Einordnung gesetzlicher Anforderungen, Bewertung der eigenen Betroffenheit und strukturierte Umsetzung im Kontext bestehender Systemlandschaften.
Mit der Umsetzung der europäischen NIS-2-Richtlinie in nationales Recht sind für zahlreiche Unternehmen konkrete Anforderungen an die Informationssicherheit verbindlich geworden.
Betroffen sind insbesondere Organisationen in regulierten Branchen sowie Unternehmen, die kritische Dienstleistungen erbringen oder Teil entsprechender Lieferketten sind.
Die Verantwortung für die Einhaltung der Anforderungen liegt bei der jeweiligen Organisation. Dazu gehört insbesondere die eigenständige Prüfung, ob eine Betroffenheit vorliegt und welche Maßnahmen umzusetzen sind.
Die Anforderungen richten sich unter anderem an Unternehmen und Organisationen in folgenden Kontexten:
Betreiber kritischer Infrastrukturen
Unternehmen mit erhöhter Bedeutung für Versorgung und Wirtschaft
Organisationen mit erhöhten Anforderungen an Sicherheit und Verfügbarkeit
Unternehmen innerhalb regulierter oder sicherheitskritischer Lieferketten
Die konkrete Einordnung erfolgt individuell und hängt von Branche, Größe und Funktion innerhalb der jeweiligen Wertschöpfungskette ab.
Die gesetzlichen Vorgaben konzentrieren sich auf die strukturierte Umsetzung von Maßnahmen zur Informationssicherheit sowie deren Nachweisbarkeit.
Dazu zählen insbesondere:
Aufbau und Dokumentation von Risikomanagementmaßnahmen
Sicherstellung von Betriebsfähigkeit und Wiederherstellbarkeit
Umsetzung von Sicherheitsmaßnahmen entlang der gesamten Systemlandschaft
Nachweis- und Dokumentationspflichten gegenüber Behörden
Meldepflichten bei Sicherheitsvorfällen innerhalb definierter Fristen
Verantwortung der Geschäftsleitung für Umsetzung und Überwachung
Die geforderten Maßnahmen entsprechen dabei weitgehend etablierten Best Practices der Informationssicherheit, werden jedoch durch die gesetzliche Verankerung verbindlich.
Ein zentraler erster Schritt besteht in der Einordnung, ob und in welchem Umfang ein Unternehmen von den Anforderungen betroffen ist.
Im Rahmen einer Betroffenheitsanalyse wird geprüft:
ob eine Zuordnung zu den definierten Kategorien erfolgt
welche regulatorischen Anforderungen konkret greifen
welche Maßnahmen bereits umgesetzt sind
wo weiterer Handlungsbedarf besteht
Das Ergebnis bildet die Grundlage für alle weiteren Schritte und ermöglicht eine strukturierte und nachvollziehbare Einordnung der aktuellen Situation.
Die Umsetzung der Anforderungen erfolgt im Kontext bestehender Strukturen und Prozesse. Ziel ist es, Maßnahmen nicht isoliert umzusetzen, sondern in bestehende Systemlandschaften zu integrieren.
Ein wesentlicher Bestandteil ist dabei die strukturierte Weiterentwicklung von Sicherheitsmaßnahmen im Zusammenspiel von Organisation, Technik und Betrieb.
Weiterführende Informationen zur strukturierten Umsetzung von Informationssicherheit finden Sie auf der entsprechenden Seite zum Thema ISMS.
Im Rahmen von NIS-2 stehen insbesondere organisatorische und steuernde Aspekte der Informationssicherheit im Vordergrund.
Hierzu zählen unter anderem:
Einordnung und Steuerung von Sicherheitsanforderungen
Unterstützung im Bereich Informationssicherheitsmanagement
Durchführung interner Audits zur Bewertung bestehender Strukturen
Vorbereitung auf externe Prüfungen oder Zertifizierungen
Durchführung standardisierter Prüfverfahren zur ersten Einordnung
Diese Leistungen werden durch spezialisierte Partner erbracht, die sich auf Governance, Management und organisatorische Aspekte der Informationssicherheit konzentrieren.
Für kleinere Unternehmen stellt die Einordnung der Anforderungen häufig eine besondere Herausforderung dar.
Zur strukturierten Erstbewertung können standardisierte Verfahren eingesetzt werden, die einen Einstieg in das Thema ermöglichen und eine erste Orientierung bieten.
Diese dienen insbesondere dazu, bestehende Maßnahmen zu bewerten und priorisierte Handlungsfelder abzuleiten.
Betroffenheit im Kontext der NIS-2 Anforderungen
→ Erste Einschätzung zur Relevanz der gesetzlichen Vorgaben
→ Strukturierte Bewertung bestehender Maßnahmen und Handlungsfelder
