Was jeder aus NIS2 mitnehmen kann

Die 2022 verabschiedete NIS2-Direktive trifft nicht auf jedes Unternehmen zu. Trotzdem kann es sich lohnen, sich an ihr zu orientieren. Artikel 21 erfordert die Ergreifung geeigneter und verhältnismäßiger technischer, operativer und organisatorischer Maßnahmen und benennt dabei auch konkrete Maßnahmen.

Art. 21 Abs. 2 lit. a stellt dabei eine dieser Maßnahmen: Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme.
Dahinter steckt ein Prozess, der damit beginnt, die eigene Situation in Bezug auf Cybersicherheit zu erfassen. Dabei stellen sich folgende Fragen:

  • Welchen Risiken sind wir ausgesetzt und wie hoch sind sie?
  • Welche Konsequenzen würden entsprechende Vorfälle nach sich ziehen?
  • Wie schützen wir uns gegen welche Risiken?
  • Wo ist der Schutz ausreichend, um das Risiko auf ein akzeptables Level zu reduzieren?
  • Wo sind noch Lücken, die ein inakzeptabel hohes Risiko zulassen?
Daraus sollte sich eine priorisierte Übersicht von Risiken und Lücken ergeben, woraus sich die nächste Frage ableitet: "Wie behandeln wir diese Lücken, um ihre Risiken zu minimieren?"
Die Antworten auf diese Fragen sollten dabei dokumentiert werden. Für Unternehmen, auf die NIS2 zutrifft, ist das Pflicht, ansonsten ist es sinnvolle Praxis, denn Dokumentation sichert Nachvollziehbarkeit und Kontinuität auch wenn der ursprünglich Verantwortliche nicht verfügbar ist.

Weitere der in Art. 21 Abs. 2 genannten Maßnahmen umfassen dabei zum einen Mittel, um Vorfällen vorzubeugen, wie:

  • Sicherheit der Lieferkette (lit. d)
  • Sicherheit bei Beschaffung, Entwicklung und Wartung (lit. e)
  • Grundlegende Verfahren im Bereich der Cyberhygiene sowie Schulungen (lit. g)
  • Einsatz von Kryptographie (lit. h)
  • Konzepte für die Zugriffskontrolle (lit. i)
  • Multi-Faktor- und kontinuierliche Authentifizierung (lit. j)
sowie Maßnahmen zur Minimierung von Schaden durch auftretende Vorfälle, wie:
  • Bewältigung von Sicherheitsvorfällen (lit. b)
  • Aufrechterhaltung des Betriebs inkl. Backups und Krisenmanagement (lit. c)
  • Gesicherte Notfallkommunikationssysteme (lit. j)
Dabei ist anzumerken, dass diese Maßnahmen nicht zwangsläufig nur der Vorfallprävention oder der Vorfallbehandlung dienen. Z.B. sollte es bei Schulungen nicht nur um den sicheren Umgang mit Informationssystemen gehen, sondern auch um das korrekte Verhalten, wenn ein Vorfall vermutet oder erkannt wird.

Auch bei sauberer Implementierung geeigneter und verhältnismäßiger Maßnahmen zur Vorfallprävention bleibt Vorfallbehandlung wichtig, denn in der Cybersicherheit gilt das von Prof. James T. Reason 1990 in seinem Buch "Human Error" vorgestellte "Swiss cheese model".
Dieses Modell ist eine Analogie der Risikominimierung: Eine Scheibe Schweizer Käse hat Löcher, doch wenn man mehrere Scheiben stapelt, werden Löcher überdeckt. Je mehr Scheiben man stapelt, also je mehr Schichten an Sicherheit man implementiert, desto weniger und kleinere Löcher bleiben übrig. Dennoch kann es immer passieren, dass sich Löcher kontinuierlich durch alle Schichten ziehen. Ein Restrisiko bleibt also immer; ein Angriff oder ein anders gearteter Vorfall kann durch verbleibende Lücken hindurchdringen. Jede Schicht verringert Risiko, keine Schicht und keine Kombination an Schichten bietet absolute Sicherheit, insbesondere in der sich stets wandelnden Welt der Cybersicherheit.
Dennoch kann jede Schicht zum einen dazu beitragen, dass ein Vorfall weniger schwere Konsequenzen nach sich zieht. Weiterhin kann saubere Vorfallbehandlung dazu führen, dass durch Vorfälle verursachte Schäden minimiert oder ganz abgefangen werden.

Nichts kann perfekte Sicherheit garantieren, auch die Nutzung von Cybersicherheitsdirektiven nicht. Dennoch können sie auch Unternehmen, die nicht zur Einhaltung verpflichtet sind, eine wertvolle Orientierungshilfe geben.
Denn beim Befolgen von Direktiven wie NIS2 geht es nicht darum, ein Bußgeld zu vermeiden, sondern sich gegen Vorfälle zu wappnen, die weit schwerere Konsequenzen als ein Bußgeld nach sich ziehen können.