Bei der Betroffenheitsprüfung stellt sich heraus, dass Ihr Unternehmen von NIS2 betroffen ist. An diesem Punkt beginnt die eigentliche Umsetzung. Die NIS2 Richtlinie verlangt keine einmalige Maßnahme, sondern den Aufbau geeigneter organisatorischer Prozesse und eines strukturierten Informationssicherheitsmanagements.
Die NIS2-Umsetzung erfolgt grundsätzlich risikobasiert. Demnach muss nicht automatisch jedes Unternehmen dieselben Maßnahmen treffen. Die Sicherheitsmaßnahmen müssen vielmehr zu Ihrer Branche, Ihrer Unternehmensgröße und der individuellen Risikolage Ihres Unternehmens passen.
Der folgende Leitfaden soll dazu dienen, dass sie sich über diese grundsätzlichen Maßnahmen einen Überblick verschaffen. Eine vollständige, an ihr Unternehmen angepasste Handlungsempfehlung kann und soll dieser Beitrag nicht ersetzen.
Schritt 1: Cybersicherheit organisatorisch verankern
- Zuständigkeiten festlegen: Wer trifft Entscheidungen? Wer ist Ansprechpartner bei Sicherheitsvorfällen? Wer koordiniert externe Dienstleister? Wer berichtet regelmäßig an die Geschäftsleitung?
- Geschäftsleitung- und Führung einbinden
- Abteilungen für IT, Datenschutz, Recht, Einkauf und Krisenmanagement müssen gegebenenfalls auch zusammenarbeiten
Gerade in unserer Rolle des externen Datenschutzbeauftragten ist an dieser Stelle auch wichtig zu erwähnen, dass die Verantwortung für NIS2 weder vollständig an einen IT-Dienstleister noch auf den Datenschutzbeauftragten ausgelagert werden kann.
Schritt 2: Risiken bewerten und geeignete Maßnahmen festlegen
- Technische und organisatorische Maßnahmen festlegen,
- Vorkehrungen für Sicherheitsvorfälle treffen,
- Backups, Wiederherstellung und Krisenmanagement vorbereiten,
- Risiken in der Lieferkette berücksichtigen und Dienstleister entsprechend einbinden,
- Beschäftigte durch regelmäßige Schulungen bezüglich Themen wie Passwortsicherheit, Phishing und dem Umgang mit Sicherheitsvorfällen sensibilisieren,
- Zugriffsrechte, Authentifizierungen und Verschlüsselungen angemessen gestalten.
Wichtig ist nicht nur, dass diese Maßnahmen festgelegt und eingeführt werden, sondern dass ihre Wirksamkeit zudem auch regelmäßig überprüft und dokumentiert wird. Einer der wichtigsten Grundgedanken hinter NIS2 ist, dass Informationssicherheit kein einmaliges Projekt ist. Weil sich Geschäftsprozesse, Technologien und Gefahren kontinuierlich verändern, müssen die Maßnahmen dies auch tun.
Schritt 3: Auf Sicherheitsvorfälle vorbereitet sein
Neben angemessen Schutzmaßnahmen ist es auch wichtig, trotz diesen jederzeit auf einen Sicherheitsvorfall vorbereitet zu sein.
NIS2 verlangt, dass Sie Sicherheitsvorfälle
- erkennen,
- intern melden,
- bewerten und
- dokumentieren.
Bei größeren Vorfällen kann zudem eine Meldung an die zuständige Behörde erforderlich sein. Es ist empfehlenswert, auch für diese Schritte vorab einen festen Ablauf festzulegen.
Wie Sie sehen, ist NIS2 kein einmaliges Projekt, sondern ein fortlaufender Prozess. In diesem Prozess spielt auch die Geschäftsleitung eine wichtige Rolle. Im nächsten Beitrag unserer NIS2-Reihe werfen wir einen Blick auf genau diese Rolle und auf die Frage, warum und inwiefern die Verantwortung der Geschäftsleitung bei NIS2 über die reine Kontrollfunktion hinausgeht.