Compliance und Resilienz
NIS2 in der Praxis: Was kleine Organisationen wirklich vorbereiten müssen
Nicht jede kleine Organisation fällt direkt unter NIS2, doch Kunden und Partner werden konkrete Nachweise verlangen, dass die Risiken beherrscht werden.
Jeremy Kraft · 5 Min. Lesezeit
In diesem Artikel
NIS2 wird oft als neue Liste von Pflichten für „alle Unternehmen“ dargestellt. Diese Formulierung ist zu weit gefasst. In Belgien richtet sich das Gesetz vor allem an Einrichtungen ab einer bestimmten Größe, die Dienste in festgelegten Sektoren erbringen, mit mehreren Ausnahmen.
Ein kleiner Verein (VoG), eine Gemeinde, ein IT-Dienstleister oder ein KMU kann dennoch auf drei verschiedene Arten betroffen sein: direkt durch das Gesetz, als Lieferant einer betroffenen Einrichtung oder einfach, weil die geforderten Maßnahmen nützliche bewährte Praktiken sind.
Mit dem Anwendungsbereich beginnen, nicht mit einem Fragebogen
Das belgische Gesetz vom 26. April 2024 setzt die europäische NIS2-Richtlinie um. Um herauszufinden, ob eine Organisation direkt betroffen ist, muss man mindestens prüfen:
- die genaue Art des erbrachten Dienstes;
- den in den Anhängen aufgeführten Sektor;
- die Größe der Einrichtung;
- verbundene oder Partnerunternehmen;
- die anwendbaren Ausnahmen;
- den Ort der Niederlassung und die besonderen Regeln für bestimmte Dienste.
Die Schwelle von fünfzig Beschäftigten oder zehn Millionen Euro wird häufig genannt. Sie sollte nicht allein herangezogen werden. Die europäische KMU-Definition berücksichtigt Beschäftigtenzahl, Umsatz, Bilanzsumme und mitunter Daten verbundener Unternehmen. Bestimmte Arten von Einrichtungen können zudem unabhängig von ihrer Größe betroffen sein.
Nutzen Sie im Zweifel die Informationen und Werkzeuge des CCB (Zentrum für Cybersicherheit Belgien) und holen Sie anschließend eine auf Ihre Organisation zugeschnittene Beratung ein. Ein allgemeiner Artikel ersetzt keine rechtliche Prüfung.
Eine kleine Organisation kann betroffen sein, ohne NIS2-Einrichtung zu sein
Eine Organisation, die NIS2 unterliegt, muss die Risiken aus ihrer Lieferkette steuern. Sie wird von ihren Lieferanten daher Zusicherungen zu Zugängen, Vorfällen, Sicherungen, Unterauftragnehmern und Kontinuität verlangen.
Der kleine Webdienstleister eines Krankenhauses, der Hoster einer Gemeinde oder der IT-Lieferant eines Energieunternehmens wird nicht automatisch zur NIS2-Einrichtung. Er kann jedoch genauere vertragliche Anforderungen erhalten.
Diese Unterscheidung ist wichtig. Sie erlaubt es, ehrlich zu antworten:
- „Wir unterliegen direkt NIS2“;
- „Wir unterliegen ihr nicht direkt, wenden diese Kontrollen aber an“;
- „Wir müssen unsere Lage noch prüfen“.
Sich für konform zu erklären, ohne den eigenen Status geklärt zu haben, schafft mehr Risiko als eine vorsichtige und dokumentierte Antwort.
Das erste Ergebnis ist eine Übersicht der Dienste
Beschreiben Sie, bevor Sie ein Werkzeug kaufen, die Dienste, die weiterlaufen müssen:
- E-Mail;
- Website und Kundenportal;
- Rechnungsstellung;
- gemeinsame Ordner;
- Fernzugriff;
- Datensicherungen;
- Cloud-Anbieter;
- Domainnamen und DNS.
Geben Sie für jeden Dienst eine verantwortliche Person, einen Lieferanten, die verarbeiteten Daten, die Administratorkonten, eine akzeptable Ausfallzeit und die Wiederherstellungsmethode an.
Diese Übersicht beantwortet eine einfache Frage: Wenn dieser Dienst morgen wegfällt, wer weiß, was zu tun ist?
Governance heißt nicht, Sitzungen zu vervielfachen
NIS2 verankert die Verantwortung für Cybersicherheit auf Leitungsebene. In einer kleinen Organisation kann das sehr konkret aussehen:
- eine vierteljährliche Besprechung der wichtigsten Risiken;
- die Freigabe von Prioritäten und Budget;
- eine benannte verantwortliche Person;
- ein Nachweis der getroffenen Entscheidungen;
- eine auf die Entscheidungsträger zugeschnittene Schulung.
Die Leitung muss keine Firewall konfigurieren. Sie muss die Folgen eines akzeptierten Risikos verstehen, prüfen, dass Maßnahmen nachverfolgt werden, und wissen, wer einen Vorfall koordiniert.
Zehn Maßnahmen, die vor dem nächsten Kundenfragebogen bereitstehen sollten
Eine kleine Organisation kann ein nützliches Dossier zusammenstellen mit:
1. der Liste ihrer wesentlichen Dienste und Ressourcen;
2. personenbezogenen Konten und überprüften Rechten;
3. starker Authentifizierung für sensible Zugänge;
4. einem Verfahren für Eintritt und Austritt von Mitarbeitenden;
5. isolierten Sicherungen und einer getesteten Wiederherstellung;
6. dokumentiertem Update-Management;
7. einem Notfallkontakt bei jedem kritischen Lieferanten;
8. einem internen Meldeverfahren;
9. einem einseitigen Plan zur Reaktion auf Vorfälle;
10. einer einfachen Regelung zur Information der betroffenen Partner.
Diese Elemente überzeugen mehr als eine allgemeine Konformitätserklärung. Sie lassen sich vorzeigen, datieren und testen.
Lieferanten müssen nach ihrer Rolle bewertet werden
Ein Raumbuchungsdienst und ein Hoster, der sämtliche personenbezogenen Daten speichert, stellen nicht dasselbe Risiko dar. Passen Sie die Bewertung an:
- welche Daten erhält der Lieferant;
- kann er auf die Systeme zugreifen;
- hängt er selbst von einem wesentlichen Unterauftragnehmer ab;
- wie meldet er einen Vorfall;
- wie erhalten Sie die Daten zurück;
- was geschieht am Vertragsende?
Ein langer, für alle identischer Fragebogen liefert oft oberflächliche Antworten. Einige Fragen, die sich auf den tatsächlichen Dienst beziehen, sind nützlicher.
Die Meldung eines Vorfalls muss vor dem Vorfall vorbereitet werden
Einrichtungen, die direkt NIS2 unterliegen, müssen bestimmte erhebliche Sicherheitsvorfälle nach dem Verfahren des CCB melden. Fristen und erforderliche Angaben ändern sich im Laufe des Vorfalls.
Um korrekt melden zu können, muss die Organisation wissen:
- wer entscheidet, dass ein Ereignis erheblich ist;
- wer auf das Portal zugreift oder das CCB kontaktiert;
- welche Informationen weitergegeben werden dürfen;
- wie die Vertraulichkeit gewahrt wird;
- wer Kunden und Partner informiert.
Erst beim Vorfall nach diesen Antworten zu suchen, kostet wertvolle Zeit.
CyberFundamentals als gemeinsame Sprache nutzen
Das CyberFundamentals-Rahmenwerk des CCB bietet risikogerechte Maßnahmenstufen. Es kann helfen, einen Plan zu strukturieren, mit einem Lieferanten ins Gespräch zu kommen und zu verhindern, dass jeder Kunde seine eigene Definition von Sicherheit erfindet.
Ziel ist nicht, Dokumente anzuhäufen. Ziel ist, jede Maßnahme mit einem Dienst, einer verantwortlichen Person und einem Nachweis zu verknüpfen.
Ein realistischer Fahrplan über drei Monate
Klären Sie im ersten Monat den Anwendungsbereich, die wesentlichen Dienste, die Verantwortlichen und die Administratorzugänge.
Testen Sie im zweiten Monat eine Wiederherstellung, bereinigen Sie gemeinsam genutzte Konten, aktivieren Sie starke Authentifizierung und kontaktieren Sie die kritischen Lieferanten.
Führen Sie im dritten Monat eine kurze Übung durch: Ausfall der E-Mail, ein kompromittiertes Konto oder die Nichtverfügbarkeit des Hosters. Halten Sie fest, was fehlt, und lassen Sie die Prioritäten von der Leitung freigeben.
Dieses Vorgehen garantiert für sich genommen keine rechtliche Konformität. Es schafft jedoch eine überprüfbare und nützliche Grundlage, selbst für eine Organisation, die nicht direkt in den Anwendungsbereich von NIS2 fällt.
Offizielle Quellen
Redaktionelle Angaben
- Verfasst von
- Jeremy Kraft
- Zuletzt geprüft
- Methode
- Öffentliche Quellen, redaktionelle Prüfung und verhältnismäßige Empfehlungen.
Diskussion
Kommentare
Noch kein Kommentar. Eröffnen Sie die Diskussion gern mit einer Frage oder Ihrem eigenen Erfahrungsbericht.