Viele Unternehmen – insbesondere im KMU-Bereich – werden durch das BSI-Gesetz NIS-2 vor gänzlich neue Herausforderungen gestellt. Was sie bezogen auf die Informationssicherheit zu tun haben und wie sie die gesetzlichen Anforderungen umsetzen können, ist alles andere als eindeutig. Und während es für die technischen Anforderungen noch ausreichend Anbieter und Hersteller gibt, die sich groß “NIS-2 readiness” auf die Fahne geschrieben haben, bleiben organisatorische Maßnahmen meist unberührt. Dabei spielt der organisatorische Teil eine ebenso große (je nach Interpretation sogar eine größere) Rolle für die NIS-2-Umsetzung. Einen bedeutenden Schwerpunkt der organisatorischen Anforderungen stellt das Risikomanagement für die IT-Security dar.
Aus eigener Erfahrung können wir berichten, dass dies viele Unternehmen besonders bewegt: Viele wollen nicht nur die gesetzlichen Anforderungen erfüllen. Stattdessen soll ihnen das Risikomanagement einen Mehrwert bieten und mit möglichst geringem Ressourceneinsatz beste Ergebnisse erzielen. Im folgenden Beitrag schauen wir anhand eines fiktiven, aber realitätsnahen Beispiels an:
- welche Hürden Unternehmen bezogen auf das Risikomanagement haben;
- wo am häufigsten Fehler entstehen;
- welche Weichen gestellt werden müssen, um IT-Risikomanagement erfolgreich zu implementieren.
Ein beispielhafter Fall
Stellen wir uns folgendes Beispiel vor, das auf unseren Erfahrungen aus dem Beratungsalltag basiert: Wir haben ein Krankenhaus, das unterhalb der kritischen Infrastruktur (KRITIS) liegt, aber aufgrund der Anzahl der Mitarbeitenden als besonders wichtige Einrichtung laut BSIG 2025 eingestuft wird. Das Krankenhaus hat eine fünf Jahre alte Risikomethodik, die zwar theoretisch weiterhin gültig ist, aber in der Praxis keine Rolle spielt. Die Personen, die diese Methodik entwickelt haben, sind nicht mehr im Unternehmen und das verbliebene Wissen besteht aus einer umfangreichen, aber wenig praxisnahen Richtlinie zum Risikomanagement.
Ein Tool für das Risikomanagement gibt es nicht, stattdessen existiert eine vier Jahre alte Excel-Tabelle für eine gesamtunternehmerische Betrachtung, die auch zwei IT-Risiken beinhaltet: “Ausfall Krankenhaus-Informationssystem” und “Ausfall Laborsystem”. Eine Ableitung oder Nachverfolgung von Maßnahmen ist nicht ersichtlich. Redet man mit der IT, wird schnell klar, dass dieses Risikomanagement nicht genutzt wird. Gleichzeitig gab es in der Vergangenheit aber bereits mehrere Ausfälle und Störungen der IT-Systeme, auf die reagiert wurde. Das Wissens hierzu ist aber ausschließlich in den Köpfen der IT-Mitarbeitenden, also implizit. Die Notwendigkeit, ein funktionierendes Risikomanagement einzuführen, wird nicht gesehen, da doch “alles läuft” und “alle wissen, was zu tun ist”. Zudem sei man durch Firewall und Co. schon gut geschützt.
Was fällt auf?
Wirft man einen genaueren Blick auf das Krankenhaus, dann fallen insbesondere drei Dinge ins Auge:
- Es gibt zwei getrennte Abteilungen, IT und Medizintechnik, die sich stets gegenseitig die Verantwortung für neue Medizingeräte zuschieben. Das liegt insbesondere daran, dass neue Medizingeräte immer mit einem Netzwerkanschluss und mitgelieferter Software – beispielsweise für die Diagnostik – kommen. Die Grenzen zwischen IT und Medizintechnik verschwimmen folglich immer mehr und es ist nur sehr selten eine Abgrenzung möglich. Die “Medizingeräte” stehen hier übrigens stellvertretend für OT aus anderen Branchen.
- Die NIS-2 Betroffenheit und Registrierung beim BSI wurde bereits erledigt, die nächsten Schritte nach der Registrierung sind hingegen unbekannt. Einerseits fehlt es an einer internen Verantwortlichkeit für das Thema, andererseits auch an Wissen, was zu tun ist, um gesetzeskonform zu arbeiten. Sprich, der Weg zur Umsetzung der NIS-2 Risikomanagement-Maßnahmen (§30 BSIG 2025) ist unklar.
Wie aus der Schilderung des Beispiels hervorgeht, gibt es faktisch kein Risikomanagement. Die Vorgaben sind komplex und veraltet. Die letzte Aktualisierung ist vier Jahre her. Das Wissen, wie das Risikomanagement durchgeführt wird, ist nicht mehr im Unternehmen. Daher folgt: Wenn Risiken in diesem Krankenhaus überhaupt erfasst werden, erfolgt die Erhebung eher nach dem Bauchgefühl statt einer strukturierten Methodik. Unter diesen Voraussetzungen wird es dem Krankenhaus künftig schwer fallen, die gesetzlichen Forderungen einzuhalten und für tatsächliche Cyber-Resilienz zu sorgen.
Wie geht es weiter?
Wir verfolgen bei diesem Unternehmen daher gleich mehrere Ansätze, die aufeinander aufbauen: Zum Ersten sollten die größten Lücken bezogen auf die NIS-2 durch eine strukturierte Analyse identifiziert werden, um diese im Anschluss planvoll zu schließen. Zum Zweiten müssen Klinikleitung bzw. Geschäftsleitung und zentrale Akteure des Krankenhauses befähigt werden, die Risiken zu verstehen, diese einzuordnen und geeignete Lösungswege zu finden. Mit dem Wissen der bestehenden Lücken und der Kompetenz, Risiken zu identifizieren und einzuordnen, kann im dritten Schritt die bestehende Risikomanagement-Methodik überprüft und gegebenenfalls angepasst werden. Das Ziel: die Komplexität reduzieren, um die Methodik leichter verständlich und damit besser anwendbar zu machen.
Häufige Lücken bei der NIS-2 Umsetzung
Die Identifikation der Lücken und anschließende Ableitung der Maßnahmen erfolgt am besten durch eine NIS-2 Gap-Analyse. Erfahrungsgemäß sind die drei häufigsten Lücken:
Das fehlende Asset-Inventar
Es gibt eine Inventarliste. Diese erfüllt aber nicht die Anforderungen an eine Asset-Liste im Informationssicherheitsrisikomanagement. Insbesondere ergeben sich keine Zusammenhänge zwischen den Unternehmenswerten, Prozesse sind nicht als Assets erfasst und es fehlt eine Bewertung, wie kritisch die Assets einzuordnen sind. Zudem haben die IT und Medizintechnik (oder OT-Abteilung) eigene, isolierte Listen, die einen anderen Zweck erfüllen. Eine gemeinsame, den Anforderungen des Informationssicherheitsrisikomanagements entsprechende Asset-Liste fehlt.
Die unsichtbare Lieferkette
Hier geht es nicht um das Lieferkettensorgfaltspflichtengesetz (LkSG), sondern um die eigene Sicherheit und Darstellung, wie abhängig das Krankenhaus von Lieferanten ist. Das Krankenhaus weiß nicht, welchen Einfluss beispielsweise die Softwarelieferanten auf ihre eigenen Prozesse haben oder welche Auswirkungen ein Vorfall bei einem Dienstleister hat. Bei vielen Unternehmen existiert dieses Wissen wieder implizit. Das heißt: Jeder weiß, dass Softwarehersteller A sehr großen Einfluss auf die eigenen Prozesse hat. Aber die wenigsten Unternehmen schreiben dies explizit nieder und noch weniger Unternehmen leiten aus diesem Wissen Maßnahmen ab.
Risikomethodik und Aktualität
Es gibt mittlerweile viele Möglichkeiten, sich zum Risikomanagement in Unternehmen fortzubilden. Aber nicht jedes Unternehmen benötigt sofort einen zertifizierten Risikomanager. Zumeist verrennen sich Unternehmen darin, eine möglichst komplexe, wasserfeste Methodik zu entwickeln, die dann wiederum nur von wenigen Personen im Unternehmen verstanden wird. Ein Großteil der Unternehmen, die wir im Rahmen von NIS-2 begleiten oder begleitet haben, hatte eine Risikomethodik – entweder direkt auf Unternehmensebene oder in einem Governance-nahen Fachbereich wie Controlling, Qualitätsmanagement oder Datenschutz. Bei den wenigsten “lebte” diese Methodik allerdings. Vielmehr war es eine in die Jahre gekommene Richtlinie, die von Personen stammte, die lange nicht mehr im Unternehmen waren oder es wurden Tools genannt, die nicht mehr im Einsatz waren. Gab es dazu noch eine Risikomatrix bzw. ein Risikoregister, so war dies so alt wie die Richtlinie selbst oder sehr allgemein gehalten, sodass keine konkreten Maßnahmen abgeleitet werden konnten. Dies trifft auch auf unser Beispiel zu.
Um diese Lücken zu schließen, legen wir bei der Umsetzung der identifizierten Maßnahmen genau darauf unsere Schwerpunkte. Den Anfang bildet der Aufbau eines einheitlichen Asset-Registers. Mit der Definition von Verantwortlichkeiten, Beziehungen zwischen den Assets und der Bestimmung der Kritikalität legen wir den Grundstein für das anschließende IT-Risikomanagement. Dieses halten wir bewusst einfach, nutzen gängige Gefährdungen und erlauben Unschärfen in der Detailtiefe. Vielmehr steht im Mittelpunkt, die Methodik zu vermitteln und einmal den gesamten Prozess von der Risikoidentifikation bis zur Risikobeurteilung und Ableitung von Maßnahmen durchzuspielen und gegebenenfalls anzupassen. In späteren Intervallen wird das Risikomanagement iterativ verfeinert und vertieft.
In der Ableitung von Risiken spielen Lieferanten eine wichtige Rolle. Ihr Einfluss auf die eigenen Prozesse wird im Kontext des Risikomanagements beleuchtet und geeignete Maßnahmen werden daraus abgeleitet. Dies kann auch durch vorher definierte Lieferanten-Risikostufen erfolgen, sodass sich aus der Risikobewertung der Lieferanten automatisch definierte Maßnahmen ableiten lassen, die dann durch individuelle Maßnahmen für einen Lieferanten ergänzt werden können.
Wofür der ganze Aufwand?
Sehr oft wird in diesem Zusammenhang die Frage gestellt, wozu man ein Risikomanagement benötigt, wenn man sich doch das Geld und den Aufwand sparen und direkt in technische Maßnahmen wie eine Firewall investieren könnte. Wir reden dann gern vom “Aktionismus-Problem”. Viele Unternehmen priorisieren die Einführung technischer, “greifbarer” Maßnahmen. Organisatorische Maßnahmen werden häufig nur als “Papiertiger” gesehen, da sie eher vage und unklar bleiben.
Technischen Maßnahmen sind im Audit jedoch schwer nachweisbar, was oft noch das geringste Problem darstellt. Maßnahmen, die ein Unternehmen umsetzt, sollten auch stets begründbar sein. Ist es sinnvoll, dass das Krankenhaus in ein Security Operation Center (SOC) investiert, weil der Gesetzgeber Systeme zur Angriffserkennung fordert und gerade Fördergelder vorhanden sind, obwohl technische Voraussetzungen wie ein zentrales Logging noch nicht gegeben sind? Vielmehr sollte mittels eines Risikomanagements erst einmal identifiziert werden, ob ein SOC in diesem Augenblick die sicherheitstechnisch und wirtschaftlich richtige Maßnahme ist. Durch Risikomanagement werden Entscheidungen und Maßnahmen begründet. Sie können geplant und vorbereitet werden. Sie sind nachvollziehbar und nachweisbar. Außerdem lassen sich durch die Risikoexposition Maßnahmen priorisieren und damit in eine Umsetzungsreihenfolge bringen.
Dies trifft am Ende den Kern der NIS-2. Es geht nicht darum, technisch am besten aufgerüstet zu sein und das meiste Geld für Firewall, Endpoint Protection und Co investiert zu haben. Es geht darum, mittels einer geeigneten Methodik für sich selbst Maßnahmen zu identifizieren, die sinnvoll sind und die Risikoexposition nachweisbar verringern, um sich damit besser gegen Cybersecurity-Gefahren wehren zu können.
Autor: Tom Bormann
Bildquellen: SHD, Freepik