Nach dem Lesen können Sie die Maßnahmen der Richtlinie Zeile für Zeile durchgehen und Lücke, Verantwortlichen und Nachweis festhalten.
Definition
Artikel 21 Absatz 2 nennt zehn Maßnahmen in den Buchstaben a bis j: Risikoanalyse und Sicherheitskonzepte; Bewältigung von Sicherheitsvorfällen; Aufrechterhaltung des Betriebs mit Backups und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich des Umgangs mit Schwachstellen; Bewertung der Wirksamkeit; Cyberhygiene und Schulungen; Kryptografie; Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen; sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Warum es wichtig ist
Ein langer Rechtstext wird zu Punkten, die man zuweisen, prüfen und einer Behörde vorlegen kann.
Jeder Punkt verlangt dennoch Urteilsvermögen. Artikel 21 Absatz 1 knüpft die Maßnahmen an die Exposition des Unternehmens, seine Größe und die Schwere möglicher Vorfälle, sodass dieselbe Zeile für zwei Unternehmen unterschiedliche Arbeit bedeuten kann.
Wie es funktioniert
Bestätigen Sie den Status der Einrichtung nach nationalem Recht. Lassen Sie die Maßnahmen vom Leitungsorgan billigen und planen Sie dessen Schulung.
Gehen Sie die zehn Maßnahmen durch. Halten Sie für jede fest, was vorhanden ist, was es belegt, was fehlt, wer verantwortlich ist und bis wann.
Bereiten Sie die Meldung zuletzt vor: Kriterien für einen erheblichen Vorfall, eine Bereitschaftsperson, den Kontakt zum CSIRT oder zur Behörde und vorformulierte Meldungen für die Schritte nach 24 Stunden, 72 Stunden und einem Monat.
Ein Praxisbeispiel
Buchstabe d, Lieferkette. Das Unternehmen zählt 12 kritische Lieferanten. Sieben Verträge enthalten Sicherheitsklauseln, und drei Lieferanten wurden in den letzten 12 Monaten bewertet.
Bleiben fünf Verträge und neun Bewertungen. Der Einkaufsleiter übernimmt das bis Ende des dritten Quartals. Die Lieferantenliste und die unterschriebenen Klauseln dienen als Nachweis, und vorerst lautet die Zeile „teilweise umgesetzt“.
Bewährte Praktiken
- Stellen Sie den Wortlaut der Richtlinie neben Ihre eigene Erläuterung, damit ein Prüfer die Auslegung nachvollziehen kann.
- Fügen Sie die Anforderungen Ihres nationalen Gesetzes als zusätzliche Zeilen hinzu.
- Verlangen Sie einen Nachweis pro Zeile.
- Führen Sie eine Meldeübung durch und messen Sie die Zeit ab der ersten Warnung.
Häufige Fehler
- Eine Zeile abzuhaken, weil es eine Richtlinie gibt. Die Behörde wird fragen, was in der Praxis geschieht.
- Artikel 20 zu vergessen, denn eine von der IT erstellte Checkliste hört oft bei den technischen Maßnahmen auf.
- Die Registrierung bei der Behörde auszulassen, die außerhalb von Artikel 21 steht und leicht übersehen wird.
- Die 24-Stunden-Frist erst nach Abschluss der Untersuchung zu starten. Sie läuft ab dem Zeitpunkt, zu dem man vom Vorfall Kenntnis erlangt.
Fragen
- Wie viele Maßnahmen nennt Artikel 21?
- Zehn, in den Buchstaben a bis j seines zweiten Absatzes.
- Ist Multi-Faktor-Authentifizierung nach NIS2 Pflicht?
- Artikel 21 Absatz 2 Buchstabe j nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, soweit angemessen.
- Welche drei Meldefristen kennt NIS2?
- Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung.
- Müssen Geschäftsleiter eine NIS2-Schulung absolvieren?
- Ja. Artikel 20 Absatz 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme an Schulungen und ermutigt die Einrichtungen, sie auch ihren Beschäftigten anzubieten.
- Gibt es genauere Regeln für digitale Anbieter?
- Ja. Die Durchführungsverordnung (EU) 2024/2690 legt technische Anforderungen für bestimmte digitale Anbieter fest, etwa Cloud-Anbieter und Anbieter verwalteter Dienste.