NIS-2 gelassen meistern
Im vorigen Blog-Beitrag haben wir Ihnen die Grundlagen der NIS-2-Richtlinie vorgestellt. Neben Registrierungs- und Meldepflichten fordert die NIS-2 von betroffenen Organisationen auch angemessene technische, operative und organisatorische Maßnahmen zum Schutz der Informationssicherheit. In diesem Beitrag zeigen wir, wie wir Ihre Organisation bei der Umsetzung unterstützen.
Die folgenden 10 Maßnahmen werden in § 21 Absatz 2 „Risikomanagementmaßnahmen im Bereich der Cybersicherheit“ der NIS-2-Richtlinie explizit benannt. Für den aktuellen Referentenentwurf zum deutschen NIS2UmsuCG vom 07.05.2024 wurden diese Anforderungen in den Artikel 30 übernommen.
a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
Unsere Dienstleistung: Unsere IT-Sicherheitsanalyse bildet einen optimalen Ausgangspunkt für ein Sicherheitskonzept: Wir helfen Ihnen, Ihre Informationswerte zu verstehen und schaffen so die Basis für eine umfassende Risikoanalyse Ihrer Informationssysteme. Die IT-Sicherheitsanalyse dient gleichzeitig als Grundstein für den Aufbau eines ISMS.
b) Bewältigung von Sicherheitsvorfällen
Wichtig für die Bewältigung von Sicherheitsvorfällen sind klare Verhaltens- und Kommunikationsverfahren, Verantwortlichkeiten und Pläne für den Wiederanlauf. Neben einer systematischen Planung im Rahmen eines ISMS helfen hier präventiv unsere Mitarbeiterschulungen und im Ernstfall unser IT-Nofallhandbuch.
c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
Für den schlimmsten Fall können Sie sich mit unserem IT-Notfallhandbuch vorbereiten: Kontaktlisten, szenariobasierte Wiederanlaufpläne und dokumentierte Abhängigkeiten zwischen Prozessen und IT-Systemen weisen Ihnen den Weg zurück in den Alltag.
d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
Wir können Ihnen vielleicht die Lieferketten nicht organisieren, aber Sie können sich auf uns als Dienstanbieter verlassen. Mit Netwrix PAM können Sie Daten und Ressourcen protokolliert mit Lieferanten und Kunden teilen und so Rechenschaftspflicht (accountability) sicherstellen.
e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
Mit unserer IT-Sicherheitsanalyse und unseren Penetrationstests zeigen wir Ihnen, wo die Schwachstellen Ihrer IT liegen. Zudem bieten wir Lösungen, um Schwachstellen Ihres Netzwerks und Ihrer Endgeräte fortlaufend zu analysieren und zu managen.
f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001, BSI-IT-Grundschutz oder TISAX beinhaltet immer auch die Bewertung der Wirksamkeit aller Maßnahmen. Wir helfen Ihnen beim Aufbau Ihres ISMS als Berater oder externer Informationssicherheitsbeauftragter und unterstützen Sie beim Risikomanagement.
g) Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
Vom Passwortmanager bis zur Überwachung privilegierter Konten bieten wir eine ganze Palette an Technologien zur Cyberhygiene. Zudem haben wir unser eigenes Schulungsprogramm zur Cybersicherheit entwickelt – für Führungskräfte wie für Mitarbeiter.
h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
Mit Hornetsecurity bieten wir umfassenden Schutz für Ihre E-Mail-Kommunikation durch automatisierte Verschlüsselung ein- und ausgehender E-Mails.
Unsere Unified-Endpoint-Management-Lösungen ermöglichen Ihnen eine systematische Verwaltung der Verschlüsselung Ihrer Endgeräte.
i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
Unser Portfolio umfasst verschiedene Lösungen zur Verwaltung und Kontrolle von Zugriffsrechten. Profitieren Sie von unserer herstellerunabhängigen Beratung:
- SolarWinds ARM
- migRaven
- macmon secure
- Deskcenter Erweiterung P!view
j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Mit den Yubikeys von Yubico können Sie Multi-Faktor-Authentifizierung für alle Endgeräte sicherstellen. Yubikeys machen die Arbeit nicht nur sicherer, sondern vereinfachen die Anmeldeprozesse auch. Unsere Consultants unterstützen Sie bei der Einführung in Ihrer Organisation.
Bedenken Sie dabei immer, dass die NIS-2 und die zu erwartende deutsche Entsprechung einen risikobasierten Ansatz verfolgt und die Maßnahmen den tatsächlichen Risiken entsprechend und (wirtschaftlich) angemessen umgesetzt werden müssen. Kleinere Organisationen müssen für ihre Sicherheit also nicht unbedingt den gleichen Aufwand betreiben wie globale Großunternehmen.
Ob eine umgesetzte Maßnahme dann tatsächlich die rechtlichen Anforderungen erfüllt, ist von Ihrer Organisation und Ihren spezifischen Risiken abhängig. Auch wenn es nicht explizit durch die NIS-2 gefordert wird, ist die Ermittlung der individuellen Risiken und die Bewertung der Maßnahmen ohne ein ISMS kaum durchführbar. Wir unterstützen Sie nicht nur beim Aufbau eines ISMS, sondern können Sie auch technisch umfassend beraten.