NIS-2 Beratung: von der Pflicht zur prüffähigen Umsetzung

Entscheidend sind Sektor, Unternehmensgröße und Ihre Rolle in der Lieferkette. Wir klären das im Erstgespräch. Wurde Ihr Unternehmen als kritische Einrichtung eingestuft, gilt zusätzlich die RKE-Richtlinie zur physischen Resilienz.

Die NIS‑2-Richtlinie sieht für wesentliche Einrichtungen Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor. Leitungsorgane müssen die Maßnahmen nachweislich dokumentiert umsetzen, regelmäßig überwachen und sich schulen lassen. Für die laufende Steuerung können Sie einen externen CISO as a Service beauftragen, die Verantwortung bleibt bei der Leitung.

Sie ist eine sehr gute Grundlage für den organisatorischen Teil der NIS‑2-Umsetzung, deckt aber nicht automatisch alles ab, etwa die Umsetzung von technischen Maßnahmen, Meldepflichten oder Anforderungen an die Leitung. Die GAP-Analyse zeigt die Differenz.

Ja, das ist sogar eine Muss-Anforderung aus der NIS‑2. Wir definieren Sicherheitsanforderungen für Ihre Lieferanten und bewerten deren Umsetzung. Für kleinere Lieferanten kann das Cyber Trust Label ein praktikabler Nachweis ihrer Cyber-Sicherheit sein.

Artikel 21 der Richtlinie nennt Mindestmaßnahmen für das Risikomanagement, unter anderem:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Sicherheitsvorfällen
• Backup, Wiederherstellung und Krisenmanagement
• Sicherheit in der Lieferkette
• Schwachstellenmanagement bei Erwerb, Entwicklung und Wartung
• Schulungen und Cyberhygiene
• Zugriffskontrolle, Kryptografie und Multi-Faktor-Authentifizierung

Wie weit Sie diese Maßnahmen bereits erfüllen, zeigt die NIS‑2 GAP-Analyse.

Erhebliche Sicherheitsvorfälle melden Sie in drei Stufen an das zuständige CSIRT oder die Behörde: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat danach. Damit das im Ernstfall klappt, brauchen Sie klare Kriterien, wann ein Vorfall erheblich ist, feste Zuständigkeiten und einen geübten Ablauf. Diesen Meldeprozess richten wir mit Ihnen ein.

Der Aufwand hängt vor allem davon ab:

• wie viele Gesellschaften und Standorte betroffen sind
• wie weit Ihre Informationssicherheit bereits ist, etwa mit einem ISMS nach ISO 27001
• welche Bausteine Sie selbst umsetzen und wo wir unterstützen
• ob OT-Anlagen und technische Prüfungen dazugehören

Das hängt von Ihrem Ausgangsstand und dem Umfang der fehlenden Maßnahmen ab. Weil die Pflichten in Österreich und Deutschland bereits gelten, setzen wir die Prioritäten so, dass die wichtigsten Lücken zuerst geschlossen werden, etwa Meldeprozess, Verantwortung der Geschäftsführung und Risikomanagement. Nach der GAP-Analyse erhalten Sie einen realistischen Zeitplan bis zur Prüfung.