NIS-2: Wir checken Ihre Cyberabwehrkräfte

Für den Aufbau eines ISMS müssen Sie viele Interna aus einem Unternehmen erfahren. Ist das ein Problem?

Es kommt häufig vor, dass Kunden anfangs Bedenken haben, sensible Unternehmensinformationen zu teilen. Wir erklären ihnen detailliert, wie wir mit ihren Daten umgehen und welche Sicherheitsvorkehrungen wir treffen, um diese zu schützen. Darüber hinaus unterzeichnen wir umfassende Vertraulichkeitsvereinbarungen und bieten eine offene Kommunikation, die es den Kunden ermöglicht, den gesamten Prozess nachzuvollziehen.

Beim Erfüllen von ISMS-Compliance-Anforderungen geht es auch um die Veränderung des Verhaltens aller Beschäftigten. Wie erreichen Sie das?

Dafür setzen wir auf gezielte Schulungen und Sensibilisierungsprogramme. Wir bieten zum Beispiel User-Awareness-Schulungen an, sowohl auf technischer als auch auf organisatorischer Basis. Beschäftigte müssen zum Beispiel in einem Test entscheiden, ob eine E-Mail ein Fake ist oder echt. Wir können auch den Umgang mit externen USB-Sticks testen, indem wir solche Sticks an die Belegschaft verteilen und sehen, wie die Personen damit umgehen. Diese Maßnahmen sollen das Bewusstsein für IT-Sicherheitsrisiken schärfen und sicherstellen, dass die neuen Routinen verstanden und im Alltag angewendet werden.

Das BSI ist die Aufsichtsbehörde für die Umsetzung der NIS-2-Richtlinie in Deutschland. Wie eng ist der Austausch von SHD mit dem BSI?

SHD ist Mitglied im Cyber-Sicherheitsnetzwerk des BSI und verfügt über mehrere Vorfall-Experten, deren Wissen rund um die Bewältigung von IT-Sicherheitsvorfällen vom BSI mit einem Zertifikat bestätigt wurde. Wir arbeiten also kontinuierlich mit dem BSI zusammen. Das hilft uns dabei, unsere Kunden bestmöglich zu unterstützen und sicherzustellen, dass alle NIS-2-Anforderungen ordnungsgemäß umgesetzt werden. 

Wie engagiert sich SHD darüber hinaus in der IT-Branche zu diesem Thema?

Wir sind seit über 30 Jahren Mitglied der Compass Gruppe. Sie wurde als IT-Unternehmensverbund gegründet und bietet für uns heute den größten Mehrwert durch den Austausch mit IT-Fachkräften aus ganz Deutschland. In der Compass Gruppe gibt es hochspezialisierte Facharbeitskreise wie das DIRT.-Netzwerk, das wir mitgegründet haben. DIRT. ist ein deutschlandweites Incident Response Team, das sich auf die schnelle Reaktion und Bewältigung von Sicherheitsvorfällen spezialisiert hat. Es koordiniert Maßnahmen bei Cyberangriffen und führt forensische Untersuchungen durch. Die Gruppe verfügt über mehr als 50 BSI-Vorfall-Experten, 4.500 IT-Spezialisten und einen breiten Erfahrungsschatz.

Wie hilft SHD Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, eine sichere Cyberabwehr aufzubauen?

SHD steht seinen Kunden mit umfassenden Security-Lösungen und -Services zur Seite. Ein aktuell sehr gefragtes Beispiel ist unser Security Operations Center (SOC). Das ist eine Sicherheitsleitstelle, in der alle sicherheitsrelevanten Systeme unserer Kunden überwacht werden – dazu zählen das Unternehmensnetzwerk, die Server oder Internetservices. Unser Team untersucht Warnmeldungen und Log-Dateien auf Unregelmäßigkeiten, schlägt bei Sicherheitsvorfällen Alarm und leitet sofortige Gegenmaßnahmen ein. In der Regel passiert dies, bevor die Angriffe für unsere Kunden in den Auswirkungen spürbar sind. Und falls Sie doch kritisch werden, ist unser Incident Response Team sofort für Sie da, um schnell alle notwendigen Maßnahmen zu ergreifen.

In Deutschland wird wie überall auf der Welt ein starkes Wachstum von Cyberangriffen auf Unternehmen registriert. Dies hat unter anderem mit den globalen Krisen (Ukraine, Israel etc.) zu tun. Die häufigsten Angriffe kommen aus China und Russland. Sie erfolgen aus kommerziellen und/oder politischen Motiven. Am bekanntesten sind Ransomware-Attacken, bei denen die IT-Systeme des angegriffenen Unternehmens verschlüsselt werden und eine Lösegeldforderung erhoben wird. Die Cyberkriminellen gehen dabei ebenso professionell wie arbeitsteilig vor.

Die Abkürzung „NIS“ steht für „Netzwerk- und Informationssicherheit“ und gibt der NIS-Richtlinie der Europäischen Union ihren Namen. Die erste NIS-Richtlinie der EU wurde im Jahr 2016 beschlossen und in Deutschland in nationales Recht umgesetzt. Die NIS-2-Richtlinie stellt ein inhaltliches Update zur ersten NIS-Richtlinie dar. Sie wurde am 27. Dezember 2022 veröffentlicht und muss bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden. Der Text der NIS-2-Richtlinie ist hier auf deutsch zu finden: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555.

Das Bundeskabinett hat am 24. Juli 2024 den Entwurf zum deutschen „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG) verabschiedet. Die Pressemitteilung dazu finden Sie hier und den Text des Gesetzentwurfs hier. Zuvor hatte es zwei Referentenentwürfe gegeben, zu dem zahlreiche Träger Öffentlicher Belange wie Bundesverbände und Fachleute, etwa von der AG KRITIS, UP KRITIS und vom Bitkom e.V., ihre Stellungnahmen abgegeben hatten. Der Gesetzentwurf muss nun noch vom Deutschen Bundestag beraten und beschlossen werden und kann voraussichtlich termingerecht im Oktober in Kraft treten.

Künftig werden rund 29.500 Unternehmen in Deutschland zur Umsetzung von Cybersicherheitsmaßnahmen verpflichtet sein. In der Anlage zum NIS2UmsuCG werden die Branchen aufgeführt, die das Gesetz betreffen, und im § 28 werden die quantitativen Maßstäbe (Zahl der Mitarbeitenden, Umsatz) festgelegt. Dort gibt es auch Ausführungen dazu, in welchen Fällen kleinere Betriebe, die zu einem Unternehmensverbund gehören, von dem Gesetz betroffen sind und wann nicht.

Betroffene Unternehmen haben Risikomanagement-, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten, die im Kapitel 2 des Gesetzes (§§ 38-42) genauer dargelegt werden. Dazu gehören zum Beispiel Konzepte und Verfahren zum Backup-, Notfall- und Krisenmanagement sowie zur Sicherung der Lieferkette. Erhebliche Sicherheitsvorfälle müssen bei einer gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichteten Stelle gemeldet werden.

In den ersten drei Monaten nach Inkrafttreten des Gesetzes müssen sich betroffene Unternehmen bei der Meldestelle von BSI und BBK registrieren.

Im § 38 des Gesetzes steht sinngemäß: Die Geschäftsleitungen müssen die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und überwachen und sie müssen sich dafür schulen lassen, um Risiken erkennen und bewerten zu können. Geschäftsleitungen haften gemäß des Gesellschaftsrechts für einen schuldhaft verursachten Schaden.

Eine Bestandsaufnahme und eine Lückenanalyse steht am Anfang der Auseinandersetzung mit dem Thema Cybersicherheit. Danach sollte man gemeinsam mit einem externen Beratungsunternehmen planmäßig ein Information Security Management System (ISMS) aufbauen. Es kann zu einem Business Continuity Management Systems (BCMS) ausgebaut werden. Ein solches System erlaubt rund um die Uhr mit einem internen oder externen Monitoring die Überwachung und Optimierung des Schutzschilds gegen Cyberangriffe. Die SHD System-Haus-Dresden GmbH steht Ihnen dabei mit ihrer strategischen Kompetenz und Erfahrung gern zur Seite.