Sie sind hier: Home » Markt » Hinweise & Tipps

Geordnet gegen Chaos beim Cyberangriff


EU-Direktive NIS2: So stellen Sie Ihre Task Force zusammen
Die Verantwortung für NIS2 in erfahrene Hände legen



Mit der neuen EU-Direktive NIS2 stehen Unternehmen vor der Herausforderung, ihre Cybersecurity-Strategie zu überarbeiten. Um den Anforderungen der Richtlinie gerecht zu werden, ist es entscheidend, ein Kernteam für Sicherheitsbelange zusammenzustellen. Wie Unternehmen dabei vorgehen sollten, erklärt Dirk Wocke, IT Compliance Manager und Datenschutzbeauftragter bei indevis.

Die neue NIS2-Direktive stellt konkrete Anforderungen an die technischen Maßnahmen, Richtlinien und Prozessbeschreibungen der Sicherheitsvorkehrungen in Unternehmen. Betriebe müssen sicherstellen, dass sie dafür über die notwendige Expertise verfügen – entweder aus den eigenen Reihen heraus oder durch externe Berater.

Kickdown-Start mit Top-down-Ansatz
Vor allem kleine und mittlere Unternehmen – die nach den Neuerungen nun auch in den Geltungsbereich von NIS fallen – sollten für die Einführung eines Information Security Management Systems (ISMS) oder dessen Erweiterung einen Top-down-Ansatz fahren. Die Geschäftsführung sollte sich zunächst eingehend mit ihren Pflichten und möglichen Sanktionen auseinandersetzen und sich schulen lassen. Mit diesem Wissen ausgestattet, kann sie dann entscheiden, welche Maßnahmen zur Umsetzung der Anforderungen notwendig sind und wie die Verantwortlichkeiten und Prozesse innerhalb des Unternehmens verteilt werden.

Im nächsten Schritt geht es darum, ein Kernteam aufzustellen, das in Zusammenarbeit mit der Geschäftsführung die vielfältigen Sicherheitsanforderungen im Blick behält. Die Rolle des Informationssicherheitsbeauftragten (ISB) und damit die Leitung sollte eine außerhalb der eigenen IT-Abteilung stehende Person mit IT-Hintergrund übernehmen, um im Ernstfall Interessenskonflikte zu vermeiden. Ist eine Person mit dieser Qualifikation nicht im Unternehmen zu finden, können Unternehmen auf externe Expertise zurückgreifen. Vor allem kleinere Betriebe profitieren vom Einsatz eines externen ISB. Dieser kann beispielsweise die Kommunikation mit den Aufsichtsbehörden übernehmen oder bei der Auswahl von Sicherheitstools wie auch bei Zertifizierungen unterstützen. Sein Einsatz erfolgt flexibel im Rahmen einer Beratungspauschale und die Organisation profitiert von der Erfahrung eines professionellen Experten.

Per Gap-Analyse den Bedarf klären
Um neben dem ISB weitere passende Mitglieder für das IT-Sicherheitskernteam aufzustellen, sollten Unternehmen ihren aktuellen Stand in Sachen Sicherheit erfassen: Mittels einer Gap-Analyse, für die sich Unternehmen ebenfalls Hilfe von externen Experten holen können, lassen sich bestehende Lücken im Security-Konzept oder in der IT-Security-Infrastruktur identifizieren. Diese umfassende Untersuchung gibt zusätzlich Hinweise darauf, wo und in welcher Reihenfolge noch fehlende Maßnahmen umgesetzt werden sollten. Die Umsetzung und Dokumentation dieser Maßnahmen erfolgt dabei am besten innerhalb eines kontinuierlichen Verbesserungsprozesses.

Die Gap-Analyse hilft ebenfalls zu erkennen, wer zu den verschiedenen Fragestellungen fachlich beitragen kann. Meist sind dies gleich mehrere Personen im Unternehmen, etwa der Facility-Manager, der sich um die physische Sicherheit kümmert, der Einkauf, der die Lieferanten im Blick hat, die Personalabteilung, wenn es um die Personalsicherheit geht oder die Marketingabteilung, falls Krisenkommunikation notwendig wird. Ist im Unternehmen ein Qualitätsmanagement-Beauftragter (QMB) vorhanden, kann dieser bei entsprechender Qualifikation im IT-Umfeld auch die Funktion des ISB übernehmen. Die Aufgabe, die Belegschaft über die geplanten Maßnahmen zu informieren und die Sicherheitsorganisation zu unterstützen, fällt der Geschäftsführung zu.

Ablaufplan für den Ernstfall
Die NIS2-Richtlinie schreibt unter anderem vor, dass ein Sicherheitsvorfall innerhalb von 72 Stunden zu melden ist und eine Evaluation nachgereicht werden muss. Unternehmen müssen daher sicherstellen, dass sie in der Lage sind, sicherheitsrelevante Vorfälle zu erkennen und zu verfolgen. Es gilt also, entsprechende Verantwortlichkeiten und Informationsketten festzulegen. Das macht eine interne Prozessbeschreibung notwendig, die das Prozedere im Ernstfall detailliert aufführt – und alle Mitglieder des Kernteams ausgedruckt in der Schreibtischschublade haben, falls ein Cybervorfall die IT lahmlegt. Wie Vorfälle einzustufen sind, beurteilt federführend der ISB. Regelmäßige Notfallübungen und Planspiele halten das Kernteam fit für den Ernstfall und helfen, immer wieder die eigene Sicherheitsstrategie mit möglichen künftigen Szenarien abzugleichen.

Die von NIS2 geforderten Maßnahmen umzusetzen, stellt viele Unternehmen erst einmal vor Herausforderungen. Dabei sollten sie sich aber vor Augen halten: Bei einem Cybervorfall entsteht erst einmal Chaos. Wer bereits vorher Verantwortlichkeiten und Abläufe geklärt und ein Team aufgestellt hat, kann schnell und geordnet definierten Prozessen folgen. So lassen sich die Folgen eines Angriffs auf ein Minimum reduzieren – und die neuen NIS2-Standards erfüllen. (indevis: ra)

eingetragen: 08.07.24
Newsletterlauf: 14.08.24

indevis IT Consulting and Solutions: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Datenschutz erfordert technische Präzision

    Moderne Unternehmensarchitekturen stellen hohe Anforderungen an eine Consent Management Platform (CMP). Nur mit tiefer technischer Integration lassen sich Datenschutz und Nutzerfreundlichkeit effektiv umsetzen - das zeigen aktuelle Entwicklungen in Regulatorik und Praxis. Die Zeiten einfacher Cookie-Banner sind vorbei: In modernen Unternehmensumgebungen muss eine Consent Management Platform mehr leisten als die bloße Einholung einer Zustimmung.

  • Bewertung der Kreditwürdigkeit

    Wer in Anleihen investieren möchte, sollte die Unterschiede zwischen Staats- und Unternehmensanleihen kennen. Beide bieten Chancen aber auch unterschiedliche Risiken. Dieser Artikel zeigt, worauf es bei der Einschätzung von Bonität, Rendite und Sicherheit ankommt.

  • Compliance-Verstöße: Identitäten im Blindflug

    Rund 40 Prozent der Unternehmen verzichten laut einem aktuellen Bericht noch immer auf moderne Identity-Governance- und Administration-Lösungen (IGA). Das ist nicht nur ein organisatorisches Defizit - es ist ein ernstzunehmender Risikofaktor. Denn der Umgang mit digitalen Identitäten ist in vielen Organisationen noch immer ein Flickwerk aus manuellen Abläufen, intransparenten Prozessen und veralteter Technik. Während Cloud-Umgebungen rasant wachsen und Compliance-Anforderungen zunehmen, bleiben zentrale Fragen der Zugriffskontrolle oft ungelöst.

  • So schützen Sie sich vor Anlagebetrug

    Wer im Internet nach lukrativen Geldanlagemöglichkeiten sucht, sollte vorsichtig sein. Oft werden hohe Renditen auch für kleine Anlagebeträge versprochen. Was auf den ersten Blick verlockend klingt, kann Sie schnell um Ihr Geld bringen!

  • Risiko für Wirtschaftlichkeit & Compliance

    Die Begeisterung für KI-Modelle hält ungebrochen an - doch sie hat eine Schattenseite: Systeme wie GPT o3 und o4-mini werden zwar immer leistungsfähiger, halluzinieren aber immer häufiger. Bei Wissensfragen im sogenannten SimpleQA-Benchmark erreichen sie Fehlerquoten von bis zu 79 Prozent - ein alarmierender Wert, der selbst die Entwickler bei OpenAI ratlos zurücklässt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen