NIS-2-Betroffenheit und Handlungsbedarf prüfen.

Führen Sie eine systematische Inventarisierung aller kritischen Geschäftsprozesse und IT-Assets durch, um darauf basierend eine risikoorientierte Schutzbedarfsfeststellung gemäß ISO 27001 oder BSI-Grundschutz zu etablieren. Die resultierenden Sicherheitskonzepte müssen technische und organisatorische Maßnahmen definieren, die regelmäßig auf ihre Wirksamkeit und Übereinstimmung mit der aktuellen Bedrohungslage geprüft werden.

Ein Risikomanagementkonzept beschreibt die Gesamtheit der organisatorischen, methodischen und prozessualen Vorgaben zur systematischen Identifikation, Analyse, Bewertung, Behandlung und Überwachung von Risiken im Bereich der Sicherheit von Netz- und Informationssystemen. Zudem müssen Verantwortlichkeiten, Weisungsbefugnisse und Rollen klar zugewiesen werden, um interne sowie externe Kommunikationswege zu verantworten.

Die Überwachung und Einhaltung von Konzepten in Bezug auf die Risikoanalyse umfasst die regelmäßige Prüfung der Einhaltung von Risikomanagementkonzepten, einschlägigen Vorschriften und relevanten Normen durch die betroffenen Einrichtungen und verantwortlichen Personen. Dabei müssen Rollen, Verantwortlichkeiten und Befugnisse bei wesentlichen Änderungen der Betriebsabläufe sowie bei erheblichen Sicherheitsvorfällen überprüft und aktualisiert werden.

Die unabhängige Überprüfung im Kontext von Konzepten in Bezug auf die Risikoanalyse umfasst interne und/oder externe Prüfungen bspw. durch qualifizierte Auditoren. Ziel ist es, die Wirksamkeit der Risikoanalyse sowie des Risikomanagements regelmäßig zu bewerten und optimieren. Die Ergebnisse dieser Prüfungen werden den Leitungsorganen gemeldet, um Transparenz zu schaffen und gegebenenfalls notwendige Anpassungen vorzunehmen.

Implementieren Sie einen Incident Response Plan, der klare Meldeketten, Verantwortlichkeiten und Eskalationspfade für die Erkennung, Analyse und Eindämmung von IT-Sicherheitsvorfällen festlegt. Stellen Sie sicher, dass das Team durch regelmäßige Simulationen geschult ist und alle Vorfälle revisionssicher protokolliert werden, um die gesetzlichen Meldepflichten gegenüber dem BSI einzuhalten.

Das Konzept regelt die Dokumentation und Meldung von Vorfällen, ist mit bestehenden Notfallplänen abgestimmt, enthält ein Kategorisierungssystem und wird regelmäßig getestet sowie aktualisiert. Rollen, Verantwortlichkeiten und Verfahren zur Erkennung, Analyse, Eindämmung, Wiederherstellung, Dokumentation und Meldung von Sicherheitsvorfällen sollten klar festgelegt und dokumentiert werden.

Die Überwachung und Protokollierung von Sicherheitsvorfällen umfasst Verfahren und Instrumente zur kontinuierlichen oder periodischen Überwachung von Aktivitäten in Netz- und Informationssystemen, um potenzielle Sicherheitsvorfälle frühzeitig zu erkennen. Hierzu gehört die systematische Protokollierung relevanter Ereignisse, deren Dokumentation sowie die regelmäßige Auswertung der Protokolle auf Auffälligkeiten und Trends. Zudem werden Alarmschwellen definiert, um schnelle Reaktionen zu ermöglichen und gleichzeitig die Anzahl falscher Alarme zu minimieren.

Die Bewertung und Klassifizierung von Ereignissen umfasst die Analyse verdächtiger Ereignisse anhand festgelegter Kriterien, um festzustellen, ob es sich beispielsweise um vorsätzliche Sicherheitsvorfälle handelt und wie deren Schwere einzustufen ist. Ereignisse werden bei Vorliegen neuer Informationen erneut bewertet und klassifiziert. Zusätzlich erfolgen vierteljährliche Überprüfungen, um wiederkehrende oder systematische Sicherheitsvorfälle zu identifizieren.

Die Reaktion auf Sicherheitsvorfälle umfasst dokumentierte Verfahren zur zeitnahen Eindämmung, Beseitigung und Wiederherstellung nach einem Sicherheitsvorfall. Hierunter fallen auch NIS-2 konforme Melde- und Kommunikationspläne mit Computer Security Incident Response Teams (CSIRTs) sowie zuständigen Behörden wie dem BSI. Die durchgeführten Reaktionstätigkeiten werden protokolliert, und die zugrunde liegenden Verfahren werden in geplanten Abständen getestet, um ihre Wirksamkeit sicherzustellen.

Die Überprüfung nach Sicherheitsvorfällen umfasst nachträgliche Analysen, die im Anschluss an die Wiederherstellung durchgeführt werden, um die Ursachen des Sicherheitsvorfalls zu ermitteln und daraus geeignete Lehren zu ziehen. Die betreffenden Einrichtungen stellen sicher, dass die Überprüfungen nach Sicherheitsvorfällen zur Verbesserung Ihres Konzepts für die Netz- und Informationssicherheit, zu Risikobehandlungsmaßnahmen und Verfahren zur Bewältigung und Erkennung von Sicherheitsvorfällen sowie zur Reaktion darauf beitragen.

Erstellen Sie Business Continuity Pläne, die konkrete Wiederanlauf-Szenarien für zeitkritische Geschäftsprozesse nach einem Totalausfall der IT definieren. Diese Pläne müssen durch Notfallübungen validiert werden und sowohl redundante Backup-Systeme als auch alternative Kommunikationswege für den Krisenstab beinhalten.

Die Festlegung strukturierter Verfahren zur Sicherstellung der Betriebswiederherstellung und -kontinuität bei Störungen oder Sicherheitsvorfällen muss gewährleistet werden. Hierzu zählen insbesondere die Einrichtung eines Krisenteams sowie die eindeutige Definition von Rollen, Verantwortlichkeiten und Kommunikationswegen. Zentrale Bestandteile sind Notfall- und Wiederanlaufpläne für kritische Geschäftsprozesse und IT-Systeme.

Bewerten Sie die Cybersicherheit Ihrer direkten Zulieferer und Dienstleister durch strukturierte Risikoassessments und verankern Sie spezifische Sicherheitsanforderungen sowie Audit-Rechte in den Lieferverträgen. Überwachen Sie kontinuierlich die Einhaltung dieser Standards, insbesondere bei Dienstleistern mit privilegriertem Zugriff auf Ihre IT-Infrastruktur.

Maßnahmen für die Sicherheit in der Lieferkette umfassen ein strukturiertes Konzept zur Regelung und ein Verzeichnis zur Dokumentation der Beziehungen zu Lieferanten und weiteren Diensteanbietern. Das Verzeichnis sollte Kontaktstellen für jeden direkten Anbieter sowie eine Liste der jeweiligen IKT-Produkte, Dienste und Prozesse beinhalten und regelmäßig bzw. anlassbezogen aktualisiert werden.

Integrieren Sie Sicherheitsvorgaben direkt in den Beschaffungsprozess und den gesamten Software-Lebenszyklus (Secure SDLC), um Schwachstellen bereits in der Entwurfsphase zu vermeiden ("Security by Design"). Für die Wartung und Patch-Einspielung müssen strikte Änderungsmanagement-Prozesse und Testumgebungen genutzt werden, um die Integrität der Produktionssysteme nicht zu gefährden.

Für den gesamten Lebenszyklus sicherheitskritischer Systeme – vom Erwerb über die Entwicklung bis zur Wartung – müssen durchgängige und prüfbare Sicherheitsanforderungen nach dem Stand der Technik umgesetzt werden. Bereits beim Einkauf sind verbindliche Standards sowie langfristiger Support vertraglich abzusichern, während in der Entwicklung ein durchgehendes Schwachstellenmanagement und eine lückenlose Dokumentation sicherzustellen sind. Im laufenden Betrieb muss die Sicherheit durch kontinuierliche Scans, risikoorientierte Bewertungen und zeitnahe Updates über die gesamte Produktlebensdauer gewährleistet werden.

Im gesamten Lebenszyklus müssen Änderungen und Konfigurationen systematisch autorisiert, versioniert und nachvollziehbar dokumentiert werden. Dies stellt sicher, dass sowohl Basiskonfigurationen als auch laufende Updates oder Patches kontrolliert erfolgen, um die Integrität und Verfügbarkeit der Systeme dauerhaft zu gewährleisten. Ein risikoorientiertes Änderungsmanagement verhindert dabei unautorisierte Modifikationen und schafft eine belastbare Grundlage für regelmäßige Sicherheitsüberprüfungen.

Im gesamten Lebenszyklus müssen Anbieter zur transparenten Offenlegung ihres Schwachstellenmanagements sowie zur Einhaltung koordinierter Meldeprozesse und garantierter Reaktionszeiten verpflichtet werden. Dies erfordert eine durchgehende Integration von automatisierten Scans, risikoorientierten Bewertungen und zeitnahen Behebungen – von der Entwicklung über die Beschaffung bis zum laufenden Betrieb – um die Systemsicherheit dauerhaft zu gewährleisten.

Etablieren Sie einen kontinuierlichen Prüfprozess durch interne Audits und technisches Monitoring (z. B. Schwachstellenscans), um die Effektivität Ihrer Sicherheitsmaßnahmen messbar zu machen. Nutzen Sie definierte Kennzahlen (KPIs), um Abweichungen frühzeitig zu erkennen und das Sicherheitsniveau im Sinne eines PDCA-Zyklus stetig zu verbessern.

Das Bewertungsverfahren erfordert ein strukturiertes Konzept zur Überwachung und Messung von Cybersicherheitsmaßnahmen, das Erkenntnisse aus Risikobewertungen und Sicherheitsvorfällen einbezieht. Durch die Festlegung klarer Methoden, Zuständigkeiten und Zeitpläne wird die Wirksamkeit der Maßnahmen geprüft und die kontinuierliche Weiterentwicklung des ISMS sichergestellt.

Implementieren Sie ein verpflichtendes Security-Awareness-Programm, das regelmäßige Trainings zu aktuellen Bedrohungen wie Phishing und Social Engineering für alle Hierarchieebenen umfasst. Ergänzen Sie theoretische Schulungen durch praxisnahe Übungen und stellen Sie sicher, dass neues Personal bereits im Onboarding-Prozess zu Sicherheitsrichtlinien unterwiesen wird.

Das BSI empfiehlt für die Cyberhygiene die Nutzung des Bausteins ORP.3 (Sensibilisierung und Schulung), um Schulungsbedarfe systematisch zu ermitteln. Die Wirksamkeitsprüfung ist unter NIS-2 entscheidend, um die Angemessenheit der Maßnahmen gegenüber Aufsichtsbehörden zu belegen.

Erstellen Sie eine Richtlinie für die Verschlüsselung von Daten im Ruhezustand (at rest) und bei der Übertragung (in transit), die sich strikt an aktuellen Standards orientiert. Stellen Sie durch ein zentrales Schlüsselmanagement sicher, dass kryptographische Schlüssel sicher erzeugt, verwaltet und bei Bedarf (z. B. Kompromittierung) zügig ausgetauscht werden können.

Zur Einhaltung des Stands der Technik empfiehlt sich die Orientierung an der Richtlinie BSI TR 02102, die konkrete Vorgaben für Algorithmen und Schlüssellängen liefert. Besonders wichtig ist die Krypto-Agilität: Systeme sollten so modular aufgebaut sein, dass kryptografische Verfahren bei Bekanntwerden neuer Schwachstellen (z. B. durch Fortschritte im Quantencomputing) ohne umfangreiche Code-Anpassungen zügig gegen sicherere Alternativen ausgetauscht werden können.

Koppeln Sie die Vergabe von Zugriffsrechten an einen formalisierten Identitäts-Lebenszyklus, der sicherstellt, dass Berechtigungen bei Rollenwechseln oder Austritt sofort entzogen werden. Die Verwaltung von Systemen sollte über dedizierte Admin-Konten erfolgen, wobei kritische Änderungen nach dem Vier-Augen-Prinzip kontrolliert werden sollten.

Die Überprüfung der Vertrauenswürdigkeit (z. B. Führungszeugnisse) sollte risikobasiert erfolgen und datenschutzkonform dokumentiert werden. Nutzen Sie eine RACI-Matrix, um Verantwortlichkeiten (Responsible, Accountable, Consulted, Informed) für sicherheitskritische Rollen eindeutig und prüfbar zuzuweisen.

Nutzen Sie für bspw. die technische Umsetzung das IAM-Modell (Identity and Access Management), um den gesamten Lebenszyklus von Identitäten (Joiner-Mover-Leaver) zu automatisieren. Besondere Aufmerksamkeit gilt dem Privileged Access Management (PAM) , um administrative Sitzungen separat zu überwachen und das Risiko durch kompromittierte Admin-Accounts zu minimieren.

Erzwingen Sie für alle Fernzugriffe und administrativen Konten eine Multifaktor-Authentifizierung (MFA), die auf phishing-resistenten Faktoren basiert. Halten Sie zudem redundante, vom regulären IT-Netz unabhängige Kommunikationssysteme bereit, um die Koordination des Krisenstabs auch bei einem vollständigen Netzwerkausfall zu gewährleisten.

Regelmäßige Rezertifizierungen (mindestens jährlich) helfen dabei, "verwaiste" Konten oder unnötige Berechtigungen zu identifizieren. Achten Sie darauf, dass auch technische Accounts (Service-User) in das Identitätsmanagement einbezogen und deren Verantwortlichkeiten klar dokumentiert werden.

Orientieren Sie sich bei der Ausgestaltung an den Vorgaben des BSI-Grundschutzes (Baustein ORP.4) , um den Stand der Technik für Passwortrichtlinien und alternative Verfahren zu wahren. Moderne passwortlose Methoden (z. B. FIDO2) reduzieren das Risiko durch gestohlene Zugangsdaten im Vergleich zu klassischen Passwörtern erheblich.

Kontinuierliche Authentifizierungsmechanismen können zudem das Risiko minimieren, indem sie das Nutzerverhalten während der gesamten Sitzung im Hintergrund auf Anomalien prüfen.

Legen Sie fest, wer einen erheblichen Sicherheitsvorfall bewertet, intern eskaliert und fristgerecht an die zuständige Stelle meldet. Dokumentieren und erproben Sie den Ablauf.

Bei der Erstmeldung gilt das Prinzip „Schnelligkeit vor Vollständigkeit“; Unsicherheiten können jederzeit durch Folgemeldungen korrigiert werden, da eine Stornierung bereits abgegebener Meldungen nicht möglich ist. Nutzen Sie das Melde- und Informationsportal (MIP) des BSI und stellen Sie sicher, dass Ihre Registrierungsdaten sowie die IP-Adressbereiche aktuell hinterlegt sind.

Die Unterrichtung kann effizient über die eigene Website erfolgen, sofern die Interessen der Empfänger dadurch gewahrt bleiben. In kritischen Sektoren (z. B. Finanzwesen oder IKT-Verwaltung) ist zudem eine Abwägung zwischen den Sicherheitsinteressen der Einrichtung und dem Informationsbedürfnis der Kunden zwingend erforderlich.

Prüfen Sie zunächst Ihre Registrierungspflichten und Zuständigkeiten. Hinterlegen Sie die erforderlichen Unternehmens- und Kontaktdaten beim BSI und legen Sie fest, wer Änderungen fristgerecht pflegt.

Beachten Sie, dass Stammdatenänderungen innerhalb von zwei Wochen über das BSI-Portal aktualisiert werden müssen, um Sanktionen zu vermeiden. Für Betreiber kritischer Anlagen sowie Anbieter digitaler Dienste gelten ergänzende sektorspezifische Anforderungen, die bei der Registrierung mitberücksichtigt werden müssen.