NIS2-Pflichten im Unternehmen verankern

Möglichkeit, dass eine Bedrohung eine Schwachstelle ausnutzt und dadurch einen Schaden verursacht

Eintrittswahrscheinlichkeit und mögliche Auswirkungen bestimmen, wie dringend gehandelt werden muss und welche Schutzmaßnahmen angemessen sind

Vorgeschriebene Übermittlung von Informationen über einen erheblichen Sicherheitsvorfall an die zuständige Stelle

Der interne Ablauf muss Bewertung, Eskalation und fristgerechte Übermittlung auch bei noch unvollständiger Informationslage ermöglichen

Regelmäßiger Wissensaufbau, durch den Mitglieder der Geschäftsleitung Cyberrisiken und Risikomanagementmaßnahmen beurteilen können

Die Geschäftsleitung muss Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; dafür braucht sie ausreichende Kenntnisse zur Erkennung und Bewertung von Cyberrisiken

Verbindlicher Zeitraum, innerhalb dessen ein vorgeschriebener Schritt der Vorfallmeldung erfolgen muss

Die erste Meldestufe muss unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung erfolgen; nach spätestens 72 Stunden folgt die nächste Stufe

Netz von Anbietern und Dienstleistern, dessen Sicherheitsrisiken bei den Schutzmaßnahmen berücksichtigt werden müssen

Relevant sind insbesondere kritische Leistungen, Abhängigkeiten und Sicherheitsanforderungen in den Beziehungen zu unmittelbaren Anbietern und Diensteanbietern

Formale Erfassung einer betroffenen Einrichtung beim BSI über das dafür vorgesehene Portal

Dieser Schritt ist spätestens drei Monate nach Eintritt der Betroffenheit vorzunehmen; Änderungen der Angaben sind spätestens binnen zwei Wochen zu übermitteln

Dokumentierter Beleg für Bewertung, Entscheidung, Umsetzung oder Kontrolle einer Sicherheitsmaßnahme

Die Umsetzung der Risikomanagementmaßnahmen muss nachvollziehbar dokumentiert sein; Bewertung, Umsetzung und Wirksamkeitskontrolle sollten daraus erkennbar werden

Vorbereitetes Dokument mit Rollen und Maßnahmen für Störungen, Ausfälle und den geordneten Wiederanlauf

Business Continuity und Krisenmanagement erfordern klare Kommunikationswege, Prioritäten und jederzeit erreichbare Verantwortliche

Eindeutige Zuordnung einer Aufgabe oder Entscheidung zu einer verantwortlichen Rolle

Wer bewertet, entscheidet, meldet und überwacht, muss vorab eindeutig festgelegt sein, damit Aufgaben nicht zwischen Fachbereichen und Geschäftsleitung liegen bleiben