Mobile-Menu

In zehn Schritten zur NIS-2-Konformität

NIS-2 – Anschnallpflicht für Unternehmen

< zurück

Seite: 4/11

Anbieter zum Thema

Impossible Cloud GmbH

Schritt 4: Security-Strategie kommunizieren

Ein Unternehmen muss also eine Security-Strategie erarbeiten oder seine bestehende gegebenenfalls überarbeiten. Es ist sinnvoll, dies frühzeitig im Haus zu kommunizieren. „Die Geschäftsleitung sollte alle Führungskräfte gleich zu Anfang informieren und dem auch Nachdruck verleihen: ‚Wir haben die Auflage, NIS-2 umzusetzen, und ich möchte, dass Sie mithelfen!‘“, rät Dr. Sebastian Schmerl, VP Security Services EMEA bei Arctic Wolf.

Ein wichtiger Baustein der Unternehmenssicherheit sind informierte und wachsame Beschäftigte. „Die NIS-Direktive umfasst 46 Artikel; davon sind sechs relevant für Unternehmen, die Artikel 20 bis 25“, sagt Marco Eggerling, CISO Global bei Check Point. „Diese sollte jedes Unternehmen sozusagen ausgedruckt an der Toilettentür hängen haben, um die Relevanz zu verdeutlichen.“

Hilfreich ist es hier, Achtsamkeitsschulungen einzuführen, sofern sie im Haus nicht schon üblich sind. „Für die Belegschaft gibt es sehr schöne Awareness-Trainings“, sagt Schmerl, „am besten eignen sich alle 14 Tage kurze Trainingsclips.“ Auch dies sollte man rechtzeitig ankündigen.

Da heutzutage praktisch alles mehr oder weniger IT-gestützt abläuft, steht letztlich der gesamte Unternehmensalltag auf dem Prüfstand. „Man muss nicht jeden Stein umdrehen bei der Implementierung von Cybersicherheit, aber man schaut sich jeden Stein an“, sagt Robert Stricker, VP Security Consulting bei Materna. Bei einigen dieser Steine wird laut Stricker der Betriebsrat ein Wort mitreden wollen, zum Beispiel bei Endpoint-Protection, Security-Monitoring oder der Auswertung von Awareness-Schulungen. „Da kann ich nur dringendst empfehlen, den Betriebsrat von Anfang an mit ins Boot zu holen“, sagt er, „denn man hat ja das gemeinsame Interesse, Schaden vom Unternehmen abzuwenden.“

Eine Hürde: Der Begriff detection wird oft mit „Überwachung“ übersetzt. „Da wird jeder Betriebsrat sofort aufspringen“, so Lacework-Fachmann Schneider. Es gehe aber nicht um Überwachung, sondern um Angriffserkennung. Er vergleicht die Angriffserkennung mit einem Rauchmelder und betont: „Man muss, um NIS-2 zu erfüllen, keine Mitarbeiter überwachen.“

Im laufenden Betrieb kann es sinnvoll sein, die Belegschaft regelmäßig über die Security-Lage zu informieren, zum Beispiel in den Quartalsmeetings. „Ich würde aber kein ‚Riesending‘ daraus machen“, rät Schmerl, „sondern über das Thema so berichten wie über den Arbeitsschutz.“

(ID:50265322)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Data-Storage und -Management

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte