NIS2 verlangt Sicherheit in der Lieferkette: belegen Sie sie Lieferant für Lieferant.
Für den CISO einer wesentlichen oder wichtigen Einrichtung mit vielen IKT-Lieferanten: HodeiShield bewertet die zehn Maßnahmen des Artikels 21, misst die Exposition jedes Lieferanten und hält die Nachweise für jeden bereit, der sie anfordert.
- Bewertung Kontrolle für Kontrolle, für NIS2 verifiziert
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was NIS2 verlangt, kurz gefasst
NIS2 verpflichtet dazu, das Cybersicherheitsrisiko mit verhältnismäßigen technischen, operativen und organisatorischen Maßnahmen zu steuern und erhebliche Vorfälle zu melden.
Informative Zusammenfassung, keine Rechtsberatung. Ob und mit welchen Fristen sie für Sie gilt, hängt vom nationalen Umsetzungsrecht ab.
- Zehn Mindestmaßnahmen
- Artikel 21 Absatz 2 zählt zehn Bereiche auf, vom Vorfallmanagement bis zur Kryptografie. Einer davon ist die Sicherheit der Lieferkette, einschließlich der Aspekte der Beziehung zu jedem unmittelbaren Lieferanten.
- Jeden Lieferanten betrachten
- Artikel 21 Absatz 3 verlangt, die spezifischen Schwachstellen jedes unmittelbaren Lieferanten sowie die Qualität seiner Produkte und seiner Cybersicherheitspraktiken zu berücksichtigen.
- Fristgerecht melden
- Frühwarnung innerhalb von 24 Stunden, Meldung des Vorfalls innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats (Artikel 23).
- Die Leitung haftet
- Die Leitungsorgane billigen die Maßnahmen und überwachen sie und können für Verstöße haftbar gemacht werden (Artikel 20).
Die zehn Maßnahmen des Artikels 21 Absatz 2
HodeiShield bewertet alle zehn anhand der Nachweise, die Sie liefern. Bei den markierten leistet die Plattform darüber hinaus eigene Arbeit.
- a)
Risikoanalyse und Sicherheit der Systeme
Exposition in Euro je Lieferant und Risikoregister.
Teilweise - b)
Bewältigung von Sicherheitsvorfällen
Ein einziges Register mit berechneten Fristen von 24 h und 72 h.
Teilweise - c)
Betriebskontinuität und Krisenmanagement
Organisatorische Maßnahme: Nachweis und Nachverfolgung.
- d)
Sicherheit der Lieferkette
Graph, Fragebögen, periodischer Scan, CVE und SBOM jedes Lieferanten.
Direkt - e)
Erwerb, Entwicklung und Schwachstellenmanagement
Tägliche Synchronisierung von CVE und SBOM gegen OSV.dev.
Teilweise - f)
Wirksamkeit der Maßnahmen bewerten
Sicherheitslage je Rahmenwerk und Nachweise mit Gültigkeitsdatum.
Teilweise - g)
Cyberhygiene und Schulung
Organisatorische Maßnahme: Nachweis und Nachverfolgung.
- h)
Kryptografie und Verschlüsselung
Technische Maßnahme Ihrer Umgebung: Nachweis und Nachverfolgung.
- i)
Personal, Zugriffskontrolle und Assets
Organisatorische Maßnahme: Nachweis und Nachverfolgung.
- j)
Multifaktor-Authentifizierung und sichere Kommunikation
Technische Maßnahme Ihrer Umgebung: Nachweis und Nachverfolgung.
Die nicht markierten Maßnahmen bewertet die Plattform anhand der Nachweise, die Sie hochladen; sie umzusetzen ist Aufgabe Ihrer Organisation.
Von jeder NIS2-Pflicht zu einer Fähigkeit von HodeiShield
Mit Phase im Zyklus und dem tatsächlichen Umfang jeder einzelnen.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Sicherheit der Lieferkette
Art. 21 Abs. 2 Buchst. d
Was HodeiShield leistet:Abhängigkeitsgraph mit Ausbreitung über 3 Sprünge und HHI-Konzentration, Fragebögen per Token mit Erinnerungen und periodischer externer Scan jedes Lieferanten.
Docs · Grundkonzepte (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangDirekt - Pflicht:
Schwachstellen und Qualität der Praktiken jedes unmittelbaren Lieferanten
Art. 21 Abs. 3
Was HodeiShield leistet:Risikobewertung von 0 bis 100 je Lieferant, die Scan, Fragebogen und bekannte CVE kombiniert, mit einem Entscheidungsprotokoll zum Lieferanten.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangDirekt - Pflicht:
Management und Offenlegung von Schwachstellen
Art. 21 Abs. 2 Buchst. e
Was HodeiShield leistet:Tägliche CVE-Synchronisierung (NVD, CISA KEV und EPSS, die Ausnutzungswahrscheinlichkeit) und SBOM der Lieferanten, abgeglichen mit OSV.dev. Die koordinierte Offenlegung Ihrer eigenen Schwachstellen gehört nicht dazu.
Docs · SBOM-, CVE- und Warnkette (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Risikoanalyse
Art. 21 Abs. 2 Buchst. a
Was HodeiShield leistet:FAIR-ALE in Euro als Punktschätzung, mit einem simulierten Unsicherheitsband (nicht kalibriert), und deterministischer Szenariosimulator.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhasePREDICTUmfangTeilweise - Pflicht:
Frühwarnung innerhalb von 24 h und Meldung innerhalb von 72 h
Art. 23
Was HodeiShield leistet:Erfasst den Vorfall einmal, klassifiziert ihn und berechnet die Fristen. Die Meldung an die Behörde oder das CSIRT senden Sie selbst.
Demo · VorfallsregisterPhaseAußerhalb des ZyklusUmfangTeilweise - Pflicht:
Billigung und Überwachung durch die Leitung
Art. 20
Was HodeiShield leistet:Executive-Dashboard und PDF-Berichte mit Sicherheitslage, Pflichten und Behebungs-Roadmap.
Docs · Compliance (öffnet sich in einem neuen Tab)PhasePREDICTUmfangTeilweise - Pflicht:
Organisatorische und technische Maßnahmen der übrigen Buchstaben
Art. 21 Abs. 2 Buchst. c, f, g, h, i, j
Was HodeiShield leistet:Nachweise mit verantwortlicher Person, Gültigkeit und Status, Richtlinienbibliothek und priorisierte Roadmap. Die Plattform bewertet; sie setzt die Maßnahme nicht um.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
Den Stand einem Kunden oder einer Behörde zeigen
Art. 21
Was HodeiShield leistet:Trust Center mit öffentlichem oder eingeschränktem Zugang (NDA / manuelle Prüfung) und ATTEST-Attestierung des Bandes je Rahmenwerk. Sie belegt Integrität und Herkunft, nicht, dass der Nachweis wahrheitsgemäß ist.
Docs · ATTEST-Verifizierer (öffnet sich in einem neuen Tab)PhaseATTESTUmfangTeilweise
Was HodeiShield bei NIS2 nicht leistet
Ausdrückliche Grenzen.
Bestimmt nicht, ob Sie eine wesentliche oder wichtige Einrichtung sind
Das hängt von Ihrem Sektor, Ihrer Größe und dem nationalen Recht ab. Ihre Organisation entscheidet das mit Rechtsberatung.
Setzt die Maßnahmen nicht um und meldet nicht für Sie
Bewertet die Maßnahmen und berechnet Fristen. Kryptografie einzuführen oder die Frühwarnung zu senden bleibt Ihre Aufgabe.
Überwacht Lieferanten nicht kontinuierlich
Die Lieferantenscans sind periodisch, über externe Quellen, und der Agent meldet pro Zyklus. Es ist keine Echtzeit.
Die Bewertung ist keine Konformität
Sie orientiert Ihre Arbeit. Sie ersetzt keine Beurteilung durch die zuständige Behörde und garantiert keine Einhaltung.
Fragen zu NIS2
Was vor einer Demo am häufigsten gefragt wird.
Was verlangt NIS2 zu meinen Lieferanten?
Sie nimmt die Sicherheit der Lieferkette unter die Mindestmaßnahmen auf (Artikel 21 Absatz 2 Buchstabe d) und verlangt, die Schwachstellen jedes unmittelbaren Lieferanten und die Qualität seiner Cybersicherheitspraktiken zu berücksichtigen (Artikel 21 Absatz 3).
Gilt NIS2 für mich?
Das hängt vom Sektor (Anhänge I und II), von der Größe und von der nationalen Umsetzung ab. HodeiShield bestimmt das nicht; Ihre Rechtsberatung konkretisiert es anhand der geltenden Vorschrift.
Wie hilft es bei den Fristen von 24 und 72 Stunden?
Sie erfassen den Vorfall einmal, klassifizieren ihn, und die Plattform berechnet die anwendbaren Fristen. Die Meldung an die zuständige Behörde senden Sie selbst.
Sorgt HodeiShield dafür, dass ich NIS2 einhalte?
Nein. Es misst Ihre Sicherheitslage an den zehn Maßnahmen, misst Ihre Lieferanten und ordnet die Nachweise. Einhaltung erfordert, die Maßnahmen umzusetzen und sie mit Ihren Nachweisen zu stützen.
Ist die Bewertung der Lieferanten kontinuierlich?
Nein. Die Scans erfolgen periodisch über externe Quellen, die Fragebögen beantwortet der Lieferant, und die CVE-Synchronisierung ist täglich.
Verwandte Lösungen
Bringen Sie Ihre Lieferanten in Ordnung, bevor die nächste Anfrage kommt
In der Demo gehen wir Artikel 21 an einem Beispielfall durch: vom Lieferanten mit einer CVE im KEV bis zum Nachweis, den Sie vorzeigen können.
Unverbindlich. Beispieldaten, nie von anderen Kunden.