Bereits im April haben wir uns mit der NIS-2-Richtlinie der EU befasst: Die NIS-2 Richtlinie ist eine europäische Richtlinie, die die Cybersicherheit in kritischen Sektoren wie Energie, Gesundheit, Verkehr und Finanzen stärken soll. Sie baut auf der NIS-1 Richtlinie auf und erweitert den Anwendungsbereich auf weitere Sektoren. Die Richtlinie verpflichtet Unternehmen dieser Sektoren dazu, geeignete Sicherheitsmaßnahmen zu implementieren und Zwischenfälle zu melden. Die NIS-2 Richtlinie ist Teil der Bemühungen der EU, die Resilienz gegen Cyberbedrohungen zu erhöhen und die digitale Infrastruktur zu schützen. 

Die Besonderheit der Richtlinie ist, dass nicht nur die Unternehmen selbst, sondern auch die Geschäftsführer und Vorstände mit ihrem Privatvermögen haftbar gemacht werden. Diese Haftung ist nicht auf andere Personen Übertragbar. 

Was müssen Sie und Ihr Unternehmen nun also tun, um der Richtlinie zu entsprechen und  

Die Risikoanalyse 

Die Risikoanalyse Ihrer IT-Sicherheit ist der erste wichtige Bestandteil des Vorgehens zur Umsetzung der NIS-2 Anforderungen bzgl. der IT-Sicherheitsmaßnahmen in Ihrem Unternehmen. Durch die systematische Bewertung von potenziellen Risiken können Sicherheitslücken identifiziert werden. Dies ist die Grundlage zur Planung und Ergreifung von Maßnahmen zur Risikominimierung. Folgende Schritte, sind bei der Durchführung einer Risikoanalyse der IT-Sicherheit in Ihrem Unternehmen zu berücksichtigen: 

  1. Identifizierung der Assets: Zunächst das Asset Inventory aufgestellt: Es ist wichtig, eine umfassende Liste aller it-sichereitsrelevanten Assets Ihrer Organisation zu erstellen. Dies kann durch eine Bestandsaufnahme der vorhandenen Geräte, Software, Datenbanken, Netzwerkkomponenten und anderen Ressourcen erreicht werden. Nach der Identifikation Ihrer Assets ist es wichtig, sie entsprechend ihres Werts und ihrer Kritikalität zu klassifizieren. Dies erleichtert die Priorisierung von Risiken und die Zuweisung von Sicherheitsmaßnahmen. 
  1. Identifizierung der Bedrohungen: Als nächstes müssen potenzielle Bedrohungen identifiziert werden, die die IT-Sicherheit des Unternehmens gefährden könnten. Dies können externe Bedrohungen wie Hackerangriffe, Malware und Phishing-Attacken oder interne Bedrohungen wie fahrlässige Mitarbeiter oder unzureichende Sicherheitsmaßnahmen sein. Dabei werden Zusammenhänge zwischen den Bedrohungen und den Assets in einer Bedrohungsmatrix aufgezeigt. 
  1. Bewertung der Schwachstellen: Die Identifikation von Schwachstellen im Bereich Ihrer IT-Sicherheit ist ein wichtiger Prozess, um Maßnahmen wirksam ergreifen zu können. Dieser Prozess umfasst verschiedene Schritte, darunter die Durchführung von Schwachstellenscans und Penetrationstests, die Analyse von Sicherheitsrichtlinien und -praktiken, sowie die Überwachung von Systemprotokollen und Aktivitäten. Schwachstellen können verschiedene Ursachen haben, darunter veraltete Software, fehlerhafte Konfigurationen, unzureichende Zugriffskontrollen, unsichere Passwörter oder Phishing-Angriffe. Um Schwachstellen zu identifizieren, müssen Unternehmen regelmäßige Sicherheitsaudits und Bewertungen durchführen, um potenzielle Angriffspunkte zu erkennen und zu priorisieren. Es ist wichtig, Schwachstellen kontinuierlich zu überwachen und zu beheben, um die Sicherheit von IT-Systemen zu gewährleisten. Dies kann durch die Implementierung von Sicherheitslösungen wie Firewalls, Antivirensoftware, Intrusion Detection Systemen und Verschlüsselungstechnologien erreicht werden. Darüber hinaus sollten Mitarbeiter regelmäßig geschult und sensibilisiert werden, um sicherzustellen, dass sie bewusst mit Sicherheitsrisiken umgehen und sich vor möglichen Bedrohungen schützen können. 
  1. Bewertung der Auswirkungen: Die möglichen Schwachstellen in der IT-Infrastruktur müssen anhand verschiedener Faktoren bewertet werden. Dabei spielen das Potenzielle Risiko, die Ausnutzbarkeit, die Präsenz und die Priorität wesentliche Rollen.  
  1. Potenzielles Risiko: Hierbei wird analysiert, welches potenzielle Risiko eine Schwachstelle für das Unternehmen oder die Organisation darstellt. Es wird untersucht, welche Auswirkungen ein erfolgreicher Angriff auf die Schwachstelle haben könnte. 
  1. Ausnutzbarkeit: Es wird überprüft, wie einfach oder schwierig es für einen Angreifer ist, die Schwachstelle auszunutzen. Dazu gehören Faktoren wie die Komplexität des Angriffs, die benötigten Ressourcen und das Fachwissen des Angreifers. 
  1. Präsenz: Hierbei wird untersucht, wie weit verbreitet die Schwachstelle ist und wie viele Systeme oder Anwendungen davon betroffen sind. Schwachstellen, die auf vielen Systemen vorhanden sind, werden als besonders kritisch betrachtet, da potentielle Angreifer solche Schwachstellen mit Vorliebe ausnutzen. 
  1. Priorität: Basierend auf den oben genannten Faktoren wird die Priorität festgelegt, mit der die Schwachstelle behoben werden. Schwachstellen, die ein hohes Risiko darstellen und leicht ausnutzbar sind, haben eine hohe Priorität und sollten schnellstmöglich behoben werden. 
  1. Risikobewertung: Anhand der identifizierten Bedrohungen, Schwachstellen und potenziellen Auswirkungen kann nun eine Risikobewertung durchgeführt werden. Dies kann durch die Berechnung des Risikoscores für jede Bedrohung erfolgen, wobei das Risiko als das Produkt aus der Wahrscheinlichkeit eines Vorfalls und den potenziellen Auswirkungen definiert wird. Hierbei werden auch finanzielle Verluste, Rufschäden, rechtliche Konsequenzen und Unterbrechungen des Geschäftsbetriebs berücksichtigt. 
  1. Entwickeln von Maßnahmen zur Risikominimierung: Basierend auf der Risikobewertung können nun Maßnahmen zur Risikominimierung entwickelt werden. Dies können technische Maßnahmen wie Firewalls, Verschlüsselung und Zugriffskontrollen sowie organisatorische Maßnahmen wie Schulungen für Mitarbeiter, Richtlinien und Prozesse umfassen. 
  1. Überwachung und Aktualisierung: Die Risikoanalyse der IT-Sicherheit sollte regelmäßig überprüft und aktualisiert werden, da sich die Bedrohungen und Schwachstellen kontinuierlich verändern können. Es ist wichtig, dass das Risikomanagement kontinuierlich überwacht und angepasst wird, um die Sicherheit der IT-Systeme zu gewährleisten. 

Durch die Durchführung einer umfassenden Risikoanalyse der IT-Sicherheit können Unternehmen potenzielle Bedrohungen identifizieren und angemessene Maßnahmen ergreifen, um ihre Systeme und Daten zu schützen. 

Der Maßnahmenkatalog 

Ein Maßnahmenkatalog für die IT-Sicherheit dient dazu, konkrete Schritte und Richtlinien festzulegen, um die Sicherheit von IT-Systemen und Daten in Ihrem Unternehmen zu gewährleisten. Der Katalog enthält eine Liste von Maßnahmen, die ergriffen werden sollen, um potenzielle Sicherheitslücken zu identifizieren, zu minimieren und zu beheben. 

Der Maßnahmenkatalog bietet klare Handlungsanweisungen für IT-Verantwortliche und Mitarbeiter, um den Schutz vor Cyberangriffen und Datenverlust zu verbessern. Er kann sowohl generelle Sicherheitsrichtlinien als auch spezifische technische Maßnahmen umfassen, je nach den individuellen Anforderungen und Risiken des Unternehmens.  

Durch die Implementierung eines Maßnahmenkatalogs für die IT-Sicherheit können Unternehmen ihre IT-Infrastruktur besser schützen, Compliance-Anforderungen erfüllen und das Vertrauen von Kunden und Partnern stärken. Zudem hilft er dabei, Vorfälle schneller zu erkennen und angemessen zu reagieren, um die Auswirkungen von Sicherheitsverletzungen zu minimieren. insgesamt trägt er dazu bei, die Widerstandsfähigkeit Ihres Unternehmens gegenüber Cyberbedrohungen zu stärken. Darüber hinaus ist er von der NIS-2-Verordnung vorgeschrieben. 

Es gibt verschiedene Maßnahmen, die zur Risikominimierung der IT-Sicherheit sinnvoll und möglich sind. Darunter fallen unter anderem 

  • regelmäßige Aktualisierung von Software und Betriebssystemen. Durch regelmäßige Updates können Sicherheitslücken geschlossen werden. 
  • der Einsatz von Firewalls und Antivirenprogrammen. Mit Hilfe dieser Programme können Sie den Zugriff unbefugter Personen auf das Netzwerk verhindern und schädliche Software erkennen und entfernen. 
  • die Schulung der Mitarbeiter. Durch Sensibilisierung Ihrer Mitarbeiter für Sicherheitsrisiken und Schulung in sicherem Umgang mit IT-Systemen, können Sie dafür Sorgetragen, dass alle Maßnahmen besser und schneller greifen und Ihre Mitarbeiter über mögliche Risiken Bescheid wissen. 
  • die Erstellung von Richtlinien für die Datensicherheit. Durch die Festlegung von Standards und Verfahren zur sicheren Speicherung und Übertragung von sensiblen Daten nach Best-Practise können Sie Risiken minimieren. 
  • Sicherung und regelmäßige Überprüfung von Backups. Nur regelmäßige Backups können Datenverluste im Falle eines Sicherheitsvorfalls effizient verhindern, aber auch nur dann, wenn Sie sicherstellen können, dass diese Backups alle erforderlichen Systeme und Daten umfassen und einzeln bzw. als Komplex wieder hergestellt werden können. 
  • Eine Netzwerküberwachung und frühzeitige Erkennung von Anomalien. Durch die Überwachung des Netzwerks können verdächtige Aktivitäten frühzeitig erkannt und entsprechende Maßnahmen ergriffen werden. Hierbei können Hardware-Firewalls eine wichtige Rolle spielen. 
  • die Verschlüsselung von Daten hilft Ihnen sensible Daten vor unbefugtem Zugriff zu schützen. 
  • Zugriffsrechte und Passwortsicherheit. Die Vergabe von individuellen Zugriffsrechten und sichere Passwortrichtlinien zur Zugangskontrolle helfen, Hackern den Zugriff zu erschweren, die Risiken von sozial Hacking zu minimieren und die Möglichkeit von Datendiebstahl durch Insider zu begrenzen. 

Neben diese aufgeführten Maßnahmen, können Einzelmaßnahmen entsprechend Ihrer Schwachstellenanalyse dazu beitragen, die IT-Sicherheit zu verbessern und das Risiko von Cyberangriffen zu minimieren. Es ist wichtig, dass Unternehmen regelmäßig ihre Sicherheitsmaßnahmen überprüfen und anpassen, um auf dem neuesten Stand der Technik zu bleiben. 

Der Notfallplan und die Meldung 

Neben der Risikoanalyse und dem Maßnahmenkatalog ist ein Notfallplan zur NIS-2-konformen Verbesserung ihrer IT-Sicherheit erforderlich. Ein solcher Notfallplan umfasst: 

  1. Ein Reaktionsplan, der das Vorgehen im Falle eines Cyberangriffs beschreibt, um im Bedarfsfall schnell reagieren zu können. Dieser beinhaltet die Benennung eines Incident Response Teams und die wesentlichen Notfallmaßnahmen bzw. -aufgaben. 
  1. Das Meldeverfahren von Vorfällen entsprechend der NIS-2-Verordnung mit den Verantwortlichkeiten. 
  1. Die Eskalations- und Kommunikationswege für den Krisenfall. 
  1. Sofort- und Gegenmaßnahmen, wie die Wiederherstellung von Systemen, Einspielen von Backups, Schließen von Sicherheitslücken, Unterbrechung von Netzwerkzugriffen, Schutz der Daten usw. 

Im Hinblick auf die NIS-2-Verordnung (Network and Information Security), die die Sicherheit von Netz- und Informationssystemen innerhalb der EU regelt, muss Ihr Unternehmen sicherstellen, dass Sie die erforderlichen Sicherheitsstandards und Meldepflichten erfüllen. Ein Notfallplan sollte auch die spezifischen Anforderungen der NIS-2-Verordnung berücksichtigen und sicherstellen, dass das Unternehmen im Einklang mit den gesetzlichen Vorgaben handelt. 

Die Schulungsmaßnahmen

 

Entsprechend der NIS-2-Verordnung sind Geschäftsführung und Vorstand verpflichtet, allen Mitarbeitern des Unternehmens regelmäßig Schulungen im Bereich der Cybersecurity anzubieten. Werden solche Schulungen nicht regelmäßig durchgeführt, haften Geschäftsführung und Vorstand persönlich bei IT-Sicherheitsvorfällen. 

Zu den wichtigen Inhalten der Schulungen im Bereich der IT-Cybersecurity gehören 

  • Sensibilisierung der Mitarbeiter für Bedrohungen im Bereich Cybersicherheit, wie Phishing-Angriffe, Social Engineering und Malware. 
  • Schulungen zur sicheren Nutzung von Passwörtern und zur Verwendung von Passwort-Manager-Tools. 
  • Schulungen zur sicheren Nutzung von Unternehmensgeräten und -netzwerken, einschließlich der Vermeidung von unsicheren WLAN-Verbindungen und des Einsatzes von VPNs. 
  • Erkennung und Behandlung von verdächtigen E-Mails, Dateianhängen und Links. 
  • Schulungen zum sicheren Umgang mit Cloud-Diensten und Speicherlösungen. 
  • Schulungen zur sicheren Nutzung von mobilen Geräten und zur Vermeidung von Sicherheitsrisiken, wie verlorenen oder gestohlenen Geräten. 
  • Schulungen zur sicherheitsbewussten Nutzung von Social-Media-Plattformen und zur Vermeidung von Datenlecks. 
  • Schulungen zur Einhaltung von Sicherheitsrichtlinien und -verfahren des Unternehmens. 

Es ist wichtig, dass alle Mitarbeiter regelmäßig an Schulungen teilnehmen, um auf dem neuesten Stand der Bedrohungen und Sicherheitspraktiken zu bleiben und dazu beizutragen, das Unternehmen vor Cyberangriffen zu schützen.  

Darüber hinaus sind spezielle Schulungen für das Incident Response Team und die IT erforderlich, um diese in den Bereichen 

  • Notfallmaßnahmen 
  • Kommunikation 
  • Meldepflichten 
  • IT-Sicherheitslösungen 
  • Back-up 

fit zu machen. 

Unser Vorgehen  

Wir unterstützen Sie bei Ihren wesentlichen Fragen zur NIS-2-Verordnung und zur Cybersecurity. Gemeinsam mit Ihnen führen wir eine Risikoanalyse und -bewertung durch. Aus dieser entwickeln wir einen Maßnahmenkatalog, den Notfallplan, die Pflichtmeldungen, eine Übersicht über die geplanten Schulungen inkl. der erforderlichen Inhalte, einen Kommunikationsplan für den Notfall und einen Verbesserungsprozess inkl. Auditmaßnahmen. Außerdem erstellen wir passend für Ihre Mitarbeiter OnePager zur allgemeinen IT-Sicherheit und für Ihr Unternehmen eine Roadmap für das weitere Vorgehen inkl. der Umsetzung und Implementation. 

Haben Sie weitere Fragen zur Konzeption oder zur Implementierung? Die HOLAGIL freut sich darauf, Ihre Fragen beantworten zu dürfen und unterstützt Sie gerne dabei, mit den nächsten Schritten fortzufahren. Nehmen Sie jetzt Kontakt zu uns auf, für alle Fragen rund um IT-Sicherheit. 

Ingo Höckenschnieder von HOLAGIL ist seit 1994 als Projektleiter in der IT und seit 2012 als Berater für M365 und Governance-Themen unterwegs. Sein Schwerpunkt ist die fachliche Beratung der Einführung und Optimierung von Cloud-Plattformen in Unternehmen und die strategische Aufstellung in der IT bzgl. Governance und Compliance. In seiner Freizeit ist er Autor lustiger und fantastischer Romane und tanzt für sein Leben gern.

Folgendes könnte Ihnen auch gefallen