NIS-2 einfach erklärt

Bis Oktober 2024 müssen die EU-Mitgliedsstaaten NIS2 in nationales Recht umsetzen. (Bild: ©Konsta/stock.adobe.com)

7. Kommunikationswege

Es gilt, Verhaltensanweisungen für das Personal vorzubereiten und zu kommunizieren. Über Änderungen ist jederzeit zur informieren. Interaktive (Online-)Schulungen dienen dem Zweck, die Belegschaft zu trainieren und ihr Wissen regelmäßig aufzufrischen. Während es von der Hausverwaltung meist Aushänge, Briefe oder E-Mails mit wichtigen Handlungsanweisungen gibt, gilt für IT-Sicherheit in Unternehmen: Es braucht abgestimmte Kommunikations- und Notfallpläne, die allen zugänglich sind. Zudem sind notwendige Änderungen sorgfältig vorzubereiten, zu bewerten, mit risikominimierenden Maßnahmen zu unterlegen und zu dokumentieren. Und natürlich müssen sich im Notfall alle entsprechend verhalten. Hat etwa ein Security-Dienstleister für ein Unternehmen belastbare Notfallpläne ausgearbeitet, doch die Firma bespricht diese Strategien nicht mit dem Personal, kommt es bei einer Cyber-Attacke schnell zu Panik oder unbedachten Handlungen, die das Problem unter Umständen verschärfen. Man stelle sich vor was passiert, wenn die Bewohner eines Mietshauses beispielsweise nicht über die geplante Instandhaltung der Wasserleitungen mit Abschaltung aller Leitungen informiert werden.

8. Supply-Chain-Risiken

Es gilt, Supply-Chain-Risiken ganzheitlich abzufragen und wirkungsvoll zu managen. Hierfür sollten Unternehmen auf branchenspezifische, bewährte Best Practices setzen. Für Geschäftsgebäude wie für die Unternehmenssysteme gilt: Lieferanten, Partner und andere Betriebsfremde, die Zugang haben oder auf Applikationen zugreifen, sind ins Risikomanagement zu integrieren. Im Bereich IT sind zum einen nur gesicherte IT-Lösungen bereitzustellen, zum anderen ist zu gewährleisten, dass Externe selbst nicht zum Sicherheitsrisiko werden. Darum sind Zero Trust und Multi-Faktor-Authentifizierung unverzichtbar.

Fazit

Vor dem Hintergrund dieser acht Handlungsfelder müssen Unternehmen rechtssicher beurteilen, inwieweit sie von den NIS-2-Vorgaben betroffen sind, sich einen Überblick verschaffen, welche Maßnahmen bereits umgesetzt sind, die Umsetzung der Maßnahmen konsequent priorisieren, die damit verbundenen finanziellen und personellen Aufwendungen bestimmen, die Umsetzbarkeit der Maßnahmen unter Einbeziehung interner und externer Ressourcen, wie etwa Managed Service Providern, gemeinsam sicherstellen,

Rollen und Verantwortlichkeiten einschließlich Kommunikation unter Einbeziehung interner und externer Ressourcen, wie etwa Managed Service Providern, vollständig definieren und alle getroffenen Maßnahmen und Regelungen ausführlich dokumentieren.

Für einen adäquaten Schutz ist zu erörtern, welche Risiken es gibt, welche Bereiche besonders gefährdet sind und wie diese sich bestmöglich schützen lassen. So setzen Unternehmen die NIS-2 zuverlässig um.

Datum:16. August 2024

Autoren:Andreas Nolte, Head of Cyber Security, Arvato Systems & Dr. Consuela Utsch, Geschäftsführerin und Gründerin, Acuroc Solutions GmbH

Themen: Technik

Webseite: www.arvato-systems.de

Downloads: