NIS2-Vorbereitung, DSGVO und Cybersecurity-Compliance

NIS2 ist eine europäische Richtlinie, die die Anforderungen an die Cyber-Widerstandsfähigkeit für eine breite Gruppe von Organisationen in wesentlichen und wichtigen Sektoren verschärft. Sie verpflichtet unter anderem zu risikobasierten Sicherheitsmaßnahmen, Vorfallmeldung, Kontinuitätsmaßnahmen, Sicherung der Lieferkette und Einbindung der Leitungsebene. NIS2 ersetzt und erweitert die frühere NIS-Richtlinie.

Nicht automatisch, aber ISO 27001 deckt einen großen Teil der NIS2-Sorgfaltspflicht ab, da sich beide um risikobasierte Informationssicherheit drehen. Zusätzlich erfordert NIS2 besondere Aufmerksamkeit für die Meldepflicht bei Vorfällen, die Verantwortung der Leitungsebene und die Sicherung der Lieferkette. Ein ISMS ist daher eine starke Basis, aber keine vollständige Garantie.

NIS2 gilt für mittlere und große Organisationen in ausgewiesenen wesentlichen und wichtigen Sektoren, etwa Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Trinkwasser und öffentliche Verwaltung, sowie für deren wichtige Lieferanten. Der genaue Geltungsbereich hängt von Sektor und Größe ab; lassen Sie sich beraten, ob Ihre Organisation darunter fällt.

Die Sorgfaltspflicht verpflichtet Organisationen, angemessene technische und organisatorische Maßnahmen zu ergreifen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Denken Sie an Risikomanagement, Zugriffssicherung, Vorfallbehandlung, Back-ups, Kontinuität und Lieferantensicherheit. Die Maßnahmen müssen im Verhältnis zu den Risiken stehen.

Organisationen müssen erhebliche Vorfälle innerhalb kurzer Fristen an die Aufsichtsbehörde melden, in der Regel mit einer ersten Meldung innerhalb von 24 Stunden und einer ausführlicheren Berichterstattung danach. Ein im Voraus eingerichteter Meldeprozess mit klaren Rollen und Eskalation ist unerlässlich, um diese Fristen einhalten zu können.

NIS2 konzentriert sich auf die Cyber-Widerstandsfähigkeit und die Sicherung von Netz- und Informationssystemen; die DSGVO konzentriert sich auf den Schutz personenbezogener Daten. Sie überschneiden sich im Bereich der Sicherheitsmaßnahmen und der Vorfallmeldung. Ein integrierter Ansatz — zum Beispiel ISO 27001 mit ISO 27701 — hilft, beide effizient zu erfüllen.

Bei der Lieferantensicherheit geht es um die Beherrschung von Risiken, die über Zulieferer und Dienstleister hereinkommen. NIS2 verpflichtet Organisationen ausdrücklich, die Sicherheit in ihrer Lieferkette zu beurteilen. Das tun Sie unter anderem über Lieferantenbewertungen, vertragliche Anforderungen und Second-Party-Audits.

Beginnen Sie damit, zu bestimmen, ob NIS2 anwendbar ist, gefolgt von einer risikobasierten Bestandsaufnahme Ihrer aktuellen Sicherheit, Vorfallreaktion und Lieferantenverwaltung. Richten Sie den Meldeprozess ein, verankern Sie die Verantwortung bei der Leitungsebene und verbessern Sie gezielt die festgestellten Lücken. Ein ISO-27001-Ansatz bietet hierfür einen bewährten Rahmen.