Security-Richtlinie der EU NIS-2: Checkliste für die öffentliche Verwaltung

Die Einführung der zweiten Richtlinie zur Netz- und Informationssicherheit (NIS-2) zwingt jede öffentliche Verwaltung in der EU, ihre Cyber-Sicherheitsstrategien grundlegend zu überarbeiten und zu verbessern.

Doch wie können Behörden bis zum 17. Oktober gewährleisten, dass sie nicht nur die neuen Vorschriften erfüllen, sondern auch flexibel auf die sich stetig ändernden Bedrohungen in der Cyber-Welt reagieren?

1. Überprüfung der Betroffenheit und Eignung für NIS-2

Bevor Sicherheitsmaßnahmen ergriffen werden, muss jede Behörde genau prüfen, welche ihrer Einheiten und Dienste von NIS-2 betroffen sind. Diese Richtlinie weitet den Anwendungsbereich der vorherigen NIS-Richtlinie aus und umfasst nun noch mehr Sektoren, insbesondere die kritischen Infrastrukturen.

Identifikation der relevanten Dienste: Alle Organisationen müssen überprüfen, welche Dienste ihrer Verwaltung direkt zur KRITIS zählen. Typische Bereiche umfassen unter anderem die öffentliche Sicherheit, den Energiesektor und das Gesundheitswesen. Die NIS-2-Richtlinie betrifft insbesondere Einrichtungen der Bundesverwaltung, die nach dem neuen Gesetz verpflichtet sind, angemessene Maßnahmen zur Gewährleistung der Cyber-Sicherheit zu ergreifen.

Überprüfung spezifischer öffentlicher Ausnahmen: Es ist zu ermitteln, ob spezielle Ausnahmeregelungen für Teile der Verwaltung gelten, speziell im Kontext anderer regulatorischer Rahmenwerke, die bereits implementiert sind.

Registrierungsanforderungen: Innerhalb von spätestens drei Monaten nach dem Inkrafttreten des Gesetzes ist die Registrierung der betroffenen Einrichtung erforderlich. Diese Verpflichtung liegt in der Verantwortung der Einrichtungsleitung, und die Überwachung und Prüfung der Registrierung erfolgt durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

2. Durchführung regelmäßiger Risikobewertungen

Regelmäßige Risikobewertungen sind das Herzstück von NIS-2. Sie erlauben es den öffentlichen Verwaltungen, ihre Sicherheitslage kontinuierlich zu bewerten und proaktiv Maßnahmen zu ergreifen, um Schwachstellen zu beheben. Das Ziel: Cyber-Sicherheit dynamisch stärken und ständig an neue Bedrohungen anpassen.

Schritte zur Durchführung regelmäßiger Risikobewertungen:

Etablierung eines Risikobewertungsprozesses: Die Organisation sollte einen strukturierten Prozess etablieren, der regelmäßig durchgeführt wird. Dieser sollte alle Aspekte der IT-Infrastruktur und der betrieblichen Abläufe umfassen und klar definieren, wie Risiken identifiziert, analysiert, bewertet und gesteuert werden.

Integration in die Sicherheitspolitik: Die Risikobewertung sollte fest in der Sicherheitspolitik der Organisation verankert sein und von der obersten Leitungsebene unterstützt werden.

Feedback und Anpassung: Implementieren von Mechanismen, um die Ergebnisse der Risikobewertungen regelmäßig zu überprüfen und die Sicherheitsstrategien entsprechend anzupassen. Dies beinhaltet auch die Einbeziehung von Feedback von allen relevanten Stakeholdern innerhalb und außerhalb der Organisation.

Nur durch regelmäßige und gründliche Risikobewertungen können öffentliche Verwaltungen eine proaktive Sicherheitshaltung einnehmen, um potenzielle Bedrohungen frühzeitig zu erkennen und effektive Gegenmaßnahmen zu ergreifen. Diese Praxis trägt wesentlich dazu bei, die allgemeine Sicherheitslage der Behörde gemäß NIS-2 zu verbessern.

3. Stärkung der Business-Continuity-Planung

Eine solide Business-Continuity-Planung (BCP) ist entscheidend, um die Folgen von Cyber-Angriffen oder anderen Notfällen für die öffentliche Verwaltung zu minimieren. BCP umfasst Maßnahmen zur Aufrechterhaltung kritischer Funktionen und zur schnellen Wiederherstellung von Systemen und Diensten nach einem Vorfall.

Schritte zur Stärkung der Business-Continuity-Planung:

Entwicklung einer umfassenden Business-Continuity-Strategie: Diese sollte alle Aspekte der Organisation abdecken und klare Anweisungen für das Handeln in verschiedenen Notfallszenarien bereitstellen. Die Strategie muss regelmäßig überprüft und an neue Risiken angepasst werden.

Implementierung von Disaster-Recovery-Produkten: Integrieren von Anwendungen, die eine schnelle Wiederherstellung von Systemen und Daten ermöglichen. Cloud-basierte Disaster-Recovery-Angebote bieten oft die Flexibilität und Skalierbarkeit, die für die schnelle Reaktion auf große Ausfälle erforderlich sind.

Regelmäßige Tests und Übungen: Nur durch regelmäßige Tests lässt sich die Wirksamkeit eines Business-Continuity-Plans wirklich sicherstellen. Diese Übungen sollten realistische Szenarien simulieren und sowohl technische als auch organisatorische Reaktionen umfassen.

4. Optimierung des Supply Chain Managements

Die Sicherheit der Lieferkette ist ein kritischer Aspekt der NIS-2-Konformität, besonders für öffentliche Verwaltungen, die häufig mit einer Vielzahl von Zulieferern und Dienstleistern zusammenarbeiten. Eine Lieferkettenverwaltung muss dafür sorgen, dass alle Beteiligten die erforderlichen Sicherheitsstandards einhalten.

Schritte zur Optimierung des Supply Chain Managements:

Überprüfung und Zertifizierung der Zulieferer: Alle Zulieferer und Dienstleister, die mit kritischen Daten und Systemen arbeiten, sollten den NIS2-Sicherheitsstandards entsprechen. Dies schließt Zertifizierungen wie ISO 27001 oder vergleichbare Standards ein, um ein hohes Maß an Sicherheit zu garantieren. Es sollte eine regelmäßige (mindestens jährliche) Überprüfung der Sicherheitsmaßnahmen der Zulieferer durchgeführt werden.

Vertrags-Management stärken: Integrieren von Sicherheitsklauseln in den Verträgen mit Zulieferern, die klare Anforderungen an die Cyber-Sicherheit stellen und regelmäßige Compliance-Überprüfungen ermöglichen.

Risikobasierte Bewertung der Lieferkette: Regelmäßige risikobasierte Bewertungen der Lieferkette gehören auf die Agenda, um potenzielle Schwachstellen frühzeitig zu identifizieren und entsprechende Gegenmaßnahmen zu ergreifen.

Förderung der Transparenz und Zusammenarbeit: Alle Organisationen sollten ihre Zulieferer zur Offenlegung von Sicherheitsvorfällen und zur aktiven Teilnahme an gemeinsamen Sicherheitsinitiativen auffordern. Eine offene Kommunikation und Kooperation tragen dazu bei, die gesamte Lieferkette sicherer zu machen.

5. Einrichtung eines Security Operations Centers

Ein Security Operations Center (SOC) ist eine unverzichtbare Einrichtung für jede Behörde, die der NIS-2-Richtlinie unterliegt. Als spezialisierte Einheit übernimmt das SOC die ständige Überwachung, Bewertung und Reaktion auf Sicherheitsbedrohungen. Im Zusammenspiel aus Mitarbeitenden, Prozessen und Technologien gewährleistet das SOC die Cyber-Sicherheit durch proaktive und reaktive Maßnahmen.

Schritte zur Einrichtung eines SOC:

Technische Spezifikationen: Ein SOC sollte fortgeschrittene Überwachungs- und Analyse-Tools wie SIEM-Systeme (Security Information and Event Management) nutzen, die Datenströme aus verschiedenen Quellen in Echtzeit sammeln und auswerten können. Diese Systeme sind essentiell für die Erkennung von Mustern, die auf Sicherheitsbedrohungen hindeuten könnten.

Rekrutierung von Fachpersonal: Der Erfolg eines SOC hängt stark von den Fähigkeiten seines Personals ab. Es ist notwendig, ein Team aus Analystinnen, Analysten, Ingenieurinnen und Ingenieuren zusammenzustellen, die erfahren im Umgang mit Cyber-Bedrohungen sind und Strategien zur Bedrohungsabwehr entwickeln können. Das Team kann aber auch aus externen Expertinnen und Experten bestehen.

Entwicklung von Reaktionsprotokollen: Ein SOC benötigt klare und effektive Protokolle für den Umgang mit Sicherheitsvorfällen. Diese Protokolle sollten Schritte zur schnellen Eindämmung und Behebung von Vorfällen enthalten sowie Regeln zur Kommunikation innerhalb der Organisation und mit externen Partnern.

Kontinuierliche Schulung und Sensibilisierung: Mitarbeitende des SOC müssen regelmäßig geschult werden. Dies umfasst sowohl technische Trainings als auch Übungen zu Reaktionsstrategien auf Vorfälle.

Die Einrichtung und der Betrieb eines SOC sind komplexe, aber kritische Unterfangen, die eine zentrale Rolle in der Cyberabwehrstrategie einer jeden Behörde spielen, die der NIS-2-Richtlinie unterliegt.

Hinweis: Der Artikel ist zuerst auf unserem Schwesterportal „eGovernment Computing“ erschienen.

(ID:50067322)