NIS-2: Vom Maßnahmenkatalog zur gelebten Sicherheit

Ein Maßnahmenkatalog ist schnell erstellt.
Die entscheidende Frage ist jedoch: Was davon funktioniert im Ernstfall?
NIS-2 wird nicht durch Dokumente erfüllt, sondern durch klare Zuständigkeiten und eingeübte Abläufe.

Im ersten Beitrag ging es darum, warum Cybersicherheit eine Führungsaufgabe ist. Der nächste Schritt ist die Umsetzung: Wie wird aus einer Bestandsaufnahme ein Plan, der im Alltag trägt und im Ernstfall nicht erst gesucht werden muss?

Erst klären, was wirklich gilt

Im nächsten Schritt wird aufgezeigt, welche Aspekte bereits geregelt sind und wo noch Handlungsbedarf besteht. Es reicht nicht aus, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob die Verfahren im Alltag bekannt sind, ob Verantwortliche benannt wurden und ob die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört auch die Betrachtung von Risiken, Systemen und Abhängigkeiten. Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Vom Ist-Zustand zu den wichtigsten Lücken

Im nächsten Schritt wird sichtbar, was bereits geregelt ist und wo noch Handlungsbedarf besteht. Dabei reicht es nicht, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob Verfahren im Alltag bekannt sind, Verantwortliche benannt wurden und die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört der Blick auf Risiken, Systeme und Abhängigkeiten: Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Priorisieren statt alles gleichzeitig anzufangen

Eine Bestandsaufnahme kann viele offene Punkte sichtbar machen. Das ist jedoch kein Grund, überall gleichzeitig neue Projekte zu starten. Sinnvoller ist eine Priorisierung nach Risiko und möglicher Auswirkung auf das Unternehmen, beispielsweise danach, welche Ausfälle die Leistungserbringung, Kunden oder gesetzliche Pflichten besonders stark betreffen würden.

Aus den Lücken wird ein umsetzbarer Maßnahmenplan erstellt. Für jede Maßnahme sollten eine verantwortliche Person, eine Priorität, ein Zieltermin und ein Weg zur Überprüfung feststehen. So wird aus der Aussage „Wir müssen unsere Sicherheit verbessern“ eine konkrete Aufgabe, deren Fortschritt sich nachvollziehen lässt.

Verantwortlichkeiten im Alltag verankern

Cybersicherheit lässt sich nicht dauerhaft an eine einzelne Person oder Abteilung delegieren. Die Geschäftsführung muss die erforderlichen Maßnahmen genehmigen und ihre Umsetzung überwachen. IT, Fachbereiche, Personal, Datenschutz, Kommunikation und gegebenenfalls Recht müssen wissen, welche Rolle sie haben – besonders im Falle eines Vorfalls.

Das bedeutet jedoch nicht, dass jede Abteilung zu einer Sicherheitsabteilung werden muss. Es bedeutet jedoch, dass Mitarbeitende wissen, wen sie informieren müssen, welche Schritte sie nicht eigenmächtig unternehmen sollten und wo sie verlässliche Anweisungen finden. Diese Klarheit entsteht durch verständliche Prozesse, passende Schulungen und regelmäßige Übungen.

Pläne testen, nicht nur ablegen

Ein Notfallplan, der nie getestet wurde, ist zunächst einmal nur eine Annahme. Ein gemeinsamer Probelauf kann zeigen, ob die Kontaktwege funktionieren, Entscheidungen rechtzeitig getroffen werden und die Wiederherstellung wichtiger Systeme realistisch geplant ist.

Besonders wichtig ist der Meldeprozess: Wer erkennt und bewertet einen Vorfall? Wer koordiniert die Informationen? Wer ist für die Meldung zuständig? Bei erheblichen Vorfällen gelten kurze Fristen, weshalb Rollen und Abläufe im Voraus festgelegt werden sollten und nicht erst während eines Angriffs ausgehandelt werden dürfen.

Was ist zu tun?

• Betroffenheit klären und gegebenenfalls Registrierung beim BSI dokumentieren.
• Kritische Geschäftsprozesse, Systeme und Abhängigkeiten erfassen.
• Bestehende Maßnahmen auf Wirksamkeit prüfen, und zwar nicht nur auf ihre Dokumentation.
• Lücken nach Risiko und möglicher Auswirkung priorisieren.
• Für jede Maßnahme Zuständigkeit, Termin und Prüfkriterium festlegen.
• Melde-, Krisen- und Wiederherstellungsprozesse definieren und testen.
• Geschäftsführung und Mitarbeitende regelmäßig schulen.
• Ergebnisse, Entscheidungen und Fortschritte müssen nachvollziehbar dokumentiert werden.
• Mitarbeiter schulen und Handouts erstellen
• Sicherung und Recovery planen, implementieren, testen und automatisieren.

Der Maßstab ist nicht, möglichst viele Maßnahmen auf eine Liste zu setzen. Entscheidend ist, dass die wichtigsten Risiken bearbeitet werden und die Organisation nachweisen kann, wie sie ihre Sicherheitsmaßnahmen umsetzt, überprüft und verbessert.

Vom Befund zur Umsetzung

Wenn Sie Hilfe benötigen, finden Sie bei uns die optimale Beratung und Unterstützung. Zunächst analysieren wir Ihre bestehenden Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir unter anderem die Themen Risiken, Datensicherheit, Backups, Notfallmanagement und Zusammenarbeit mit Dienstleistern. So werden der aktuelle Stand und die wesentlichen Handlungsfelder sichtbar.

In einem gemeinsamen Workshop ordnen wir die Ergebnisse ein, klären offene Fragen und skizzieren passende Lösungswege. Daraus erstellen wir einen auf Ihr Unternehmen zugeschnittenen Maßnahmenplan mit Prioritäten und nächsten Schritten.

Anschließend unterstützen wir Sie dabei, die Maßnahmen in geeignete Konzepte und gelebte Abläufe zu überführen. Dazu können auch Schulungen, Change-Management und User-Adoption gehören, damit Sicherheit nicht nur dokumentiert ist, sondern auch im Arbeitsalltag funktioniert.