekte darstellen und konkrete Handlungsempfehlungen geben.

ISMS Implementieren

Ein zentrales Element der NIS2-Richtlinie ist die Einführung eines Informationssicherheits-Managementsystems (ISMS). Die Anforderungen an ein ISMS sind umfangreich und decken sich in vielen Bereichen mit der ISO 27001, gehen jedoch teilweise darüber hinaus. Zu den Anforderungen gehören unter anderem Meldepflichten für Sicherheitsvorfälle, die in der ISO-Norm nicht explizit definiert sind.

Ein ISMS muss Sicherheitsmaßnahmen enthalten, die dem Stand der Technik entsprechen. Hierzu zählt beispielsweise die Implementierung eines Endpoint Detection and Response (EDR)-Systems. Ein Beispiel aus der Praxis ist die Nutzung von EDR-Systemen, die in Echtzeit Bedrohungen erkennen und abwehren können. Die Wahl des EDR-Anbieters sollte sich an den spezifischen Bedürfnissen des Unternehmens orientieren und sicherstellen, dass der gewählte Anbieter für den Enterprise-Bereich geeignet ist.

Prozesse und Meldepflichten

Die NIS2-Richtlinie fordert klare Prozesse für die Meldung von IT-Sicherheitsvorfällen. Innerhalb von 24 Stunden müssen sicherheitsrelevante Vorfälle gemeldet werden, auch an Wochenenden und Feiertagen. Nach 72 Stunden ist ein Zwischenbericht erforderlich, und nach 30 Tagen ein Abschlussbericht oder ein weiterer Zwischenbericht.

Unternehmen müssen sicherstellen, dass sie über die notwendigen Ressourcen verfügen, um diese Anforderungen zu erfüllen. Eine praktische Lösung ist der Abschluss eines Retainer-Vertrages mit einem qualifizierten Incident Responder, der im Ernstfall schnell reagieren kann. Diese Verträge gewährleisten, dass Unternehmen im Falle eines Sicherheitsvorfalls sofort Unterstützung erhalten und die Meldepflichten fristgerecht erfüllen können.

Lieferkettenabsicherung und Sicherheitszertifikate

Für Unternehmen, die Software für kritische Infrastrukturen herstellen, sind Cybersicherheitszertifikate nach den „Common Criteria“ der ISO 15408 von Bedeutung. Diese Zertifikate sind ein Nachweis dafür, dass die Produkte den höchsten Sicherheitsstandards entsprechen. Unternehmen müssen sicherstellen, dass ihre eigenen Produkte und die ihrer Zulieferer diese Anforderungen erfüllen.

Ein Beispiel ist die Überprüfung und Zertifizierung von Softwareprodukten durch externe Prüfer, um sicherzustellen, dass sie keine bekannten Sicherheitslücken aufweisen. Dies stärkt das Vertrauen der Kunden und erhöht die Sicherheit der gesamten Lieferkette.

Registrierung und Compliance

Unternehmen, die von der NIS2 betroffen sind, müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Diese Registrierung erfordert die Angabe detaillierter Informationen, darunter Kontaktdaten und eine rund um die Uhr erreichbare Kontaktstelle. Änderungen dieser Daten müssen innerhalb von zwei Wochen gemeldet werden, da sonst hohe Strafen drohen.

Die rechtzeitige Registrierung und Pflege der Daten ist entscheidend, um die gesetzlichen Vorgaben zu erfüllen. Unternehmen sollten daher frühzeitig alle erforderlichen Informationen sammeln und regelmäßig aktualisieren.

Fazit

Die Umsetzung der NIS2-Richtlinie stellt Unternehmen vor erhebliche Herausforderungen, bietet jedoch auch die Möglichkeit, die IT-Sicherheitsstandards zu erhöhen und die Widerstandsfähigkeit gegen Cyberangriffe zu stärken. Durch die Bildung eines Kernteams, die Schaffung geeigneter organisatorischer Strukturen, die Implementierung eines ISMS, die Einrichtung klarer Prozesse und Meldepflichten, die Absicherung der Lieferkette und die Registrierung beim BSI können Unternehmen die Anforderungen der NIS2 erfüllen und ihre Cybersicherheit nachhaltig verbessern. Externe Unterstützung und regelmäßige Schulungen helfen dabei, die komplexen Anforderungen zu bewältigen und die IT-Sicherheitsstrategie erfolgreich umzusetzen.