ANNEX zur NIS2-Umsetzungsverordnung der EU
Inhalte der NIS2UmsVo
Annex zur NIS2-Umsetzungsverordnung: Ihr Leitfaden zur Cybersicherheit
Die NIS2-Umsetzungsverordnung (UmsVO) setzt neue Maßstäbe für Cybersicherheit in der Europäischen Union. Ein zentraler Bestandteil dieser Verordnung ist der Annex, der technische und methodische Anforderungen definiert, um Unternehmen und Organisationen gegen wachsende Cyberbedrohungen zu schützen. Dieser Annex bildet die Grundlage für die Umsetzung der NIS2-Richtlinie (EU) 2022/2555 und ist essenziell für alle Akteure, die kritische Infrastrukturen betreiben oder wesentliche Dienste anbieten.
Was regelt der Annex der NIS2-Umsetzungsverordnung?
Der Annex konkretisiert die Anforderungen der NIS2-Richtlinie und legt fest, wie Unternehmen die Risikomanagementmaßnahmen nach Art. 21 NIS2-Richtlinie bzw. §30 BSIG umzusetzen haben. – Es ist keine „Meinung selbsternannter Experten“, kein rein nationaler Standard wie (BSI-GS oder VDS), sondern eine offizielle EU-Norm!
Kernpunkte des Annex – deutlich umfangreicher und detaillierter als das BSIG!
- Informationssicherheitsmanagement: das Management muss für NIS2 Ziele, Rollen und Verantwortlichkeiten festlegen
- Risikomanagement: Unternehmen sind nach der NIS2 verpflichtet, Risiken systematisch zu identifizieren, zu bewerten und Maßnahmen zu deren Minimierung umzusetzen. Dies schließt die Dokumentation und regelmäßige unabhängige Überprüfung von Sicherheitsmaßnahmen ein.
- Vorfallmanagement: Die NIS2 fordert nicht nur Incident-Management-Prozesse, sondern auch Logging- und Überwachungskonzepte, Meldeprozesse, Bewertung und Klassifizierung von Ereignissen und Lessons-Learned-Prozesse
- Business Continuity-Management: dies enthält Maßnahmen zur Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellungsmanagement nach einem Notfall und Krisenmanagement
- Lieferkettensicherheit: Besondere Anforderungen gelten für die Zusammenarbeit mit Lieferanten und Dienstleistern. Unternehmen müssen sicherstellen, dass ihre Partner ebenfalls hohe Sicherheitsstandards einhalten.
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen / Management und Offenlegung von Schwachstellen
- Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
- Verfahren zur Cyberhygiene / Schulungen: Schulungen und Sensibilisierungsprogramme sind ein Muss. Alle Mitarbeitenden, insbesondere Führungskräfte und technische Teams, müssen in Bezug auf Cybersicherheit geschult werden.
- Kryptographie
- Anforderungen an die Sicherheit des Personals
- Konzepte für die Zugriffskontrolle / Access-Management
- Konzepte für das Management von Informationssicherheits-Assets
- Konzepte für die Sicherheit des physischen Umfeldes
Wie setze ich das um?
Die EU-Cybersicherheitsbehörde ENISA hat eine IMPLEMENTING GUIDANCE herausgegeben, die sich am Annex dieser NIS2UmsVO orientiert. Wir haben die Guidance unter den jeweiligen Kapiteln bereitgestellt, so dass Sie sich „nur noch“ durch dieses Dokument klicken müssen.
Weitere Hilfestellung finden Sie in unseren Coaching-Paketen.