Das Cybersicherheitsgesetz rückt näher
Der Senat hat das niederländische Cybersicherheitsgesetz noch nicht endgültig verabschiedet. Dennoch wird es so oder so kommen. Allerdings bereiten sich noch nicht alle Unternehmen aktiv darauf vor: „Solange das Gesetz nicht veröffentlicht wurde, wissen wir nicht genau, was darin steht, daher warten viele Unternehmen noch ab, wie sich die Lage entwickelt.“ Dennoch könnte es sehr schnell gehen, sobald das Gesetz endgültig verabschiedet ist. Am 6. und 7. Juli wird der Senat zusammentreten, um das Cybersicherheitsgesetz (Cbw) zu erörtern. Dann wird auch über den Gesetzentwurf abgestimmt. Wenn der Senat den Gesetzentwurf verabschiedet, wird das Cbw voraussichtlich am 15. August 2026 in Kraft treten. Organisationen, die dem Gesetz unterliegen, werden dann mit neuen Verpflichtungen hinsichtlich der digitalen Widerstandsfähigkeit konfrontiert sein. Die Anpassung einer Organisation an die neuen Vorschriften nimmt oft einige Zeit in Anspruch. Genau deshalb ist es so wichtig, dass Organisationen bereits jetzt beginnen, sich Gedanken über ihre Informationssicherheit zu machen. Die Zertifizierung nach ISO 27001 wäre für die meisten Organisationen ein hervorragender Ausgangspunkt. Von dort aus können Sie weiter auf die NIS2-Konformität hinarbeiten.
Größeres Risikobewusstsein
Ein wesentlicher Vorteil des Prozesses zur Erlangung der ISO 27001-Zertifizierung besteht darin, dass sich die Mitarbeiter dieser Organisationen der mit der Cybersicherheit verbundenen Risiken viel stärker bewusst werden. Moniek hat dies auch in der Praxis beobachtet: „Es wurde bereits eine Risikoanalyse durchgeführt, es ist klar, was die ‚Kronjuwelen‘ sind, es werden Anstrengungen unternommen, um das Bewusstsein zu schärfen, und technische Maßnahmen wurden umgesetzt. Dieses Bewusstsein ist besonders wichtig; schließlich erweist sich das Verhalten oft als eine der Hauptursachen für einen Vorfall. Man sieht, dass einige Unternehmen dieses Bewusstsein tatsächlich mit den technischen Fähigkeiten der Mitarbeiter verknüpft haben: Wenn ein Mitarbeiter kein ausreichendes Bewusstsein zeigt – zum Beispiel, indem er zu oft auf Phishing-E-Mails hereinfällt oder nicht an genügend Schulungen teilnimmt –, erhält er nur eingeschränkten oder gar keinen Zugriff auf das System. Als Auditoren bewerten wir auch dieses Bewusstsein. Moniek erklärt: „Was weiß ein Mitarbeiter über die ISO 27001-Zertifizierung, Cyberrisiken und Sicherheitsmaßnahmen? In welchem Zusammenhang stehen diese Informationen mit seiner täglichen Arbeit, und wie wendet er sie an?“
„Wenn man das ISO 27001-Zertifikat besitzt, hat man eine sehr solide Grundlage.“
— Moniek Steegers, ISO Auditor Normec Certification Institute
Maßnahmen zur kontinuierlichen Verbesserung
Laut Moniek ist es nicht ganz so eindeutig zu bestimmen, in welchen Bereichen noch Verbesserungen erforderlich sind, um NIS2-konform zu sein, sobald man nach ISO 27001 zertifiziert ist: „Wenn Sie über das ISO 27001-Zertifikat verfügen, haben Sie eine sehr solide Grundlage. Man verfügt über ein Informationssicherheits-Managementsystem (ISMS), das dabei hilft, Strukturen zu schaffen, bestimmte Gesetze und Vorschriften einzuhalten und das Bewusstsein innerhalb der Organisation zu schärfen. Aus einer risikobasierten Perspektive (mit der Frage „Was sind die ‚Kronjuwelen‘?“ als Ausgangspunkt) führen Sie eine Risikoanalyse durch und ergreifen Maßnahmen, die Sie kontinuierlich verbessern. Dieser risikobasierte Ansatz und die kontinuierliche Verbesserung stehen auch im Mittelpunkt der NIS2-Richtlinie. Auch alle möglichen Themen – wie Vorfallmanagement, Geschäftskontinuität und Lieferantenmanagement – sind für NIS2 relevant. Schließlich geht es hier um Informationssicherheit, daher wäre es ziemlich seltsam, wenn dies völlig andere Themen wären.“
Die Geschäftsleitung wird persönlich haftbar
Die NIS geht jedoch detaillierter auf diese Themen ein, fährt Moniek fort: „Beispielsweise besagt die ISO 27001, dass die Geschäftsleitung in die Informationssicherheit eingebunden sein muss. NIS 2 geht in dieser Hinsicht noch weiter; sie macht Führungskräfte persönlich haftbar, was sogar zu Geldstrafen führen kann. Das Vorfallmanagement ist ein weiteres solches Thema. Nach ISO 27001 ist dies eine Frage der Richtlinien. Man prüft, wie es umgesetzt wird. Nach NIS 2 ist man jedoch tatsächlich verpflichtet, schwerwiegende Vorfälle über eine zentrale Meldestelle zu melden. Auch das Lieferantenmanagement ist nach ISO 27001 sehr wichtig. Man muss seine Lieferanten bewerten und Anforderungen für die eigene Organisation festlegen; NIS 2 geht darauf noch viel eingehender ein. Dieses gesamte Konzept der Verantwortung in der Lieferkette ist dort äußerst wichtig. Auch Lieferanten müssen selbst Anforderungen erfüllen und die Einhaltung nachweisen. NIS 2 hat 10 Sorgfaltspflichten definiert. Diese sind mehr oder weniger auch in der ISO 27001 enthalten, doch je nach Ihrer Risikoanalyse stellt NIS 2 etwas strengere Anforderungen.“
„Die Einhaltung der europäischen NIS-2-Richtlinie reicht jedoch nicht unbedingt aus.“
— Moniek Steegers, ISO Auditor Normec Certification Institute
Beginnen Sie mit einer gründlichen Risikoanalyse und einer Lückenanalyse
Doch wie geht ein Unternehmen vor, wenn es Verbesserungspotenziale identifizieren möchte – insbesondere, wenn es bereits nach ISO 27001 zertifiziert ist, aber auch die NIS-2-Richtlinie erfüllen will? In der Praxis beobachtet Moniek, dass Organisationen oft damit beginnen, ihre Risikoanalyse kritisch zu überprüfen und eine Lückenanalyse durchzuführen: „Beginnen Sie damit, Ihre Risikoanalyse wirklich kritisch unter die Lupe zu nehmen und eine Lückenanalyse durchzuführen. Schauen Sie ganz genau hin: Was genau verlangt NIS 2 von uns? Wie haben wir ISO 27001 interpretiert und umgesetzt? Vielleicht sind Sie bereits an einem Punkt angelangt, an dem Sie NIS2 weitgehend erfüllen. Das wird jedoch nicht immer der Fall sein. Eine gründliche Risikoanalyse, gefolgt von einer Lückenanalyse, ist daher sehr wichtig. In erster Linie zeigt dies, dass Sie sich damit beschäftigt haben – auch gegenüber der Geschäftsleitung und anderen Abteilungen. Ermitteln Sie den Stand der Dinge und dokumentieren Sie ihn. Erst dann können Sie konkret damit an die Arbeit gehen. Die Website des Nationalen Zentrums für Cybersicherheit, ncsc.nl, enthält sehr nützliche Tipps, Vorlagen, Leitfäden und Informationen zu diesem Thema.“
Fazit: Unabhängig davon, ob eine Organisation unter die NIS2-Gesetzgebung fällt oder nicht, bleibt Cybersicherheit für jede Organisation eine zentrale Priorität. Setzen Sie sich gründlich mit Informationssicherheit auseinander, identifizieren Sie die relevanten Risiken und stellen Sie sicher, dass Sie über einen Ansatz verfügen, der zu Ihrer Organisation passt.
Vorbereitung auf NIS2 Für Organisationen, die möglicherweise unter die NIS2-Richtlinie fallen, ist es wichtig, sich rechtzeitig einen Überblick über ihr aktuelles Informationssicherheits-Rahmenwerk zu verschaffen. Eine Risikoanalyse und – für ISO 27001-zertifizierte Organisationen – eine Lückenanalyse können als wertvoller Ausgangspunkt dienen. Ein unabhängiges ISO 27001-Audit vermittelt Organisationen Einblicke in die Struktur und Absicherung ihrer Informationssicherheit. Für viele Organisationen dient dies zudem als wichtige Grundlage für die weitere Vorbereitung auf NIS2.