Mit der NIS-2-Richtlinie verfolgt die Europäische Union das Ziel, die Cybersicherheit in Unternehmen und öffentlichen Einrichtungen nachhaltig zu verbessern. Anders als häufig angenommen, schreibt die Richtlinie jedoch keine konkreten Produkte oder Technologien vor. Es gibt also keine Verpflichtung, eine bestimmte Firewall, einen bestimmten Virenscanner oder ein spezielles Monitoring-System einzusetzen.
Stattdessen verfolgt NIS-2 einen risikobasierten Ansatz. Organisationen müssen ihre individuellen Risiken bewerten und angemessene technische, organisatorische und personelle Maßnahmen ergreifen, um ihre Informationssysteme wirksam zu schützen.
In diesem Beitrag erhalten Sie einen umfassenden Überblick über die wichtigsten Anforderungen der NIS-2-Richtlinie und erfahren, welche Bereiche künftig besondere Aufmerksamkeit erfordern.
Der risikobasierte Ansatz
Im Mittelpunkt der NIS-2-Richtlinie steht das Risikomanagement.
Jede Organisation ist verpflichtet, ihre Informationssysteme und Geschäftsprozesse regelmäßig auf mögliche Risiken zu untersuchen. Dabei geht es nicht darum, jedes Risiko vollständig auszuschließen – das wäre in der Praxis kaum möglich. Ziel ist vielmehr, Risiken zu erkennen, zu bewerten und durch geeignete Maßnahmen auf ein akzeptables Maß zu reduzieren.
Ein funktionierendes Risikomanagement beantwortet unter anderem folgende Fragen:
- Welche Systeme sind besonders kritisch?
- Welche Bedrohungen bestehen?
- Welche Schwachstellen sind vorhanden?
- Welche Auswirkungen hätte ein Ausfall?
- Welche Schutzmaßnahmen sind erforderlich?
Das Risikomanagement bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen.
Technische Sicherheitsmaßnahmen
Die NIS-2-Richtlinie nennt verschiedene technische Maßnahmen, ohne konkrete Produkte vorzuschreiben. Unternehmen und Behörden müssen selbst entscheiden, welche Lösungen für ihre Umgebung geeignet sind.
Zu den wichtigsten technischen Maßnahmen gehören:
Netzwerk- und Perimeterschutz
Netzwerke sollten durch Firewalls, Segmentierung und sichere Kommunikationswege geschützt werden. Ziel ist es, Angreifern den Zugang zu internen Systemen zu erschweren und eine unkontrollierte Ausbreitung innerhalb des Netzwerks zu verhindern.
Zugriffs- und Identitätsmanagement
Benutzer dürfen nur auf die Systeme zugreifen können, die sie tatsächlich für ihre Arbeit benötigen. Das Prinzip der minimalen Rechte (Least Privilege) sollte konsequent umgesetzt werden.
Dazu gehören unter anderem:
- Mehr-Faktor-Authentifizierung (MFA)
- Rollenbasierte Berechtigungen
- Regelmäßige Überprüfung von Benutzerkonten
- Sichere Passwort-Richtlinien
Schwachstellenmanagement
Bekannte Sicherheitslücken müssen zeitnah erkannt und behoben werden.
Hierzu zählen:
- Regelmäßige Updates
- Patchmanagement
- Schwachstellenscans
- Sicherheitsbewertungen
- Penetrationstests
Protokollierung und Monitoring
Sicherheitsrelevante Ereignisse sollten kontinuierlich überwacht werden.
Typische Maßnahmen sind:
- Zentrale Log-Erfassung
- Monitoring kritischer Systeme
- Alarmierung bei Auffälligkeiten
- Auswertung sicherheitsrelevanter Ereignisse
- Langfristige Aufbewahrung wichtiger Protokolle
Datensicherung
Backups gehören zu den wichtigsten Schutzmaßnahmen.
Dabei sollten Sicherungen:
- regelmäßig erstellt werden,
- getrennt vom Produktivsystem gespeichert sein,
- gegen Manipulation geschützt werden,
- regelmäßig auf Wiederherstellbarkeit getestet werden.
Organisatorische Maßnahmen
Cybersicherheit besteht nicht ausschließlich aus Technik.
Ebenso wichtig sind organisatorische Prozesse.
Hierzu gehören unter anderem:
- Sicherheitsrichtlinien
- Verantwortlichkeiten
- Rollenbeschreibungen
- Genehmigungsprozesse
- Notfallpläne
- Regelmäßige Überprüfungen
Ein klar geregelter organisatorischer Rahmen sorgt dafür, dass Sicherheitsmaßnahmen nicht vom Zufall abhängen.
Verantwortung der Unternehmensleitung
Eine der größten Neuerungen der NIS-2-Richtlinie besteht darin, dass die Verantwortung ausdrücklich bei der Unternehmens- oder Behördenleitung liegt.
Die Leitung muss unter anderem:
- Sicherheitsmaßnahmen genehmigen,
- deren Umsetzung überwachen,
- ausreichende Ressourcen bereitstellen,
- Risiken bewerten lassen,
- sich regelmäßig über den Sicherheitsstatus informieren.
Cybersicherheit wird damit zur Führungsaufgabe und kann nicht ausschließlich an die IT-Abteilung delegiert werden.
Lieferkettensicherheit
Viele erfolgreiche Cyberangriffe erfolgen heute nicht direkt auf das eigentliche Zielunternehmen, sondern über Dienstleister oder Softwarelieferanten.
Bekannte Beispiele der vergangenen Jahre haben gezeigt, welche Auswirkungen kompromittierte Lieferketten haben können.
Deshalb fordert NIS-2 eine stärkere Berücksichtigung externer Risiken.
Unternehmen sollten beispielsweise prüfen:
- Welche IT-Dienstleister arbeiten für uns?
- Welche Cloud-Dienste nutzen wir?
- Wie werden Softwareupdates bereitgestellt?
- Welche Sicherheitsstandards erfüllen unsere Lieferanten?
- Gibt es vertragliche Sicherheitsanforderungen?
Cybersicherheit endet somit nicht an der eigenen Firewall.
Business Continuity
Ein vollständiger Schutz vor Cyberangriffen ist nicht möglich.
Deshalb fordert NIS-2 auch Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs.
Business Continuity bedeutet:
Selbst wenn ein Angriff erfolgreich war, muss die Organisation möglichst schnell wieder arbeitsfähig werden.
Dazu gehören unter anderem:
- Notfallkonzepte
- Wiederanlaufpläne
- Ersatzsysteme
- Backup-Strategien
- Kommunikationspläne
- Krisenorganisation
Ein funktionierendes Business-Continuity-Management (BCM) reduziert Ausfallzeiten erheblich.
Incident Response
Kein Unternehmen kann ausschließen, irgendwann Opfer eines Sicherheitsvorfalls zu werden.
Entscheidend ist deshalb der professionelle Umgang mit einem Vorfall.
Ein Incident-Response-Prozess sollte unter anderem folgende Phasen umfassen:
- Erkennung
- Analyse
- Eindämmung
- Beseitigung
- Wiederherstellung
- Nachbereitung
Je schneller ein Vorfall erkannt und eingegrenzt wird, desto geringer fallen die Schäden aus.
Dokumentation
Viele Unternehmen verfügen bereits über zahlreiche Sicherheitsmaßnahmen.
Oft fehlt jedoch die notwendige Dokumentation.
NIS-2 verlangt nachvollziehbare Nachweise über:
- Sicherheitsrichtlinien
- Risikoanalysen
- Verantwortlichkeiten
- Notfallpläne
- Schulungen
- Sicherheitsvorfälle
- Audits
- technische Maßnahmen
Eine gute Dokumentation erleichtert nicht nur Prüfungen durch Behörden, sondern verbessert auch die interne Zusammenarbeit.
Schulungen und Sensibilisierung
Der Mensch bleibt einer der wichtigsten Sicherheitsfaktoren.
Viele erfolgreiche Angriffe beginnen mit:
- Phishing-E-Mails
- Social Engineering
- gestohlenen Zugangsdaten
- unsicheren Passwörtern
- Fehlbedienungen
Regelmäßige Schulungen gehören deshalb ausdrücklich zu den Anforderungen der NIS-2-Richtlinie.
Mitarbeitende sollten unter anderem lernen:
- Phishing zu erkennen,
- Passwörter sicher zu verwenden,
- verdächtige Vorfälle zu melden,
- mobile Geräte sicher einzusetzen,
- sicher im Homeoffice zu arbeiten.
Cybersicherheit ist eine Aufgabe aller Beschäftigten.
Die Anforderungen greifen ineinander
Die einzelnen Maßnahmen sollten nicht isoliert betrachtet werden.
Ein Beispiel:
Ein Mitarbeiter erkennt dank einer Schulung eine Phishing-E-Mail und meldet sie an die IT-Abteilung. Das Security-Monitoring bestätigt den Vorfall, der Incident-Response-Prozess wird gestartet. Die kompromittierten Systeme werden isoliert, Daten aus einem aktuellen Backup wiederhergestellt und der Vorfall vollständig dokumentiert. Anschließend fließen die gewonnenen Erkenntnisse in die Risikoanalyse ein und führen zu einer Anpassung der Sicherheitsrichtlinien.
Dieses Zusammenspiel zeigt, dass wirksame Cybersicherheit nur durch das Zusammenwirken technischer, organisatorischer und personeller Maßnahmen erreicht werden kann.
Typische Herausforderungen bei der Umsetzung
Viele Organisationen stehen vor ähnlichen Herausforderungen:
- Unvollständige Inventarisierung der IT-Systeme
- Fehlende Risikoanalysen
- Veraltete Sicherheitsrichtlinien
- Mangelnde Dokumentation
- Unzureichende Personalkapazitäten
- Fehlende Schulungskonzepte
- Uneinheitliche Sicherheitsprozesse
- Unzureichende Berücksichtigung externer Dienstleister
Die gute Nachricht ist: Die meisten dieser Punkte lassen sich schrittweise angehen. NIS-2 verlangt keine sofortige Perfektion, sondern einen nachvollziehbaren, risikoorientierten und kontinuierlichen Verbesserungsprozess.
