Viel, sehr viel (zu viel) ist über das NIS2UmsuCG gesprochen worden – statt es zu verabschieden und umzusetzen (der Name wäre Programm gewesen). Weder die alte Bundesregierung noch die damalige Opposition haben sich Ende 2024 mit Ruhm beklecket, wenn es darum ging, das Richtige zu tun – wo die Einen zu lange getrödelt haben, da haben die anderen mit Taktieren der Sache geschadet.
Wenn man den Gesetzesentwurf zum NIS-2 Umsetzungsgesetz nach konkreten Anforderungen durchsucht, muss man etwas Geduld mitbringen.
Natürlich werden zunächst die Begrifflichkeiten erläutert und festgelegt, an wen sich die Regulierung genau wendet.
Wenn man aber bei §30 angekommen ist, wird es unvermittelt ganz konkret. Dort steht „plötzlich“ folgendes.
Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einemgefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendesumfassen:
- Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
- Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern,
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit,
- grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit,
- Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung,
- Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen,
- Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Der Dreh- und Angelpunkt steht ganz oben und während etliche Folgepunkte abstrakt bleiben, wird es in Satz 10 wiederum sehr konkret.
Wichtig: sorgfältig lesen!
Wichtig zu verstehen ist, dass es mit den 10 Punkten nicht getan ist. Beim Lesen merkt man sofort: es sind im Grunde mehr Anforderungen.
Man muss die Liste in etwa so verstehen:
- Konzepte in Bezug auf
- die Risikoanalyse
- Sicherheit für Informationssysteme,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs, wie
- Backup-Management und
- Wiederherstellung nach einem Notfall, und
- Krisenmanagement,
- Sicherheit der Lieferkette einschließlich
sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern,(Kauderwelsch! stattdessen:)- sicherheitsbezogener Aspekte der Beziehung zwischen Organisation(en) und ihren direkten Lieferanten
- Sicherheitsmaßnahmen bei
- Erwerb,
- Entwicklung und
- Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich
- Management und Offenlegung von Schwachstellen,
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit,
- grundlegende Verfahren im Bereich der
- Cyberhygiene und
- Schulungen im Bereich der Cybersicherheit,
- Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung,
- Sicherheit des Personals,
- Konzepte für
- die Zugriffskontrolle und
- Management von Anlagen,
- Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung,
- gesicherte
- Sprach-, Video- und Textkommunikation
- (Kauderwelsch! Warum sagt ihr nicht einfach: „Kommunikationssicherheit“?) sowie
- gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Natürlich muss man diese Vorgaben auch zu interpretieren wissen. Multi-Faktor-Authentifizierung überall? Auch für die App, die das Kantinen-Menü anzeigt? Oder an Bürotüren? Das Zauberwort heißt: „risiko-basiert“!
Ja, und was sind eigentlich „Konzepte“? Es sind zumindest schritfliche Planungen, die ein gewisses Maß an Reife und Verbindlichkeit besitzen – aber eventuell auch schon gültige organisatorische Maßnahmen; also Richtlinien.
Fazit
Zusammenfassend kann man sagen, dass die geforderten Maßnahmen in der Wirtschaft längst zum etablierten Standard gehören, doch wer sie noch nicht hat sei gewarnt: mit ein wenig „Sicherheits-Wischiwaschi“ ist es nicht (mehr) getan.
Der Fokus geht von rein technischen Maßnahmen hin zum technisch-organisatorischen Gesamtkonzept, um die Informationssicherheit in allen Kernbereichen der Organisation zu verankern.
§30 (und §31) gelten übrigens nicht für die Telekommunikations- und Energienetzbetrieber sowie die Gesellschaft für Telematik und Betreiber von Telematikinfrastruktur.
Der Gesetzesentwurf zum NIS2umsuCG ist hier verfügbar:
https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/Downloads/kabinettsfassung/CI1/nis2-regierungsentwurf.pdf?__blob=publicationFile&v=2
Die originale NIS-2 Richtlinie ist hier verfügbar:
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555