NIS2 und KRITIS-Dachgesetz: Zwei Regelwerke, ein Ziel
Während die europäische NIS2-Richtlinie die Cybersicherheit von Organisationen stärken soll, verfolgt das KRITIS-Dachgesetz einen umfassenderen Ansatz. Neben Cyberbedrohungen sind darin auch Aspekte wie physische Gefahren, Sabotage, geopolitische Risiken oder Lieferkettenausfälle enthalten. Ziel ist es, auf diese Weise die Resilienz kritischer Infrastrukturen übergreifend zu erhöhen.
Für viele Einrichtungen bedeutet dies neue Pflichten. Dazu zählen die Identifikation und Registrierung relevanter Dienstleistungen, Melde- und Nachweispflichten, die Einführung eines strukturierten Risikomanagements und wirksamer Systeme zur Angriffserkennung.
Die größte Fehlannahme: NIS2 als IT-Projekt betrachten
Wichtig: NIS2 ist kein reines IT-Projekt. Es handelt sich im Grunde genommen um ein Management- und Organisationsthema. Führungskräfte tragen eine persönliche Verantwortung für die Cyber-Resilienz ihrer Organisation. Es liegt an ihnen, dafür zu sorgen, dass ein wirksames Sicherheits- und Risikomanagement existiert und greift. Risiken müssen dabei priorisiert und geeignete Schutzmaßnahmen nachweisbar umgesetzt werden.
Besonders relevant ist dabei die Auditfähigkeit. Organisationen müssen belegen können, welche Entscheidungen getroffen wurden, welche Risiken bewertet wurden und welche Maßnahmen umgesetzt worden sind. Nicht Perfektion ist der Maßstab, sondern eine angemessene und dokumentierte Sorgfalt.
Welche Entscheidungen jetzt Priorität haben
Viele Organisationen fragen sich, womit sie beginnen sollen. Unsere Empfehlung: Beantworten Sie zunächst folgende zentrale Fragen:
- Ist die eigene Organisation von NIS2 betroffen?
- Welches Sicherheitsniveau soll erreicht werden?
- Welche Risiken sind für den Geschäftsbetrieb besonders kritisch?
- Welche Leistungen werden intern erbracht und welche extern bezogen?
- Wie wird künftig über Risiken, Vorfälle und Sicherheitsstatus berichtet?
Die Antworten auf diese Fragen bilden die Grundlage für alle weiteren Aktivitäten und helfen dabei, Ressourcen gezielt einzusetzen.
Der pragmatische Einstieg: Schritt für Schritt zur Handlungsfähigkeit
Statt sofort umfangreiche Technologieprojekte zu starten, empfiehlt sich ein strukturierter Einstieg. Bewährt hat sich ein Vorgehen in vier Schritten:
- Standortbestimmung durch ein NIS2- oder BSI-basiertes Quick Assessment
- Mindestfähigkeit herstellen, etwa durch Notfallplanung, Patchmanagement, Multi-Faktor-Authentifizierung und sichere Backup-Strategien
- Governance und Strukturen etablieren, beispielsweise durch ein Informationssicherheitsmanagementsystem (ISMS) und klare Verantwortlichkeiten
- Resilienz kontinuierlich verbessern – durch regelmäßige Übungen, Audits und die Weiterentwicklung von Sicherheitsmaßnahmen (z.B. mit Kursen in unserem Cyber Experience Center)
Ein weiterer wichtiger Hinweis aus der Praxis: Organisationen sollten nicht versuchen, alle Anforderungen gleichzeitig anzugehen. Entscheidend ist es, die richtigen Maßnahmen zu priorisieren und konsequent umzusetzen.
Organisation vor Technologie
Oftmals richten viele Unternehmen ihre Aufmerksamkeit zunächst auf technische Lösungen. Die Erfahrung aus der Praxis zeigt jedoch, dass fehlende Verantwortlichkeiten, unklare Prozesse und mangelnde Governance häufig größere Risiken darstellen als fehlende Tools. Deshalb sollte der erste Schritt immer der Aufbau einer belastbaren Organisationsstruktur sein. Sie möchten wissen, wo Ihre Organisation aktuell steht? Sprechen Sie mit uns über Ihre individuelle Ausgangssituation und den Weg zu mehr Resilienz. Jetzt Kontakt aufnehmen!
Für weiterführende Informationen schauen Sie sich gerne unsere Webinaraufzeichnung „NIS2 und KRITIS-Dachgesetz – Was Sie jetzt tun sollten, um handlungsfähig zu bleiben“ an.
