• Segmentierung von IT- und OT-Netzwerken
• sichere Zugriffskontrollen und Multi-Faktor-Authentifizierung
• regelmäßige Updates und Patch-Management
• Monitoring und Protokollierung von Systemzugriffen
• Backup- und Wiederherstellungskonzepte
Insbesondere die Sicherheit der Lieferkette spielt eine wichtige Rolle. Viele Cyberangriffe erfolgen nicht unmittelbar, sondern über externe Dienstleister, Lieferanten oder kompromittierte Softwarekomponenten. Entsprechend sollten Unternehmen ihre Partner stärker in Sicherheitsprozesse einbeziehen und diese regelmäßig prüfen.
4. Meldeprozesse und Krisenmanagement vorbereiten
Ein zentraler Bestandteil von NIS-2 sind Meldepflichten bei Sicherheitsvorfällen. Unternehmen müssen relevante Vorfälle innerhalb kurzer Fristen an die zuständigen Behörden melden. Dafür braucht es klar definierte Prozesse: Wer erkennt einen Vorfall? Wer bewertet seine Relevanz? Und wer übernimmt die Kommunikation mit Behörden und Partnern?
Neben diesen Meldewegen sollte auch ein Krisenmanagement etabliert werden. Dazu gehören Notfallpläne, Wiederanlaufstrategien für kritische Systeme und Prozesse sowie regelmäßige Tests der Abläufe. Ziel ist es, im Ernstfall schnell reagieren zu können und den Betrieb möglichst stabil aufrechtzuerhalten.
5. Schulung und Sensibilisierung der Führungsebene
Ein häufig unterschätzter Punkt der Richtlinie betrifft die Qualifikation der Unternehmensleitung. Der Gesetzgeber erwartet ausdrücklich, dass sich Geschäftsleitungen regelmäßig im Bereich Informationssicherheit schulen lassen. Dabei geht es nicht darum, technische Spezialisten auszubilden. Entscheidend ist vielmehr, dass Führungskräfte Risiken verstehen, Prioritäten setzen und fundierte Entscheidungen treffen können.
Typische Inhalte solcher Schulungen sind:
• Grundlagen der Informationssicherheit
• Bewertung von Cyberrisiken für Geschäftsprozesse
• Managementmethoden für Risikosteuerung
• Grundlagen des Business-Continuity-Managements
Dokumentierte Schulungen erfüllen dabei gleich zwei Funktionen: Sie stärken die Kompetenz der Führungsebene und dienen gleichzeitig als Nachweis gegenüber Aufsichtsbehörden.
Ethische Leitlinien als langfristige Strategie
Wie alle Richtlinien kann auch NIS-2 nicht alle vorstellbaren Fälle im Bereich der Cybersicherheit regeln, zumal sich die digitale Welt in rasantem Tempo verändert. Empfehlenswert ist es deshalb für Unternehmen, ethische Leitlinien für den Umgang mit den neuen Fragen der Digitalisierung zu erarbeiten: dazu zählen nicht nur Sicherheitsfragen, sondern auch Themen wie künstliche Intelligenz, autonome Fahrzeuge oder Robotik. Betriebe, die entsprechende Leitlinien ausarbeiten und im täglichen Geschäft authentisch leben, sind gut auf zukünftige Herausforderungen vorbereitet. Und heben sich zudem positiv im Wettbewerb ab.
