Die zehn NIS2-Maßnahmen aus Artikel 21(2), erklärt

NIS2 lässt die Sicherheitsmaßnahmen nicht offen. Artikel 21(2) der NIS2-Richtlinie nennt zehn Bereiche, die jede wesentliche und wichtige Einrichtung abdecken muss, und das deutsche Recht setzt sie eins zu eins in § 30 BSIG um. Die Maßnahmen müssen zu Risiko, Größe und Exposition passen, ein Hersteller mit 60 Leuten fährt also nicht das Programm einer Bank, aber keine betroffene Einrichtung darf einen der zehn Bereiche auslassen. Dieser Artikel erklärt jeden in klaren Worten und sagt, wo du deinen Aufwand zuerst hinlegst.

Die zehn Bereiche

Artikel 21(2) führt sie wie folgt auf. Der Wortlaut unten ist eine praktische Lesart, kein Zitat.

1. Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme. Ein dokumentierter Weg, Risiken zu finden, zu bewerten und zu behandeln, und die Richtlinien, die daraus folgen. Das ist das Fundament, auf dem die anderen neun aufbauen.
2. Bewältigung von Sicherheitsvorfällen. Erkennen, reagieren und wiederherstellen, mit klaren Rollen. Das hängt direkt an den Meldefristen (24 Stunden, 72 Stunden, ein Monat).
3. Aufrechterhaltung des Betriebs. Backup-Management, Notfallwiederherstellung und Krisenmanagement, damit du weiterarbeiten oder schnell zurückkommen kannst. Backups, die nie zurückgespielt wurden, zählen nicht.
4. Sicherheit der Lieferkette. Die Sicherheit der Beziehungen zu deinen Lieferanten und Dienstleistern, einschließlich ihrer sicheren Entwicklungspraktiken. Dein Risiko schließt ihr Risiko ein.
5. Sicherheit bei Beschaffung, Entwicklung und Wartung. Sichere Entwicklung und Beschaffung, einschließlich Umgang mit Schwachstellen und Offenlegung. Für alle, die Software oder Geräte bauen, lebt hier der Schwachstellenprozess.
6. Wirksamkeitsbewertung. Konzepte und Verfahren, um zu beurteilen, ob die Maßnahmen wirklich wirken. Das ist die Klausel, die Tests und Nachweise verlangt, nicht nur Dokumente.
7. Cyberhygiene und Schulung. Grundlegende Praktiken und Sicherheitsbewusstsein für das Personal, auch für die Geschäftsleitung. Die alltäglichen Gewohnheiten, die die häufigen Angriffe stoppen.
8. Kryptografie. Konzepte zum Einsatz von Kryptografie und, wo angemessen, Verschlüsselung. Verschlüssle, was zählt, und verwalte die Schlüssel.
9. Personalsicherheit, Zugriffskontrolle und Asset-Management. Wer darf worauf zugreifen, auf welchen Systemen, und ein Inventar der zu schützenden Werte.
10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation. Starke Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und ein Weg zu kommunizieren, wenn die normalen Systeme ausfallen.

Wo das in der Praxis klemmt

Drei der zehn bereiten in den ersten Projekten, die wir sehen, die meiste Mühe.

• Wirksamkeitsbewertung (6). Viele Organisationen haben Richtlinien, aber keinen Nachweis, dass sie wirken. Hier verdient sich ein Penetrationstest seinen Platz: Er zeigt schnell, wo die Maßnahmen versagen, und liefert den Nachweis, den NIS2 verlangt. Testen und Beraten ist genau das, was wir tun; wir sind kein Prüfer und keine Zertifizierungsstelle.
• Sicherheit der Lieferkette (4). Lieferanten als außerhalb des Umfangs zu behandeln, ist der häufige Fehler. NIS2 macht ihre Schwächen zu deinem Problem, also musst du wissen, wie deine kritischen Lieferanten entwickeln und absichern, was sie dir verkaufen.
• Bewältigung von Vorfällen (2) und die Melde-Uhr. Die Maßnahmen sind nur echt, wenn jemand den Vorfall bemerkt. Ohne Monitoring und einen klaren Eskalationsweg ist die 24-Stunden-Frist nicht erreichbar.

Wie tief müssen die Maßnahmen gehen?

Angemessen zu Risiko und Größe. Das Gesetz erwartet, dass du deine Entscheidungen erklären kannst: warum eine bestimmte Maßnahme für dein Risiko ausreicht oder warum eine stärkere nicht nötig war. Das unterscheidet sich stark davon, ein maximales Richtlinienpaket zu kopieren, das du nicht tragen kannst. Kurz und wahr schlägt lang und kopiert. Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und kann haften, also muss die Begründung aufgeschrieben sein.

Eine sinnvolle Reihenfolge

1. Risikoanalyse (1) zuerst, denn sie entscheidet, wie weit der Rest geht.
2. Bewältigung und Erkennung von Vorfällen (2) als Nächstes, damit du die Meldepflicht erfüllst und Schaden begrenzt.
3. Backups, Zugriffskontrolle und MFA (3, 9, 10), die Maßnahmen, die die meisten realen Angriffe stoppen.
4. Umgang mit Schwachstellen und sichere Entwicklung (5), wenn du Produkte baust.
5. Wirksamkeitstests (6), um zu belegen, dass das Obige wirkt, und Lieferkette (4) sowie Schulung (7) parallel.
6. Kryptografie (8) durchgezogen, nicht angeschraubt.

Zyberum hilft bei der Betroffenheitsprüfung, der Gap-Analyse gegen diese zehn Bereiche, der Umsetzung und den Tests, die den Wirksamkeitsnachweis liefern. Mehr dazu unter NIS2-Compliance, oder buch einen kostenlosen NIS2-Check.