So stellen Sie eine Task Force für NIS-2 zusammen
Die NIS-2-Richtlinie stellt Unternehmen vor neue Herausforderungen im Bereich Cybersecurity. Um die komplexen Anforderungen zu erfüllen und die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen, ist die Einrichtung eines speziellen Sicherheitsteams von zentraler Bedeutung.
Mit der neuen EU-Direktive NIS-2 stehen Unternehmen vor der Herausforderung, ihre Cybersecurity-Strategie zu überarbeiten. Um den Anforderungen der Richtlinie gerecht zu werden, ist es entscheidend, ein Kernteam für Sicherheitsbelange zusammenzustellen. Wie Unternehmen dabei vorgehen können, hat das Unternehmen indevis zusammengefasst. So sollten vor allem kleine und mittlere Unternehmen – die nach den Neuerungen nun auch in den Geltungsbereich von NIS fallen – für die Einführung eines Informationssicherheits-Managementsystems (ISMS) oder dessen Erweiterung einen Top-down-Ansatz fahren. Die Geschäftsführung sollte sich zunächst eingehend mit ihren Pflichten und möglichen Sanktionen auseinandersetzen und sich schulen lassen. Mit diesem Wissen ausgestattet, kann sie dann entscheiden, welche Maßnahmen zur Umsetzung der Anforderungen notwendig sind und wie die Verantwortlichkeiten und Prozesse innerhalb des Unternehmens verteilt werden.
Im nächsten Schritt geht es darum, ein Kernteam aufzustellen, das in Zusammenarbeit mit der Geschäftsführung die vielfältigen Sicherheitsanforderungen im Blick behält. Die Rolle des Informationssicherheitsbeauftragten (ISB) und damit die Leitung sollte eine außerhalb der eigenen IT-Abteilung stehende Person mit IT-Hintergrund übernehmen, um im Ernstfall Interessenkonflikte zu vermeiden. Ist eine Person mit dieser Qualifikation nicht im Unternehmen zu finden, können Unternehmen auf externe Expertise zurückgreifen. Vor allem kleinere Betriebe profitieren vom Einsatz eines externen ISB. Dieser kann beispielsweise die Kommunikation mit den Aufsichtsbehörden übernehmen oder bei der Auswahl von Sicherheitstools wie auch bei Zertifizierungen unterstützen. Sein Einsatz erfolgt flexibel im Rahmen einer Beratungspauschale und die Organisation profitiert von der Erfahrung eines professionellen Experten.
Um neben dem ISB weitere passende Mitglieder für das IT-Sicherheitskernteam aufzustellen, sollten Unternehmen ihren aktuellen Stand in Sachen Sicherheit erfassen: Mittels einer Gap-Analyse, für die sich Unternehmen ebenfalls Hilfe von externen Experten holen können, lassen sich bestehende Lücken im Security-Konzept oder in der ITSecurity-Infrastruktur identifizieren. Diese umfassende Untersuchung gibt zusätzlich Hinweise darauf, wo und in welcher Reihenfolge noch fehlende Maßnahmen umgesetzt werden sollten. Die Umsetzung und Dokumentation dieser Maßnahmen erfolgt dabei am besten innerhalb eines kontinuierlichen Verbesserungsprozesses.
Die Gap-Analyse hilft ebenfalls zu erkennen, wer zu den verschiedenen Fragestellungen fachlich beitragen kann. Meist sind dies gleich mehrere Personen im Unternehmen, etwa der Facility-Manager, der sich um die physische Sicherheit kümmert, der Einkauf, der die Lieferanten im Blick hat, die Personalabteilung, wenn es um die Personalsicherheit geht oder die Marketingabteilung, falls Krisenkommunikation notwendig wird. Ist im Unternehmen ein Qualitätsmanagement- Beauftragter (QMB) vorhanden, kann dieser bei entsprechender Qualifikation im IT-Umfeld auch die Funktion des ISB übernehmen. Die Aufgabe, die Belegschaft über die geplanten Maßnahmen zu informieren und die Sicherheitsorganisation zu unterstützen, fällt der Geschäftsführung zu.
Die NIS-2-Richtlinie schreibt unter anderem vor, dass ein Sicherheitsvorfall innerhalb von 72 Stunden zu melden ist und eine Evaluation nachgereicht werden muss. Unternehmen müssen daher sicherstellen, dass sie in der Lage sind, sicherheitsrelevante Vorfälle zu erkennen und zu verfolgen. Es gilt also, entsprechende Verantwortlichkeiten und Informationsketten festzulegen. Das macht eine interne Prozessbeschreibung notwendig, die das Prozedere im Ernstfall detailliert aufführt – und alle Mitglieder des Kernteams ausgedruckt in der Schreibtischschublade haben, falls ein Cybervorfall die IT lahmlegt. Wie Vorfälle einzustufen sind, beurteilt federführend der ISB. Regelmäßige Notfallübungen und Planspiele halten das Kernteam fit für den Ernstfall und helfen, immer wieder die eigene Sicherheitsstrategie mit möglichen künftigen Szenarien abzugleichen.
Weitere Artikel zum Thema: