Wie erreiche ich NIS2-Konformität mit Software?
Von HodeitekVeröffentlicht
Für Verantwortliche für Sicherheit und Compliance in wesentlichen oder wichtigen Einrichtungen, die wissen wollen, welcher Teil von NIS2 sich automatisieren lässt und welcher Menschenarbeit bleibt.
Software hilft, die NIS2-Arbeit zu ordnen: Sie erfasst Maßnahmen und Nachweise, beobachtet Lieferanten und zählt die Fristen der Vorfallmeldung. Entscheidungen ersetzt sie nicht. Risikoanalyse, Billigung der Maßnahmen durch die Leitung, Schulung der Belegschaft und Einreichung bei der Behörde bleiben bei Ihnen, denn dafür trägt die Einrichtung selbst die Verantwortung.
Was NIS2 verlangt und von wem
Die Richtlinie (EU) 2022/2555 gilt nach Artikel 2 für Einrichtungen der Sektoren ihrer Anhänge, die mindestens mittelgroß sind, und für einige unabhängig von der Größe. Artikel 3 teilt sie in wesentliche und wichtige Einrichtungen. Jeder Mitgliedstaat setzt sie in nationales Recht um: Prüfen Sie das für Sie geltende Gesetz und die zuständige Behörde.
Die Höchstbußgelder nach Artikel 34 betragen mindestens 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes bei wesentlichen Einrichtungen und 7 Millionen oder 1,4 % bei wichtigen, je nachdem, welcher Betrag höher ist.
Artikel 21: Risikomanagementmaßnahmen
Artikel 21 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes. Absatz 2 nennt zehn Bereiche, darunter Risikoanalyse, Vorfallbewältigung, Kontinuität, Sicherheit der Lieferkette, Kryptografie und Zugriffskontrolle.
Was Software leisten kann
- Jede Maßnahme mit Verantwortlichem, Status und Nachweis führen und warnen, wenn der Nachweis abläuft.
- Ein Risikoregister und eine Richtlinienbibliothek mit Versionen pflegen.
- Denselben Nachweis in mehreren Rahmenwerken wiederverwenden, wenn eine Zuordnung zwischen Kontrollen besteht.
- Berichte für die Leitung und für ein Audit erstellen.
Was Software nicht leisten kann
Die Maßnahmen müssen Ihrem Risiko angemessen sein, und diese Verhältnismäßigkeit bestimmen Sie. Ein Werkzeug konfiguriert Ihr Netz nicht, schult Ihre Belegschaft nicht und macht eine Maßnahme nicht wirksam, nur weil sie erfasst ist.
Was Menschenarbeit bleibt
- Entscheiden, welche Risiken Sie akzeptieren und welche Maßnahme verhältnismäßig ist.
- Die technischen und organisatorischen Kontrollen umsetzen.
- Belegschaft und Leitung schulen.
- Nachweisen, dass die Maßnahmen wirken, nicht nur, dass sie dokumentiert sind.
Artikel 21 Absatz 2 Buchstabe d: Sicherheit der Lieferkette
Artikel 21 Absatz 2 Buchstabe d umfasst die sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Lieferanten oder Diensteanbieter, und Absatz 3 verlangt, die spezifischen Schwachstellen jedes Einzelnen und die Gesamtqualität seiner Produkte und Cybersicherheitspraktiken zu berücksichtigen. Auf diesem Weg kann auch ein Unternehmen außerhalb des direkten Anwendungsbereichs NIS2-Anforderungen in seinen Verträgen vorfinden.
Software hilft bei Inventar, Nachweis und Verfolgung je Lieferant. Die Entscheidung, einen Lieferanten zu beauftragen, zu behalten oder aufzugeben, ersetzt sie nicht.
Was das Werkzeug leisten sollte
- Ein Lieferanteninventar mit Kritikalität, Verantwortlichem und Vertrag.
- Nachweise je Lieferant mit Gültigkeitsdatum und mehreren Wegen, sie zu erhalten.
- Verfolgung bekannter Schwachstellen und Datenpannen jedes Lieferanten.
- Verfolgung der Klauseln zur Vorfallmeldung an Sie.
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23 und 34, auf EUR-Lex (öffnet sich in einem neuen Tab); Durchführungsverordnung (EU) 2024/2690, technische und methodische Anforderungen, auf EUR-Lex (öffnet sich in einem neuen Tab)
Artikel 23: Meldung von Vorfällen
Bei einem erheblichen Sicherheitsvorfall setzt Artikel 23 Absatz 4 drei Meilensteine. Eine Frühwarnung unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntnis. Eine Vorfallmeldung innerhalb von 72 Stunden. Einen Abschlussbericht spätestens einen Monat nach der Meldung. Verlangt die Behörde es, zusätzlich einen Zwischenbericht.
Für die Einrichtungstypen, die sie erfasst, konkretisiert die Durchführungsverordnung (EU) 2024/2690, was als erheblicher Sicherheitsvorfall gilt.
Was Software leisten kann
- Den Vorfall einmal erfassen und die Fristen ab dem Zeitpunkt der Kenntnis zählen.
- Eine Einstufung mit ihren Kriterien vorschlagen und Entwürfe für jede Meldung vorbereiten.
- Festhalten, wer was und wann entschieden hat.
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23 und 34, auf EUR-Lex (öffnet sich in einem neuen Tab); Durchführungsverordnung (EU) 2024/2690, technische und methodische Anforderungen, auf EUR-Lex (öffnet sich in einem neuen Tab)
Artikel 20: Verantwortung der Leitung
Artikel 20 verpflichtet das Leitungsorgan, die Risikomaßnahmen zu billigen, ihre Umsetzung zu überwachen und für Verstöße einzustehen sowie an Schulungen teilzunehmen. Keine Software übernimmt diese Verantwortung. Sie kann der Leitung klare Daten und ein Protokoll dessen liefern, was sie gebilligt hat.
So bewerten Sie ein Werkzeug
Es gibt Werkzeuge verschiedener Typen: GRC-Suiten, Plattformen für Vorfallmanagement, Plattformen für Drittparteirisiken und integrierte Plattformen. HodeiShield gehört zu den integrierten und ist eine Option unter mehreren. Laut seiner Dokumentation stuft es einen Vorfall nach NIS2, DORA und DSGVO mit den Kriterien ein, zeigt Fristen-Countdowns auf dem Bildschirm und bietet einen herunterladbaren Entwurf je Behörde; die Einreichung übernehmen Sie. Es hat ein Multi-Framework-Crosswalk, in dem sich eine Antwort auf die gleichwertigen Kontrollen anderer Rahmenwerke überträgt, und ein Portal, in dem der Lieferant über einen Einmal-Link ohne Konto antwortet. NIS2 misst es als Abdeckung gegenüber seinen Kontrollen, nicht als Zertifizierung.
Für jedes Werkzeug lohnen sich diese Tests.
Was Sie in einer Demo prüfen sollten
- Dass jede Maßnahme nach Artikel 21 Verantwortlichen, Status und Nachweis mit Gültigkeitsdatum hat.
- Dass das Lieferantenmodul Inventar, Nachweis und Verfolgung abdeckt, nicht nur einen Fragebogen.
- Dass die Fristen von 24 Stunden, 72 Stunden und einem Monat selbstständig zählen und der Entwurf bearbeitbar ist.
- Dass die Einreichung bei der Behörde in Ihrer Hand bleibt und das Werkzeug das klar sagt.
- Dass es ein Änderungsprotokoll und den Export Ihrer Daten gibt.
- Dass es erklärt, wo Daten gehostet werden und was es nicht abdeckt.
Häufige Fragen
- Kann Software mich NIS2-konform machen?
- Nicht allein. Sie kann Maßnahmen, Nachweise und Fristen ordnen. Billigung durch die Leitung, Risikoanalyse und Umsetzung der Kontrollen liegen bei der Einrichtung.
- Welche Fristen setzt NIS2 für die Meldung eines Vorfalls?
- Eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung (Artikel 23 Absatz 4). Verlangt die Behörde es, auch einen Zwischenbericht.
- Betrifft mich NIS2, wenn ich weder wesentliche noch wichtige Einrichtung bin?
- Nicht direkt, aber wenn Sie eine solche Einrichtung beliefern, kann sie es vertraglich von Ihnen verlangen, um ihre Pflicht zur Lieferkettensicherheit nach Artikel 21 zu erfüllen.
- Genügt ein ISO/IEC-27001-Zertifikat?
- Die Richtlinie sagt nicht, dass ein Zertifikat allein die Einhaltung von Artikel 21 belegt. Es dient als Nachweis für einzelne Maßnahmen, zusammen mit dem Rest.
- Wer reicht die Meldung bei der Behörde ein?
- Die Einrichtung. Ein Werkzeug kann den Entwurf vorbereiten und die Fristen zählen, aber die Einreichung über den von Ihrer nationalen Behörde festgelegten Kanal liegt bei Ihnen.
Verwandter Leitfaden
Wie bewerte ich TPRM-Plattformen für meine Branche?Um Plattformen für Drittparteirisiken nach DORA, NIS2, ENS, HIPAA, CMMC 2.0 und SAMA oder ECC zu vergleichen, lesen Sie den Leitfaden zur Bewertung nach Branche.
Quellen
Sehen Sie, wie es mit Ihren Daten aussähe
In einer Demo gehen wir mit Beispieldaten durch Vorfalleinstufung, Fristen und Lieferantenverfolgung und sagen Ihnen, was nicht abgedeckt ist. Es antwortet Ihnen eine Person von Hodeitek.