NIS2: Nachweisbare Cyber-Sicherheit

Mit der Richtlinie (EU) 2022/2555 (NIS2) und ihrer nationalen Umsetzung wächst der Kreis der Unternehmen erheblich, die ein nachweisbares Cyber-Sicherheitsniveau vorhalten müssen. Betroffen sind längst nicht mehr nur klassische Betreiber kritischer Anlagen, sondern auch Zulieferer, Dienstleister und mittelständische Unternehmen aus einer Reihe von Sektoren.

Neu ist vor allem die Verantwortung der Leitungsebene: Geschäftsführung und Vorstand müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich dafür schulen lassen. Delegieren lässt sich die Arbeit, die Verantwortung nicht.

Hierzu gehören

• Betroffenheitsanalyse: Fallen Sie als wesentliche oder wichtige Einrichtung unter die Regelung – und mit welchen Standorten und Gesellschaften?
• Aufbau des Risikomanagements nach Art. 21 NIS2 (Richtlinien, Notfall- und Krisenmanagement, Backup und Wiederanlauf, Zugriffskontrolle, Kryptografie)
• Sicherheit in der Lieferkette: Anforderungen an Dienstleister vertraglich verankern und überprüfen
• Melde- und Registrierungsprozesse, die die Fristen der Richtlinie einhalten (Frühwarnung, Meldung, Abschlussbericht)
• Nachweisdokumentation für Aufsichtsbehörden, Kunden und Auditoren
• Schulung und Unterrichtung der Leitungsebene
• Verzahnung mit vorhandenen Strukturen aus DSGVO, ISMS oder ISO 27001, statt eine zweite Parallelwelt aufzubauen
• Priorisierte Maßnahmenplanung mit Aufwand, Verantwortlichkeit und Termin

Wie wir arbeiten

Am Anfang steht die Frage, ob und in welchem Umfang Sie überhaupt betroffen sind – diese Einordnung ist die Grundlage jeder weiteren Investition. Danach vergleichen wir Ihren Ist-Stand mit den Anforderungen und übersetzen die Lücken in eine Maßnahmenliste, die nach Risiko und Aufwand sortiert ist. Sie erhalten damit eine belastbare Entscheidungsgrundlage statt einer Sammlung von Verboten.

Weil Datenschutz und Informationssicherheit weitgehend dieselben Prozesse und Nachweise betreffen, führen wir beides zusammen. Wer ein Verarbeitungsverzeichnis pflegt, hat einen Teil der NIS2-Dokumentation bereits erledigt – und umgekehrt.