Sie sind hier: Home » Markt » Hinweise & Tipps

NIS2: Risikomanagement ein Hauptmerkmal


Deep Observability und fünf weitere Schritte zur NIS-2-Konformität
Warum Deep Observability für die Anforderungen von NIS-2 ein absolutes Must-have ist



Von Tiho Saric, Senior Sales Director bei Gigamon

Die unfreiwillige Schonfrist hält weiter an; noch immer gibt es kein genaues Datum, ab dem die EU-Richtlinie NIS-2 offiziell greifen soll. Trotzdem müssen sich Unternehmen – sofern noch nicht geschehen – auf diesen Tag vorbereiten, denn es steht eine Menge auf der Maßnahmenagenda. Schließlich ist es das Ziel, das Cybersicherheits- und -resilienzniveau der EU möglichst schnell und effizient zu erhöhen.

Die NIS-2-Richtlinie bzw. das NIS-2-Umsetzungsgesetz gilt für alle Unternehmen, die mindestens 50 Mitarbeitende beschäftigen, über zehn Millionen Euro Umsatz erzielen und/oder in einer der 18 festgelegten kritischen Sektoren tätig sind. Ansonsten drohen ihnen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Wer unter diese Kriterien fällt, sollte also dringend mit den Vorbereitungen beginnen. Diese fünf Schritte, die die wesentlichen Vorgaben berücksichtigen, helfen bei der Umsetzung:

1. Risikobewusstsein stärken
Eines der Hauptbestandteile von NIS-2 ist das Risikomanagement, mit dem kritische Dienste und Infrastrukturen geschützt, Störungen vermieden und Auswirkungen von Sicherheitsvorfällen minimiert werden sollen. Betroffene Einrichtungen müssen daher sowohl technische als auch organisatorische Prozesse und Technologien implementieren, die Risiken schnell identifizieren, analysieren, bewerten und effektiv bewältigen können. Das Thema Cybersicherheit darf sich jedoch nicht nur auf die eigenen vier Wände beschränken. So sieht NIS-2 vor, dass betroffene Einrichtungen diese auch entlang ihrer Lieferketten zu gewährleisten haben. Regelmäßige Sicherheitsbewertungen und entsprechende Maßnahmen für alle Lieferanten und Partner sind demnach ein Muss.

2. Auf den Ernstfall vorbereiten
Es geht schon lange nicht mehr darum, das eigene Netzwerk lediglich zu isolieren, damit Cyberangreifer keine Chance auf einen Vorstoß haben. Vielmehr müssen sich Unternehmen auf die Eventualität eines Angriffs vorbereiten und mit den richtigen Mitteln dessen Auswirkungen auf kritische Dienste so niedrig wie möglich zu halten. Ein effektives Incident-Management hilft dabei, sowohl anormale Aktivitäten als auch akute Angriffe schnell zu erkennen und angemessen zu reagieren. Dies vereinfacht im Falle einer erfolgreichen Attacke die Wiederherstellung betroffener Systeme und Daten, was sowohl der allgemeinen Resilienz als auch der Geschäftskontinuität zugutekommt. Tatsächlich schreibt NIS-2 vor, dass Einrichtungen im Rahmen ihres Business-Continuity-Managements entsprechende Maßnahmen treffen – einschließlich Krisen- und Recovery-Pläne sowie regelmäßige Backups.

3. Dokumentations-, Nachweis- und Meldepflichten nicht vergessen
Ein strukturiertes Incident-Management hat noch einen weiteren Vorteil: Mit ihm können IT- und Sicherheitsteams Sicherheitsvorfällen und ihren Ursachen detailliert auf den Grund gehen. Das ist wichtig, denn mit der Einführung von NIS-2 sind Unternehmen dazu verpflichtet, diese der zuständigen Behörde innerhalb von 24 Stunden erstmals zu melden. Sowohl Erst- und Folgemeldungen als auch der Abschlussbericht müssen alle notwendigen Informationen wie eine Verlaufsbeschreibung, mögliche Ursache, angewandte Maßnahmen sowie Auswirkungen beinhalten. Neben der Meldepflicht müssen Betreiber kritischer Anlagen alle drei Jahre zusätzliche Nachweise aller umgesetzten Vorgaben erbringen; das Pendant für (besonders) wichtige Einrichtungen sind die Dokumentationspflicht sowie Stichproben. Um den Mehraufwand so gering wie möglich zu halten, sollten Unternehmen entsprechende Lösungen in Betracht ziehen, die die Berichterstattung und das Dokumentenmanagement wesentlich effizienter machen.

4. Sicherheitsmaßnahmen in den Alltag integrieren
In der Regel stellen die Mitarbeitenden selbst kritische Schwachstellen dar und werden von Cyberangreifern unter anderem mittels Social Engineering und Phishing gezielt ins Visier genommen. NIS-2 stellt deshalb verschiedene Anforderungen an sämtliche Prozesse und Technologien, die Teil des Arbeitsalltags eines jeden Kollegen sind. Kommunikation muss mittels Kryptografie verschlüsselt werden. Zugriffe auf Unternehmenssysteme müssen sowohl mithilfe von Multi-Faktor-Authentifizierung zusätzlich geschützt und zum Beispiel auf Grundlage des Zero-Trust-Konzepts gesteuert und eingeschränkt werden (Least Privilege). Darüber hinaus helfen regelmäßige Security-Schulungen dabei, das Sicherheitsbewusstsein der Belegschaft zu schärfen und sie für aktuelle Bedrohungen zu sensibilisieren.

5. Netzwerksichtbarkeit boosten
Auf Sichtbarkeit geht die NIS-2-Richtlinie nicht konkret ein. Sprich: Unternehmen sind nicht explizit dazu verpflichtet, die Sichtbarkeit innerhalb ihrer System- und Datenlandschaft zu erhöhen. Allerdings lassen sich Risiken, Schwachstellen und Vorfälle nur dann erkennen, bewerten und managen, wenn diese bekannt sind. Heutzutage ist das leichter gesagt als getan. Denn die IT-Umgebung von Unternehmen wächst mit jeder neuen Technologie und Lösung weiter, wird immer komplexer und bewegt sich zunehmend vom eigentlichen Kern weg. Dies wiederum macht es IT- und Sicherheitsteams nicht gerade einfach, den Überblick zu behalten und den umfassenden Schutz aller Systeme und Daten zu gewährleisten. Das Risiko von Blind Spots – zum Beispiel in Form lateralen East-West-Traffics oder verschlüsselten Datenverkehrs – wächst.

Da herkömmliche Sicherheitslösungen in dieser Umgebung schnell an ihre Grenzen stoßen, kommen Unternehmen langfristig nicht umhin, ihre Netzwerksichtbarkeit zu erhöhen. Am besten funktioniert das mit Deep Observability, das weit über traditionelles metrik-, event-, log- und tracebasiertes Monitoring hinausgeht. Sämtliche Daten, die sich durch das Netzwerk bewegen (einschließlich des verschlüsselten und lateralen Datenverkehrs), werden in einem Layer zusammengeführt, der sich zwischen dem Netzwerk und den Sicherheits- und Monitoring-Lösungen befindet. Dort werden sie analysiert und erst dann an die Lösungen weitergeleitet. Im Zuge dessen werden auch bislang unbekannte Blind Spots aufgedeckt. Ein solch hoher Grad an Sichtbarkeit bildet zudem die Grundlage für Zero-Trust- und auf Least Privilege aufbauende Identity-and-Access-Management-Konzepte. (Gigamon: ra)

eingetragen: 14.05.25

Gigamon: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Datenschutz erfordert technische Präzision

    Moderne Unternehmensarchitekturen stellen hohe Anforderungen an eine Consent Management Platform (CMP). Nur mit tiefer technischer Integration lassen sich Datenschutz und Nutzerfreundlichkeit effektiv umsetzen - das zeigen aktuelle Entwicklungen in Regulatorik und Praxis. Die Zeiten einfacher Cookie-Banner sind vorbei: In modernen Unternehmensumgebungen muss eine Consent Management Platform mehr leisten als die bloße Einholung einer Zustimmung.

  • Bewertung der Kreditwürdigkeit

    Wer in Anleihen investieren möchte, sollte die Unterschiede zwischen Staats- und Unternehmensanleihen kennen. Beide bieten Chancen aber auch unterschiedliche Risiken. Dieser Artikel zeigt, worauf es bei der Einschätzung von Bonität, Rendite und Sicherheit ankommt.

  • Compliance-Verstöße: Identitäten im Blindflug

    Rund 40 Prozent der Unternehmen verzichten laut einem aktuellen Bericht noch immer auf moderne Identity-Governance- und Administration-Lösungen (IGA). Das ist nicht nur ein organisatorisches Defizit - es ist ein ernstzunehmender Risikofaktor. Denn der Umgang mit digitalen Identitäten ist in vielen Organisationen noch immer ein Flickwerk aus manuellen Abläufen, intransparenten Prozessen und veralteter Technik. Während Cloud-Umgebungen rasant wachsen und Compliance-Anforderungen zunehmen, bleiben zentrale Fragen der Zugriffskontrolle oft ungelöst.

  • So schützen Sie sich vor Anlagebetrug

    Wer im Internet nach lukrativen Geldanlagemöglichkeiten sucht, sollte vorsichtig sein. Oft werden hohe Renditen auch für kleine Anlagebeträge versprochen. Was auf den ersten Blick verlockend klingt, kann Sie schnell um Ihr Geld bringen!

  • Risiko für Wirtschaftlichkeit & Compliance

    Die Begeisterung für KI-Modelle hält ungebrochen an - doch sie hat eine Schattenseite: Systeme wie GPT o3 und o4-mini werden zwar immer leistungsfähiger, halluzinieren aber immer häufiger. Bei Wissensfragen im sogenannten SimpleQA-Benchmark erreichen sie Fehlerquoten von bis zu 79 Prozent - ein alarmierender Wert, der selbst die Entwickler bei OpenAI ratlos zurücklässt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen