Zehn Fragen, die Sie Ihrem IT-Team zur NIS2-Konformität stellen sollten

Wir haben bereits über NIS2 gesprochenund die Verpflichtungen, die sich daraus für Organisationen ergeben, die von der EU als „kritisch“ und „wichtig“ eingestuft wurden. Hier gehen wir auf die Kernbereiche ein, die für die Einhaltung der NIS2-Vorschriften entscheidend sind.

Ein zentraler Grundsatz der Gesetzgebung besteht darin, dass Führungskräfte sich nicht mehr darauf verlassen können, dass die IT-Abteilung ihre Arbeit einfach erledigt – sie sind treuhänderisch verpflichtet, sich proaktiv mit den Themen Cybersicherheit und Ausfallsicherheit auseinanderzusetzen und sicherzustellen, dass eine angemessene Governance gewährleistet ist.

Auch wenn Sie von den gesetzlichen Bestimmungen nicht unmittelbar betroffen sind, kann Ihnen dieser Ansatz dabei helfen, mit den Betroffenen Geschäfte zu tätigen, und gleichzeitig sicherstellen, dass Ihr Unternehmen in der Lage ist, Sicherheitsbedrohungen zu widerstehen und sich von einem Vorfall zu erholen.

Zehn wichtige Bereiche, die bei der Einhaltung der NIS2-Vorschriften zu berücksichtigen sind

1. Risikoanalyse und Sicherheit von Informationssystemen: Es ist von entscheidender Bedeutung, potenzielle Schwachstellen zu erkennen und zu wissen, welche Folgen ein Angriff auf ein System hätte. Wissen Sie, welche Systeme angegriffen werden könnten? Wissen Sie, wie diese Systeme gesichert sind? Sind diese Informationen klar dokumentiert und für diejenigen, die sie benötigen, leicht zugänglich?
2. Vorfallbearbeitung: Dies umfasst alles – von der Erkennung von Vorfällen über die Reaktion darauf bis hin zu den Informationen, auf die Sie zurückgreifen können, um diese den zuständigen Behörden zu melden. Die Meldefristen gemäß NIS2 sind streng – in der Regel innerhalb von 72 Stunden –, daher ist die Führung detaillierter Prüfprotokolle und Protokolle über jede Maßnahme von entscheidender Bedeutung, um die vorgeschriebenen Fristen einzuhalten.
3. Maßnahmen zur Geschäftskontinuität: Hier geht es darum, wie Ihr Unternehmen reagiert, wenn der schlimmste Fall eintritt. Verfügen Sie über die richtige Backup-Strategie? Wie sieht Ihr Notfallwiederherstellungsplan aus? Wissen Ihre Teams, wie sie diesen Plan umsetzen und an wen sie sich im Notfall wenden müssen?
4. Sicherheit der Lieferkette: Es besteht die Verpflichtung, potenzielle Schwachstellen Ihrer Lieferanten und deren Cybersicherheitspraktiken zu kennen. Aus diesem Grund können auch Unternehmen, die nicht unmittelbar der NIS2 unterliegen, indirekt von der Richtlinie betroffen sein. Möglicherweise unterliegen Sie diesem Teil der Richtlinie selbst und sind gleichzeitig dafür verantwortlich.
5. Sicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen, einschließlich des Umgangs mit Sicherheitslücken und deren Offenlegung: Dazu gehört, bereits vor Beginn des Beschaffungsprozesses die richtigen Sicherheitsvorkehrungen zu treffen. Nach der Einführung eines neuen Systems müssen Prozesse sicherstellen, dass dieses sicher bleibt und Sicherheitslücken umgehend behoben werden. Eine koordinierte Offenlegung von Sicherheitslücken ist ebenfalls wichtig, damit Sicherheitsprobleme gemeldet und angemessen behoben werden können.
6. Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Cybersicherheits-Risikomanagement: Dies ist das operative „Bindeglied“, das Ihre Sicherheitsbereitschaft bewertet und kontinuierlich überwacht. Es umfasst alles von Leistungsbenchmarks bis hin zur aktiven Überwachung und Protokollierung von Prozessen und Verfahren.
7. Grundlegende IT-Sicherheitsmaßnahmen und Schulungen: Ein zentraler Bestandteil des IT-Managements besteht darin, zu wissen, über welche Geräte Sie verfügen und wer diese nutzt. Die meisten Unternehmen tun dies bereits, doch es ist wichtig, dies als festen Bestandteil Ihrer Governance zu betrachten. Sie können Ihre Infrastruktur nicht verwalten und sichern, ohne zu wissen, welche Ressourcen darin vorhanden sind.
8. Richtlinien zur angemessenen Nutzung von Kryptografie und Verschlüsselung: Es ist wichtig, die Sicherheit Ihrer Daten sowohl im Ruhezustand als auch während der Übertragung zu gewährleisten. Dazu gehört auch, festzulegen, wie kryptografische Tools innerhalb des Unternehmens eingesetzt werden, und sicherzustellen, dass geeignete Verfahren für deren Verwaltung und Implementierung vorhanden sind.
9. Sicherheit im Personalwesen, Zugriffskontrollrichtlinien und Anlagenverwaltung: Es ist von entscheidender Bedeutung, dass geeignete Schulungen angeboten werden, um sicherzustellen, dass die Nutzer verantwortungsbewusst handeln und ihre Pflichten im Zusammenhang mit der Computernutzung verstehen. Ebenso wichtig ist es jedoch, dass geeignete Sicherheitsvorkehrungen getroffen werden, um sicherzustellen, dass die richtigen Personen zur richtigen Zeit das richtige Maß an Zugriff erhalten.
10. Einsatz von multifaktorieller, gesicherter Sprach-, Video- und Textkommunikation sowie gesicherter Notfallkommunikation: Sichere Geschäftskommunikation ist für jedes Unternehmen ein Muss. Dies umfasst sowohl die verwendeten Geräte als auch die eingesetzten Tools. Darüber hinaus sollten Unternehmen überlegen, wie die Mitarbeiter im Falle eines schwerwiegenden Vorfalls oder einer Betriebsstörung kommunizieren würden.

Dies sind lediglich sehr allgemeine Übersichten, die als Gesprächsgrundlage dienen sollen. Hinter jedem dieser Punkte steht der ständige Bedarf an soliden Prozessen und den richtigen Instrumenten, um eine angemessene Steuerung zu gewährleisten.

Der Bedarf an Belegen ist von entscheidender Bedeutung

Lücken in der Dokumentation stellen ein direktes Compliance-Risiko dar und sind ein wesentlicher Bestandteil des Nachweises der Compliance.

• Es geht darum, nachzuweisen, dass die Prozesse geprüft und genehmigt wurden, und dies anhand der entsprechenden Unterlagen zu belegen.
• Es ist die Fähigkeit zu verstehen, was im Zusammenhang mit einem bestimmten Vorfall geschehen ist, was gerade geschieht und was geschehen sollte.
• Es geht darum, nachweisen zu können, dass solide Sicherheitsprozesse vorhanden sind und aktiv angewendet werden.

Im Falle eines Vorfalls müssen Unternehmen darlegen, welche Maßnahmen sie ergriffen und welche Entscheidungen sie getroffen haben, sowie die Gründe für die Wiederherstellung des Betriebs erläutern. Ein Unternehmen kann jedoch auch aufgefordert werden, zu erläutern und nachzuweisen, was es vor dem Vorfall unternommen hat. Es muss möglicherweise seine Prozesse darlegen, was es aufgezeichnet hat und wie es auf Informationen reagiert hat, und dies anschließend belegen.

Dadurch entsteht eine Kultur der kontinuierlichen Datenerfassung, nicht erst, wenn etwas schiefgeht.

Auch in einem modernen Unternehmen ist dies nicht möglich, wenn man sich auf Tabellenkalkulationen verlässt oder auf manuelle Eingriffe angewiesen ist. Es ist entscheidend, dass die Teams über die richtigen Werkzeuge verfügen, um ihre Arbeit zu erledigen.

Überlassen Sie es nicht dem Zufall

Kaseya ist seit jeher führend bei der Entwicklung von Tools, die IT-Teams dabei unterstützen, die Cybersicherheit und die Ausfallsicherheit zu verbessern.

Richtlinien und Vorschriften mögen eingeführt werden und sich weiterentwickeln, doch wenn die Grundprinzipien einer guten Unternehmensführung gegeben sind und die richtigen Instrumente zur Verfügung stehen, lässt sich eine angemessene Einhaltung der Vorschriften gewährleisten. 

Lösungen wie IT Glue die IT-Dokumentation ermöglichen es, alles in weniger als 30 Sekunden nachzuverfolgen, zu finden und zu erfassen. Datto hingegen sorgt dafür, dass Sie beruhigt sein können: Sollte einmal etwas schiefgehen, wissen Sie, dass die richtigen Backups und Notfallwiederherstellungsmaßnahmen für die Geschäftskontinuität vorhanden sind.

Vereinbaren Sie noch heute eine Vorführung, um mehr zu erfahren.