EU-Direktive NIS2: So stellen Sie Ihre Task Force zusammen

Mit der neuen EU-Direktive NIS2 stehen Unternehmen vor der Herausforderung, ihre Cybersecurity-Strategie zu überarbeiten. Um den Anforderungen der Richtlinie gerecht zu werden, ist es entscheidend, ein Kernteam für Sicherheitsbelange zusammenzustellen.

Wie Unternehmen dabei vorgehen sollten, erklärt Dirk Wocke, IT Compliance Manager und Datenschutzbeauftragter bei indevis.

Die neue NIS2-Direktive stellt konkrete Anforderungen an die technischen Maßnahmen, Richtlinien und Prozessbeschreibungen der Sicherheitsvorkehrungen in Unternehmen. Betriebe müssen sicherstellen, dass sie dafür über die notwendige Expertise verfügen – entweder aus den eigenen Reihen heraus oder durch externe Berater.

Kickdown-Start mit Top-down-Ansatz

Vor allem kleine und mittlere Unternehmen – die nach den Neuerungen nun auch in den Geltungsbereich von NIS fallen – sollten für die Einführung eines Information Security Management Systems (ISMS) oder dessen Erweiterung einen Top-down-Ansatz fahren. Die Geschäftsführung sollte sich zunächst eingehend mit ihren Pflichten und möglichen Sanktionen auseinandersetzen und sich schulen lassen. Mit diesem Wissen ausgestattet, kann sie dann entscheiden, welche Maßnahmen zur Umsetzung der Anforderungen notwendig sind und wie die Verantwortlichkeiten und Prozesse innerhalb des Unternehmens verteilt werden.

Die Verantwortung für NIS2 in erfahrene Hände legen

Im nächsten Schritt geht es darum, ein Kernteam aufzustellen, das in Zusammenarbeit mit der Geschäftsführung die vielfältigen Sicherheitsanforderungen im Blick behält. Die Rolle des Informationssicherheitsbeauftragten (ISB) und damit die Leitung sollte eine außerhalb der eigenen IT-Abteilung stehende Person mit IT-Hintergrund übernehmen, um im Ernstfall Interessenskonflikte zu vermeiden. Ist eine Person mit dieser Qualifikation nicht im Unternehmen zu finden, können Unternehmen auf externe Expertise zurückgreifen. Vor allem kleinere Betriebe profitieren vom Einsatz eines externen ISB. Dieser kann beispielsweise die Kommunikation mit den Aufsichtsbehörden übernehmen oder bei der Auswahl von Sicherheitstools wie auch bei Zertifizierungen unterstützen. Sein Einsatz erfolgt flexibel im Rahmen einer Beratungspauschale und die Organisation profitiert von der Erfahrung eines professionellen Experten.

Per Gap-Analyse den Bedarf klären

Um neben dem ISB weitere passende Mitglieder für das IT-Sicherheitskernteam aufzustellen, sollten Unternehmen ihren aktuellen Stand in Sachen Sicherheit erfassen: Mittels einer Gap-Analyse, für die sich Unternehmen ebenfalls Hilfe von externen Experten holen können, lassen sich bestehende Lücken im Security-Konzept oder in der IT-Security-Infrastruktur identifizieren. Diese umfassende Untersuchung gibt zusätzlich Hinweise darauf, wo und in welcher Reihenfolge noch fehlende Maßnahmen umgesetzt werden sollten. Die Umsetzung und Dokumentation dieser Maßnahmen erfolgt dabei am besten innerhalb eines kontinuierlichen Verbesserungsprozesses.

Die Gap-Analyse hilft ebenfalls zu erkennen, wer zu den verschiedenen Fragestellungen fachlich beitragen kann. Meist sind dies gleich mehrere Personen im Unternehmen, etwa der Facility-Manager, der sich um die physische Sicherheit kümmert, der Einkauf, der die Lieferanten im Blick hat, die Personalabteilung, wenn es um die Personalsicherheit geht oder die Marketingabteilung, falls Krisenkommunikation notwendig wird. Ist im Unternehmen ein Qualitätsmanagement-Beauftragter (QMB) vorhanden, kann dieser bei entsprechender Qualifikation im IT-Umfeld auch die Funktion des ISB übernehmen. Die Aufgabe, die Belegschaft über die geplanten Maßnahmen zu informieren und die Sicherheitsorganisation zu unterstützen, fällt der Geschäftsführung zu.

Ablaufplan für den Ernstfall

Die NIS2-Richtlinie schreibt unter anderem vor, dass ein Sicherheitsvorfall innerhalb von 72 Stunden zu melden ist und eine Evaluation nachgereicht werden muss. Unternehmen müssen daher sicherstellen, dass sie in der Lage sind, sicherheitsrelevante Vorfälle zu erkennen und zu verfolgen. Es gilt also, entsprechende Verantwortlichkeiten und Informationsketten festzulegen. Das macht eine interne Prozessbeschreibung notwendig, die das Prozedere im Ernstfall detailliert aufführt – und alle Mitglieder des Kernteams ausgedruckt in der Schreibtischschublade haben, falls ein Cybervorfall die IT lahmlegt. Wie Vorfälle einzustufen sind, beurteilt federführend der ISB. Regelmäßige Notfallübungen und Planspiele halten das Kernteam fit für den Ernstfall und helfen, immer wieder die eigene Sicherheitsstrategie mit möglichen künftigen Szenarien abzugleichen.

Geordnet gegen Chaos beim Cyberangriff

Die von NIS2 geforderten Maßnahmen umzusetzen, stellt viele Unternehmen erst einmal vor Herausforderungen. Dabei sollten sie sich aber vor Augen halten: Bei einem Cybervorfall entsteht erst einmal Chaos. Wer bereits vorher Verantwortlichkeiten und Abläufe geklärt und ein Team aufgestellt hat, kann schnell und geordnet definierten Prozessen folgen. So lassen sich die Folgen eines Angriffs auf ein Minimum reduzieren – und die neuen NIS2-Standards erfüllen.