Die NIS2-Richtlinie ist eine europäische Cybersicherheitsgesetzgebung, die darauf abzielt, die digitale Widerstandsfähigkeit wesentlicher und wichtiger Organisationen innerhalb der Europäischen Union zu stärken. Die Mitgliedstaaten setzen die Richtlinie in nationales Recht um. In den Niederlanden geschieht dies über das Cybersicherheitsgesetz.

Organisationen, die in den Anwendungsbereich fallen, sind unter anderem mit Verpflichtungen in den Bereichen Risikomanagement, Meldung von Vorfällen und Registrierung konfrontiert. Die genaue Anwendung hängt von der Position der Organisation und den geltenden Gesetzen und Vorschriften ab.

Ein wichtiger Unterschied zu einem rein technischen Ansatz der Cybersicherheit ist die Position der Unternehmensführung. Cyberrisiken können Dienstleistungen, Kontinuität, Finanzen und den Ruf beeinträchtigen und sind damit Organisationsrisiken. Die Verantwortung für deren Beherrschung kann nicht vollständig auf die IT, den CISO oder den Security Officer übertragen werden.

Die Sorgfaltspflicht unter dem Cybersicherheitsgesetz verlangt, dass Organisationen angemessene und verhältnismäßige Maßnahmen ergreifen, um Cyberrisiken zu beherrschen. Der Ausgangspunkt ist daher nicht eine feste Sammlung von Maßnahmen, die für jede Organisation gleich ist, sondern das eigene Risikoprofil.

Ein Krankenhaus, ein Energieunternehmen und ein IT-Dienstleister können alle mit NIS2 zu tun haben, während sich ihre Abhängigkeiten und die möglichen Folgen eines Vorfalls stark unterscheiden. Auch ihre Lieferketten, kritischen Prozesse und die Risikobereitschaft sind nicht identisch. Die Bewertung angemessener Maßnahmen muss daher auf die Risiken abgestimmt sein, die für die eigene Organisation wesentlich sind.

Für die Unternehmensführung bedeutet dies, dass eine Übersicht über implementierte Sicherheitsmaßnahmen nicht ausreicht. Es muss auch klar sein, welche Risiken mit diesen Maßnahmen beherrscht werden, warum dieser Ansatz gewählt wurde und welches Restrisiko verbleibt.

Damit verschiebt sich NIS2 von einer Compliance-Frage zu einer Frage der Risikosteuerung.

Organisationen können oft gut nachweisen, dass eine Sicherheitsmaßnahme vorhanden ist. Es gibt ein Verfahren, Mitarbeiter haben eine Schulung absolviert, MFA wurde eingeführt oder ein Lieferant wird regelmäßig bewertet. Dieser Nachweis ist notwendig, liefert aber noch keine vollständige Antwort auf die Frage, ob das zugrunde liegende Risiko ausreichend beherrscht wird.

Ein Awareness-Programm kann beispielsweise vollständig nach Plan durchgeführt werden, während Mitarbeiter immer noch regelmäßig auf Phishing reagieren. MFA kann breit eingeführt sein, während Ausnahmen kaum überwacht werden. Eine Lieferantenbewertung kann jedes Jahr stattfinden, ohne dass eine kritische Abhängigkeit wirklich untersucht wird.

Für die Unternehmensführung sind daher auch Informationen über die Wirksamkeit von Maßnahmen erforderlich. Das Management muss beurteilen können, welches Risiko beherrscht wird, welche Nachweise über die Durchführung vorliegen und ob das Ergebnis ausreichend ist. Erst danach kann entschieden werden, ob die bestehende Kontrolle beibehalten werden kann, angepasst werden muss oder ob ein Restrisiko bewusst akzeptiert wird.

Diese Unterscheidung zwischen Vorhandensein und Wirksamkeit ist wichtig. Eine Organisation kann nachweislich konform mit einem Prozess sein und gleichzeitig unzureichende Sicht auf die tatsächliche Beherrschung des Risikos haben.

Für Organisationen, die bereits mit 27001:2022 arbeiten, liegt es nicht nahe, neben dem bestehenden Managementsystem eine separate NIS2-Struktur aufzubauen. Vieles von dem, was erforderlich ist, um NIS2 steuerbar zu machen, kann gerade innerhalb des bestehenden Managementsystems organisiert werden.

Gesetzliche und vertragliche Verpflichtungen können festgelegt und mit Risiken, Maßnahmen und Verantwortlichkeiten verknüpft werden. Vorfälle, Auditergebnisse und Leistungsinformationen liefern anschließend Nachweise über die Wirksamkeit. Das Management-Review führt diese Informationen regelmäßig zusammen, damit das Management beurteilen kann, wo eine Nachsteuerung erforderlich ist.

Der Mehrwert liegt vor allem in diesem Zusammenhang. Eine gesetzliche Verpflichtung steht dann nicht losgelöst von der Risikoanalyse, und eine Maßnahme steht nicht losgelöst vom Nachweis ihrer Wirksamkeit. Das Managementsystem bildet die Verbindung zwischen dem, was von der Organisation verlangt wird, und der Art und Weise, wie darüber entschieden wird.

NIS2 wird damit nicht zu einer zusätzlichen Compliance-Ebene, sondern zu einem Teil der bestehenden Governance.

Die eigene Organisation ist nur ein Teil des Cyberrisikos. Cloud-Anbieter, Softwareunternehmen, IT-Dienstleister und andere Partner in der Kette können Zugriff auf Informationen haben oder Prozesse unterstützen, von denen die Organisation stark abhängig ist.

Die NIS2-Richtlinie widmet daher der Lieferkettensicherheit explizite Aufmerksamkeit. Bei der Bewertung von Cybersicherheitsrisiken müssen auch Schwachstellen und Sicherheitspraktiken innerhalb der Lieferkette berücksichtigt werden.

Das erfordert mehr als einen Sicherheitsfragebogen bei Vertragsabschluss. Für kritische Lieferanten muss klar sein, welche Abhängigkeit besteht, welches Risiko damit verbunden ist, welche Vereinbarungen getroffen wurden und welche Nachweise über deren Einhaltung vorliegen.

Ein Zertifikat, eine Assurance-Erklärung oder ein vertragliches Auditrecht können dabei wertvoll sein, aber keines dieser Instrumente übernimmt die Verantwortung für das eigene Lieferantenrisiko. Die Organisation muss selbst beurteilen können, welche Sicherheit erforderlich ist und ob die verfügbaren Informationen dafür ausreichen.

Die Wirkung von NIS2 über die Kette stoppt nicht automatisch an der europäischen Außengrenze. Ein Lieferant außerhalb der EU fällt nicht allein wegen eines europäischen Kunden direkt unter NIS2. Eine Organisation, die selbst NIS2-Verpflichtungen erfüllen muss, kann jedoch zusätzliche Sicherheitsanforderungen an Lieferanten stellen.

Dies kann sich in vertraglichen Sicherheitsanforderungen, Vereinbarungen zur Meldung von Vorfällen, Auditrechten oder Anfragen nach Zertifizierungen und anderen Formen von Nachweisen äußern. Für einen britischen, amerikanischen oder im Golf ansässigen Lieferanten entsteht damit keine niederländische gesetzliche Verpflichtung, aber möglicherweise eine konkrete kommerzielle Verpflichtung gegenüber dem Kunden.

Vertragliche Cybersicherheitsanforderungen verdienen daher die gleiche Aufmerksamkeit der Unternehmensführung wie andere relevante Verpflichtungen. Die Organisation muss wissen, was zugesagt wurde, welches Risiko damit beherrscht wird und ob sie die Vereinbarung nachweislich weiterhin erfüllen kann.

Wenn ein wichtiger Kunde von diesem Nachweis abhängig wird, wird Cybersicherheit damit auch zu einem kommerziellen Risiko.

Die Unternehmensführung muss NIS2 nicht selbst implementieren und muss ebenso wenig die technische Funktionsweise jeder Sicherheitsmaßnahme kennen. Sie muss jedoch über ausreichende Informationen verfügen, um beurteilen zu können, ob die wichtigsten Cyberrisiken beherrscht werden und wo Entscheidungen erforderlich sind.

Gute Managementinformationen machen daher die Beziehung zwischen Organisationszielen, Risiken, Beherrschung und Wirksamkeit sichtbar. Ein Dashboard mit Dutzenden von Sicherheitsindikatoren kann viele Informationen enthalten, hilft aber wenig, wenn nicht klar ist, welche Entwicklung die Aufmerksamkeit der Unternehmensführung erfordert.

Das Management muss beispielsweise verstehen können, warum ein bestimmtes Risiko wesentlich ist, welche Beherrschung dafür gewählt wurde und welche Nachweise über die Wirksamkeit vorliegen. Wenn sich die Beherrschung als unzureichend erweist, muss ersichtlich sein, welche Wahlmöglichkeit besteht und wer darüber entscheidet.

Diese Art der Steuerung ist nicht spezifisch für NIS2. Dasselbe Prinzip kann für Informationssicherheit, Kontinuität, KI und andere wesentliche Organisationsrisiken angewendet werden. NIS2 macht die Verantwortung der Unternehmensführung für Cybersicherheit vor allem expliziter.

Neue Gesetze führen leicht zu einem projektbezogenen Ansatz. Die Organisation bestimmt, was verpflichtend ist, führt fehlende Maßnahmen ein und sammelt die Nachweise, die zum Beleg der Einhaltung erforderlich sind. Das ist ein notwendiger Schritt, aber noch nicht dasselbe wie eine ausgereifte Beherrschung.

Der Unterschied wird sichtbar, nachdem die erste Implementierung abgeschlossen ist. Werden Informationen über Vorfälle und Abweichungen genutzt, um Maßnahmen anzupassen? Werden neue Lieferantenrisiken rechtzeitig erkannt? Kann das Management sehen, wo die Beherrschung unzureichend wirksam ist, und führt dies anschließend zu einer Entscheidung?

Wenn dieser Zyklus funktioniert, wird NIS2 Teil der Art und Weise, wie die Organisation geführt wird. Compliance ist dann nicht das Endziel, sondern das Ergebnis eines Managementsystems, das Risiken sichtbar macht, Informationen liefert und Verbesserungen erzwingt.

Das ist letztlich eine nachhaltigere Position als ein NIS2-Projekt, das vor allem darauf ausgerichtet ist, zu einem bestimmten Zeitpunkt nachzuweisen, dass die Anforderungen erfüllt wurden.

Führungskräfte müssen keine Cybersicherheitsspezialisten werden. Sie müssen jedoch genug verstehen, um Risiken und Maßnahmen beurteilen zu können, kritische Fragen zu stellen und Entscheidungen zu treffen, wenn die Beherrschung dies erfordert.

Das NIS2 Boardroom-Training von iQomply überträgt diese Verantwortung auf die eigene Organisation. In einem halben Tag arbeitet der Vorstand oder die Geschäftsführung mit dem eigenen Kontext, den Cyberrisiken, Maßnahmen und Managementinformationen. Im Anschluss erhält die Unternehmensführung eine Board Action Summary mit den wichtigsten Schwerpunkten und Maßnahmen.

Ein kurzer jährlicher oder zweijährlicher Refresher kann anschließend helfen, Wissen und Nachweisbarkeit aktuell zu halten, gegebenenfalls als Teil einer regulären Vorstandssitzung.