Die 10 NIS2-Pflichtmaßnahmen

Die Grundlage aller NIS2-Compliance: Sie müssen systematisch ermitteln, welche Risiken für Ihre IT-Systeme und Daten bestehen, diese bewerten und in einem dokumentierten Risikoregister festhalten. Zusätzlich brauchen Sie eine schriftliche Informationssicherheits-Leitlinie.

Sie müssen in der Lage sein, Sicherheitsvorfälle zu erkennen, zu melden und zu beheben. Das BSI schreibt ein dreistufiges Meldeverfahren vor: Frühwarnung innerhalb von 24 Stunden, Erstmeldung innerhalb von 72 Stunden, Abschlussmeldung nach spätestens einem Monat.

Ihr Unternehmen muss in der Lage sein, nach einem Sicherheitsvorfall den Betrieb aufrechtzuerhalten oder schnell wieder aufzunehmen. Dazu gehören Backup-Konzepte, Notfallpläne und regelmäßige Tests der Wiederherstellungsfähigkeit.

Sie sind verantwortlich für die Cybersicherheitspraktiken Ihrer direkten Lieferanten und Dienstleister. Das bedeutet: Lieferanten müssen bewertet, Sicherheitsanforderungen vertraglich vereinbart und kritische Lieferantenbeziehungen regelmäßig überprüft werden.

Sicherheitsanforderungen müssen bereits beim Kauf von Hard- und Software sowie bei der eigenen Softwareentwicklung berücksichtigt werden. Außerdem muss ein strukturiertes Patch-Management für bekannte Schwachstellen bestehen.

Es reicht nicht aus, Maßnahmen einzuführen — Sie müssen auch regelmäßig prüfen, ob sie wirksam sind. bwE sind verpflichtet, externe Zertifizierungen oder Audits durchzuführen und die Ergebnisse dem BSI zu melden.

Schulungen sind eine der sichtbarsten Pflichten — und direkt mit der GF-Haftung verknüpft. §38 BSIG schreibt vor, dass die Geschäftsleitung persönlich an Cybersecurity-Schulungen teilnimmt. Mitarbeiterschulungen sind für alle Beschäftigten verpflichtend.

Sensible Daten müssen verschlüsselt gespeichert und übertragen werden. Das BSI erwartet ein Konzept für den Einsatz kryptografischer Maßnahmen — inklusive Schlüsselmanagement und den Grundsatz „Verschlüsselung by default" für kritische Daten.

Der Grundsatz des „Least Privilege" muss umgesetzt werden: Jeder Mitarbeiter bekommt nur die Zugriffsrechte, die er für seine Tätigkeit benötigt. Zusätzlich müssen alle IT-Assets inventarisiert und Hintergrundüberprüfungen für kritische Stellen erwogen werden.

MFA ist für alle privilegierten Zugriffe (Admin-Accounts, Remote-Zugriff, kritische Systeme) verpflichtend. Zusätzlich müssen interne und externe Kommunikationsmittel (E-Mail, Chat, Voice) angemessen abgesichert werden.