NIS2 ist Chefsache NIS2 ist eindeutig Chefsache. Die Geschäftsführung muss klare Verantwortlichkeiten festlegen, die erforderlichen Ressourcen für Informationssicherheit zuweisen und Security-Schulungen absolvieren. Zudem haftet sie – abhängig von der Gesellschaftsform – teilweise sogar persönlich für Verstöße gegen die NIS2-Anforderungen. Daher ist es kurzsichtig, ein NIS2-Projekt erstmal „nur“ als Invest zu sehen.
Unternehmenskultur muss sich wandeln Silodenken und isoliertes Handeln in einzelnen Abteilungen ist Gift für die NIS2-Umsetzung. Gefragt ist eine vernetzte, abteilungsübergreifende Zusammenarbeit mit klaren Prozessen und Verantwortlichkeiten.
Verständnis schaffen Die NIS2 betrifft nicht nur Hardware und Software, sondern das gesamte Unternehmen: IT, HR, Einkauf, Legal, Marketing, Vertrieb, Produktion, Kommunikation oder Facility Management. Daher ist es von zentraler Bedeutung, alle beteiligten Parteien frühzeitig in das NIS2-Projekt zu integrieren. Sicherheitsbewusstsein muss über regelmäßige Schulungen in allen Abteilungen verankert werden. Sinnvoll ist zudem eine transparente interne Kommunikation zu Risiken für die Informationssicherheit oder auch zu Sicherheitsvorfällen (Incident Management).
Ressourcen bereitstellen Natürlich bedeutet ein NIS2-Projekt zunächst auch Mehrarbeit für das beteiligte Kernteam. Doch interne Ressourcen sind meist knapp und fachlich nicht immer qualifiziert. Daher ist es wichtig, Verantwortlichkeiten klar zu definieren, Freiräume zu schaffen und interne Kompetenzen aufzubauen. Denkbar ist auch die Zusammenarbeit mit einem externen ISB, um ein ISMS gemäß ISO 27001 aufzubauen. Das ISMS bildet die Basis für die Erfüllung der NIS2-Anforderungen.
Ressourcen bereitstellen Natürlich bedeutet ein NIS2-Projekt zunächst auch Mehrarbeit für das beteiligte Kernteam. Doch interne Ressourcen sind meist knapp und fachlich nicht immer qualifiziert. Daher ist es wichtig, Verantwortlichkeiten klar zu definieren, Freiräume zu schaffen und interne Kompetenzen aufzubauen. Denkbar ist auch die Zusammenarbeit mit einem externen ISB, um ein ISMS gemäß ISO 27001 aufzubauen. Das ISMS bildet die Basis für die Erfüllung der NIS2-Anforderungen.
1 Scoping-Workshop mit Definition der strategischen Ausrichtung sowie Bestimmung der interessierten Parteien und des Kontextes
2 NIS2 GAP-Analyse zur Bestimmung der Ausgangssituation (Wo steht das Unternehmen heute?) als Basis für die Planung der Umsetzung
3 NIS2-Umsetzung: Aufbau eines ISMS nach NIS2 mit Schutzbedarfsermittlung und Risikoanalyse als Grundlage für die Umsetzung von Maßnahmen