NIS-2 im eigenen Haus umsetzen
Betroffenheit klären, die zehn Anforderungen aus Paragraf 30 BSIG umsetzen und die Meldeketten so aufstellen, dass 24 Stunden reichen.
Drei Fragen entscheiden über die Betroffenheit
Vor jeder Maßnahme steht die Einstufung und sie hängt an drei Fragen: Fällt Ihre Tätigkeit unter einen der Sektoren der Anlagen 1 und 2, erreichen Sie die Schwellen bei Beschäftigten und Umsatz und erbringen Sie eine Leistung, ohne die ein betroffener Kunde nicht arbeiten kann.
Aus den Antworten folgt, ob Sie als wesentlich oder als wichtig gelten. Der Unterschied betrifft die Aufsicht: Wesentliche Einrichtungen werden auch ohne Anlass geprüft, wichtige erst, wenn es einen Anlass gibt. Die Anforderungen selbst sind dieselben.
Diese Prüfung ist in wenigen Tagen erledigt und schriftlich zu dokumentieren. Wer sie sauber führt, hat im Zweifel den Nachweis, warum er nicht registriert ist.
Zehn Anforderungen, drei Gruppen
Das Gesetz listet zehn Punkte. Sortiert nach dem, was sie in der Organisation bedeuten, werden daraus drei Arbeitspakete.
Wissen, was passieren kann
Risikoanalyse und Sicherheitskonzept, Sicherheit in Entwicklung und Betrieb samt Schwachstellenmanagement und die Wirksamkeitsprüfung, die belegt, dass die Maßnahmen greifen.
Vorbereitet sein
Incident Response, Business Continuity mit Sicherung und Wiederanlauf, Krisenmanagement, dazu die Anforderungen an Zulieferer und Dienstleister entlang der Lieferkette.
Technisch und personell absichern
Zugangskontrolle mit Mehrfaktor-Anmeldung, Kryptografie, Sicherheit der Sprach-, Video- und Textkommunikation und Schulungen für alle Mitarbeitenden einschließlich der Geschäftsführung.
Vierundzwanzig Stunden, zweiundsiebzig Stunden, ein Monat
Die Fristen laufen ab Kenntnisnahme eines erheblichen Vorfalls und sie sind gestaffelt. Nach 24 Stunden geht die Frühwarnung an das BSI: Art des Vorfalls und ob ein rechtswidriger Vorgang vermutet wird. Nach 72 Stunden folgt die Zwischenmeldung mit erster Bewertung, Schwere und Kompromittierungsindikatoren. Nach einem Monat der Abschlussbericht mit Ursachen, Ablauf und getroffenen Maßnahmen.
Vierundzwanzig Stunden sind knapp, wenn erst geklärt werden muss, wer melden darf. Deshalb gehört zur Umsetzung eine Meldekette mit Namen, Vertretung und Zugangsdaten für das Meldeportal und ein Formular, das vorausgefüllt bereitliegt.
Nach Paragraf 38 BSIG trifft die Pflicht zur Billigung und Überwachung der Maßnahmen die Geschäftsleitung persönlich. Delegieren lässt sich die Durchführung, nicht die Verantwortung.
Drei Phasen
Von der Einstufung bis zum laufenden Betrieb.
Analyse, Woche 1 bis 4
Betroffenheitsprüfung mit schriftlicher Begründung, Gap-Analyse gegen die zehn Anforderungen und eine Bewertung je Lücke nach Aufwand und Schwere.
Umsetzung, Monat 2 bis 6
Risikoanalyse, Aufbau oder Erweiterung des Managementsystems, technische Maßnahmen, Incident-Response-Plan und Meldeprozesse, Registrierung beim BSI, Schulungen.
Laufender Betrieb
Wirksamkeitsprüfungen, Aktualisierung des Managementsystems, Vorbereitung auf Nachweise gegenüber der Aufsicht. Auf Wunsch als vCISO mit fester Ansprechperson.
NIS-2 hört nicht am Büronetz auf
Für Betreiber mit Produktion oder Leittechnik ist die Umsetzung in der Automatisierung der aufwendigere Teil. Ein Schwachstellenmanagement, das Patchen voraussetzt, funktioniert dort nicht und ein Nachweis über Angriffserkennung braucht andere Sensorik.
Wir setzen in dem Fall auf IEC 62443 auf, weil sie den Stand der Technik für Automatisierung beschreibt und sich als Nachweis gegenüber der Aufsicht führen lässt.
Häufige Fragen zu NIS-2
Möglicherweise über die Lieferkette. Betroffene Kunden müssen Sicherheitsanforderungen an ihre Zulieferer stellen und deren Einhaltung prüfen. In der Praxis kommt die Anforderung dann als Fragebogen oder Vertragsklausel zu Ihnen.
Sie deckt einen großen Teil ab und ist ein guter Ausgangspunkt. NIS-2 verlangt darüber hinaus die Meldeketten, die Registrierung und den Nachweis gegenüber der Geschäftsleitung. Wir gleichen Ihre vorhandenen Nachweise gegen die zehn Punkte ab, statt daneben ein zweites System aufzubauen.
Das BSIG sieht Bußgelder vor, gestaffelt nach wesentlicher und wichtiger Einrichtung und die Geschäftsleitung haftet nach Paragraf 38 persönlich für die Billigung und Überwachung der Maßnahmen.
Sechs bis neun Monate bei einem mittelständischen Betrieb ohne Managementsystem, deutlich kürzer, wenn eines vorhanden ist. Die Betroffenheitsprüfung und die Meldekette gehören an den Anfang, weil sie am schnellsten wirken.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.