ANNEX zur NIS2-Umsetzungsverordnung der EU
Inhalte der NIS2UmsVo
Annex zur NIS2-Umsetzungsverordnung: Ihr Leitfaden zur Cybersicherheit
Die NIS2-Umsetzungsverordnung (UmsVO) setzt neue Maßstäbe für Cybersicherheit in der Europäischen Union. Ein zentraler Bestandteil dieser Verordnung ist der Annex, der technische und methodische Anforderungen definiert, um Unternehmen und Organisationen gegen wachsende Cyberbedrohungen zu schützen. Dieser Annex bildet die Grundlage für die Umsetzung der NIS2-Richtlinie (EU) 2022/2555 und ist essenziell für alle Akteure, die kritische Infrastrukturen betreiben oder wesentliche Dienste anbieten.
Was regelt der Annex der NIS2-Umsetzungsverordnung?
Der Annex konkretisiert die Anforderungen der NIS2-Richtlinie und legt fest, wie Unternehmen die Risikomanagementmaßnahmen nach Art. 21 NIS2-Richtlinie bzw. §30 BSIG umzusetzen haben.
Es ist keine „Meinung selbsternannter Experten“, kein rein nationaler Standard wie (BSI-Grundschutz oder VDS), sondern eine offizielle EU-Norm, die in alle EU-Sprachen übersetzt ist und damit für international agierende Unternehmen überaus praktikabel!
Warum wir glauben, dass dies der „Goldstandard“ der Implementierung“ werden wird, haben wir in unserem Blog-Beitrag beschreiben. Ferner gibt es seitens der ENISA (dem EU-Äquivalent zum BSI) eine hervorragende, darauf abgestimmte Umsetzungs-Guidance!
Kernpunkte des Annex – deutlich umfangreicher und detaillierter als das BSIG!
- Informationssicherheitsmanagement: das Management muss für NIS2 Ziele, Rollen und Verantwortlichkeiten festlegen
- Risikomanagement: Unternehmen sind nach der NIS2 verpflichtet, Risiken systematisch zu identifizieren, zu bewerten und Maßnahmen zu deren Minimierung umzusetzen. Dies schließt die Dokumentation und regelmäßige unabhängige Überprüfung von Sicherheitsmaßnahmen ein.
- Vorfallmanagement: Die NIS2 fordert nicht nur Incident-Management-Prozesse, sondern auch Logging- und Überwachungskonzepte, Meldeprozesse, Bewertung und Klassifizierung von Ereignissen und Lessons-Learned-Prozesse
- Business Continuity-Management: dies enthält Maßnahmen zur Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellungsmanagement nach einem Notfall und Krisenmanagement
- Lieferkettensicherheit: Besondere Anforderungen gelten für die Zusammenarbeit mit Lieferanten und Dienstleistern. Unternehmen müssen sicherstellen, dass ihre Partner ebenfalls hohe Sicherheitsstandards einhalten.
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen / Management und Offenlegung von Schwachstellen
- Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
- Verfahren zur Cyberhygiene / Schulungen: Schulungen und Sensibilisierungsprogramme sind ein Muss. Alle Mitarbeitenden, insbesondere Führungskräfte und technische Teams, müssen in Bezug auf Cybersicherheit geschult werden.
- Kryptographie: Welche Verschlüsselungsverfahren sind wo und wie im Einsatz sowie zum Umgang mit Schlüsselmaterial
- Anforderungen an die Sicherheit des Personals: Umfasst Regelungen zum Peronalmanagement und Sicherstellung des Rollenbewusstseins, zum Schutz vor Innentätern z.B: durch Screening, On- und Offboarding, Disziplinarverfahren.
- Konzepte für die Zugriffskontrolle / Access-Management: Betrifft den physischen Zugang (auch von Besuchern) wie den systemtechnischen Zugang inkl. Identifizierung und Authentifizierung, inkl. einer Pflicht zur Einführung von MFA.
- Konzepte für das Management von Informationssicherheits-Assets: Beinhaltet Konzepte und Maßnahmen zur Klassifizierung, Behandlung und Inventarisierung von Anlagen und Werten (Informationssicherheits-Assets).
- Konzepte für die Sicherheit des physischen Umfeldes: Betrifft neben der klassischen Zutritts- und Perimetersicherheit auch Aspekte des phsischen Umfelds und Bedrohungen aus diesem sowie die Sicherheit von Versorgungsleitungen wie etwa Strom, Gas, Wasser.
Wie setze ich das um?
Die EU-Cybersicherheitsbehörde ENISA hat eine IMPLEMENTING GUIDANCE herausgegeben, die sich am Annex dieser NIS2UmsVO orientiert. Wir haben die Guidance unter den jeweiligen Kapiteln bereitgestellt, so dass Sie sich „nur noch“ durch dieses Dokument klicken müssen.
Weitere Hilfestellung finden Sie in unseren Umsetzungs-Paketen.
