NIS2-Checkliste: praktische Schritte für Unternehmen

Was es ist

NIS2-Bereitschaft bedeutet, zu verstehen, ob und wie die Richtlinie auf Sie anwendbar ist, und dann die erwarteten Governance-, technischen und organisatorischen Maßnahmen aufzubauen und zu dokumentieren. Artikel 21 nennt die Bereiche der Risikomanagementmaßnahmen im Bereich der Cybersicherheit, darunter Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung einschließlich Umgang mit Schwachstellen, Bewertung der Wirksamkeit der Maßnahmen, grundlegende Cyberhygiene und Schulungen, Kryptografie, Sicherheit des Personals und Zugriffskontrolle sowie Multi-Faktor- oder kontinuierliche Authentifizierung. Artikel 20 überträgt den Leitungsorganen die Verantwortung, diese Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Artikel 23 legt eine gestufte Meldung von Vorfällen an die zuständige Behörde oder das CSIRT fest: eine Frühwarnung innerhalb von 24 Stunden, nachdem ein erheblicher Sicherheitsvorfall bekannt wurde, eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach dieser Meldung. Nationales Recht kann Einzelheiten ergänzen, und für bestimmte digitale Anbieter wie Cloud-, Rechenzentrums-, Managed-Service- und DNS-Anbieter legt die Durchführungsverordnung (EU) 2024/2690 der Kommission die technischen Anforderungen genauer fest.

Für wen es gedacht ist

Diese Checkliste richtet sich an:

• Mittlere und größere Organisationen in von NIS2 erfassten Sektoren, die ihre Position bewerten
• Zulieferer betroffener Einrichtungen, die NIS2-bezogene Sicherheitsfragebögen erhalten
• Geschäftsleitungen, die einen strukturierten Überblick darüber benötigen, was mit rechtlichen und technischen Beratern zu besprechen ist
• IT- und Sicherheitsverantwortliche, die eine Gap-Analyse und eine Roadmap vorbereiten

Was es zu klären hilft

Die Checkliste hilft zu klären:

• ob Ihre Organisation voraussichtlich in den Anwendungsbereich fällt und welche nationale Behörde zuständig ist
• wo bestehende Kontrollen und Dokumentation hinter den erwarteten Maßnahmen zurückbleiben
• wer in der Geschäftsleitung verantwortlich ist und welche Schulungen benötigt werden
• welche Lücken zuerst geschlossen werden sollten und welche gesonderten Fachrat erfordern

Was ist enthalten

• Anwendungsbereich: Sektor, Größe und die Mitgliedstaaten, in denen Sie tätig sind, bestätigen; Ergebnis und Begründung dokumentieren
• Registrierung: prüfen, ob nationales Recht eine Registrierung bei einer Behörde verlangt und bis wann
• Governance: eine verantwortliche Führungskraft benennen, vereinbaren, wie die Geschäftsleitung Sicherheitsmaßnahmen billigt und überprüft, und Schulungen für die Leitung planen
• Risikobewertung: kritische Dienste, unterstützende Systeme und die wichtigsten Risiken für diese dokumentieren
• Richtlinien: eine Informationssicherheitsrichtlinie, Regeln zur Zugriffskontrolle und Vorgaben zur Kryptografie pflegen
• Bewältigung von Vorfällen: festlegen, was für Sie ein erheblicher Sicherheitsvorfall ist, wer entscheidet und wie die Meldungen nach 24 Stunden, 72 Stunden und einem Monat vorbereitet werden
• Betriebskontinuität: Backups und Wiederherstellung kritischer Dienste testen und die Krisenkommunikation dokumentieren
• Lieferkette: wichtige IKT-Dienstleister auflisten, deren Sicherheitszusagen prüfen und Sicherheitsklauseln in Verträge aufnehmen
• Sichere Entwicklung und Umgang mit Schwachstellen: festlegen, wie Schwachstellen gemeldet, bewertet und behoben werden
• Hygiene und Schulung: regelmäßige Sensibilisierungsschulungen durchführen, planmäßig patchen und MFA durchsetzen
• Wirksamkeit: regelmäßige Überprüfungen oder Tests planen, um zu zeigen, dass die Maßnahmen wirken

Was nicht enthalten ist

• Rechtsberatung oder eine Feststellung, dass Sie in den Anwendungsbereich fallen oder nicht
• Zertifizierung, Compliance-Freigabe oder ein amtliches Prüfungsurteil
• Einreichung von Meldungen oder Registrierungen bei Behörden in Ihrem Namen
• Die Behauptung, dass das Abarbeiten der Checkliste das nationale Recht erfüllt

Wann man es wählt

Nutzen Sie diese Checkliste, wenn Sie NIS2 erstmals bewerten, wenn die nationale Umsetzung in einem Land, in dem Sie tätig sind, veröffentlicht oder aktualisiert wird, oder wenn ein Kunde Nachweise für an NIS2 ausgerichtete Sicherheit verlangt. Kombinieren Sie sie mit Rechtsberatung zum Anwendungsbereich und zu nationalen Anforderungen. Wenn Sie bereits ein Programm auf Basis von ISO 27001 betreiben, ordnen Sie bestehende Kontrollen der Checkliste zu, bevor Sie neue Dokumente erstellen. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.

Unser Ansatz

Beginnen Sie mit Anwendungsbereich und Governance; technische Arbeit ohne Verantwortung der Geschäftsleitung gerät meist ins Stocken. Führen Sie als Nächstes eine Gap-Analyse gegen die Maßnahmen durch und stützen Sie sich dabei auf Belege statt auf Annahmen: Konfiguration, Protokolle, Testergebnisse, Verträge und Schulungsnachweise. Ordnen Sie Lücken nach Risiko und Aufwand und erstellen Sie eine Roadmap mit Verantwortlichen und Terminen. Unser Security Baseline Review kann einen dokumentierten Ausgangspunkt liefern: eine schriftliche Einschätzung vereinbarter Assets, nach Schweregrad gestufte Beobachtungen und Beobachtungen zu Bereitschaftslücken gegenüber einer vereinbarten Referenz, sofern dies im bestätigten Scope enthalten ist. Es unterstützt interne Entscheidungen und Gespräche mit Stakeholdern mit einer dokumentierten Sicht auf die Vorbereitung, die Sie Zertifizierungsstellen und Rechtsberatern vorlegen können. Üben Sie für die Bewältigung von Vorfällen den Meldeablauf in einer Tabletop-Übung, damit die Frühwarnung innerhalb von 24 Stunden realistisch statt theoretisch ist. Überarbeiten Sie die Roadmap, wenn sich nationale Leitlinien weiterentwickeln.

Security Baseline Review

Häufig gestellte Fragen

Verwandte Artikel