Zum Inhalt springen 
Pakete & Maßnahmen der NIS-2
Neben einer Reihe von softwarebasierten Risikomaßnahmen müssen auch diverse Beratungsleistungen implementiert werden.
11 Risikomanagement-Pakete
Unternehmen müssen Schritte ergreifen, um Risiken zu identifizieren, zu analysieren und zu bewältigen. Viele Betriebe haben dazu schon Maßnahmen gesetzt, die sie vor digitalen Bedrohungen schützen und Reaktionszeiten im Notfall beschleunigen.
Im Rahmen der NIS-2-Regelung werden universal gültige Anforderungen in 11 formale Pakete mit einer Reihe von Maßnahmen gegliedert. Die Schwerpunkte gliedern sich in softwarebasierte Maßnahmen als auch Beratungsleistungen. Der Fokus liegt somit nicht nur auf der Abwehr von Cyberangriffen, sondern auch auf der Prävention und Optimierung im Schadensfall.
wichtig!
Unternehmen sollten ALLE Maßnahmen der Risikomanagement-Pakete beleuchten. Dieses Vorgehen erleichtert nicht nur die Forensik, sondern ist auch aufgrund der divers gültigen Meldepflichten vorteilhaft.
Paket 1: Risikoanalyse und Sicherheit für Informationssysteme
- Verfahren zur regelmäßigen Risikoanalyse und Bewertung der Schwachstellen einführenSoftware
- Asset Discovery, Beschreibung und SoftwareinventarisierungSoftware
- Bestehende Schwachstellen und Sicherheitslücken identifizierenSoftware
- Regelmäßige Penetrationstest der eigenen Infrastruktur und bisher ergriffen SicherheitsmaßnahmenSoftware
- ISMS nach ISO 27001 etc. umsetzenBeratung
Paket 2: Bewältigung von Sicherheitsvorfällen
- End-to-end Anomalie- und Angriffserkennung umsetzen. Protokollierung aller Ereignisse und Ableitung automatischer Reaktionen.Software
- Angriffe, böswillige, fehlerhafte oder andere Aktivitäten im Netz, die sich auf kritische Dienste auswirken könnten, frühzeitig zu erkennenSoftware
- Schnelle Reaktion auf Cybervorfälle sicherstellen (Incident Response) ermöglichenSoftware
- Schnelle forensische Analyse und Abschätzung der Auswirkungen nach Vorfall sicherstellenSoftware
- Schadsoftware und Angreifende an Netzwerkgrenzen bestmöglich abwehrenSoftware
- Managed Detection and Response ServicesBeratung
Paket 3: Aufrechterhaltung und Wiederherstellung, Backup- Management, Krisen-Management
- Störung der Prozesse durch Sicherheitsmaßnahmen vermeidenSoftware
- Business-Continuity-Plan erstellenBeratung
- Mehrstufiges Backup-Management etablierenBeratung
- Schnelle Notfallwiederherstellung ermöglichenBeratung
- Professionelle Krisenbewältigung und -kommunikation einrichtenBeratung
Paket 4: Sicherheit der Lieferkette, Sicherheit zwischen Einrichtungen, Dienstleister-Sicherheit
- Die technische Kommunikation der Schnittstellen überwachen, auswerten und ggf. automatisierte Maßnahmen etablieren.Software
- Least Privilege Access für Lieferanten etablierenBeratung
- Sicheren Lieferanten-Zugang zum Netzwerk gewährleisten (z. B. sichere Passwörter, VPN)Beratung
Paket 5: Sicherheit in der Entwicklung, Beschaffung und Wartung; Management von Schwachstellen
- Regelmäßige Penetrationstest eigener Software und InfrastrukturSoftware
- Dauerhaftes Monitoring von SchwachstellenSoftware
- Effektive und sichere Behandlung und von Schwachstellen sicherstellenBeratung
Paket 6: Bewertung der Effektivität von Cybersicherheit und Risikomanagement
- Die Wirksamkeit des Cybersicherheit- Systems fortlaufend überprüfen und verbessern mit Hilfe von automatisierten PentestsSoftware
- Cybersicherheitslage und Risikoexposition regelmäßig neu bewertenBeratung
Paket 7:Schulungen Cybersicherheit und Cyberhygiene
- Defense-in-Depth-Architektur aufbauen, um Versagen der Perimetersicherung frühzeitig zu erkennen und interne Netzwerk Kommunikation umfang zu überwachenSoftware
- Gefährdete Assets überwachen und abschirmen, bei denen Patches/Aktualisierungen nicht möglich sindSoftware
- Ausbreitung von Angriffen eindämmen (z. B. durch Netzsegmentierung)Software
- Digitale Ressourcen in Bezug auf Firmware, Betriebssystem usw. auf dem neusten Stand haltenSoftware
- Starke Passwortrichtlinien festlegen und umsetzenBeratung
- Regelmäßige Cybersicherheitsschulungen für das Personal umsetzenBeratung
Paket 8: Kryptografie und Verschlüsselung
- Überwachung und Überprüfung verschlüsselter Verbindungen nach aktuellem Stand der Technik. Abgleich TLS nach TR-03116-4 Checkliste des BSISoftware
- Einrichtung und Sicherstellung einer durchgehenden verschlüsselten Kommunikation im internen NetzBeratung
Paket 9: Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
- Zugriffe auf kritische Dateien und Verzeichnisse Unternehmensweit überwachenSoftware
- Sicherheitsüberprüfungen und -sensibilisierung in das Einstellungs- und Vertragsvergabeverfahren integrierenBeratung
- Unbefugten physischen Zugriff auf Assets verhindernBeratung
Paket 10: Multi-Faktor Authentisierung und kontinuierliche Authentisierung
- Unbefugten Zugriff auf digitale Assets verhindern. Überwachung aller Logins und LoginversucheSoftware
- Personalisierte Multi-Faktor- Authentifizierung sicherstellenBeratung
- Sichere digitale Kommunikation gewährleistenBeratung
Paket 11: Sichere Kommunikation
(Sprache, Video und Text)
- Überwachung sämtlicher Kommunikationssysteme und der Verschlüsselten VerbindungenSoftware
- Innerhalb von 24 Stunden nach einem Vorfall Frühwarnung an CSIRT übermittelnBeratung
- Innerhalb von 72 Stunden erste Bewertung an CSIRT übermitteln (inkl. Aussagen zu Schweregrad, Auswirkungen, Quelle)Beratung
- Auf Anfrage des CSIRT Aktualisierungen zum Status des Vorfallsmanagements bereitstellenBeratung
- Innerhalb eines Monats detaillierten Berichts an das CSIRT übermitteln (inkl. Informationen zu Schweregrad, interne und grenzüberschreitende Auswirkungen, Ursache, Abhilfemaßnahmen)Beratung
Grau = softwarebasierte Lösung | Blau = Beratung & Konzeption
CSIRT (Computer security incident response team) = behördliches Computer-Notfallteam
Alles aus einer Hand!
Das zertifizierte Team von solbysec begleitet Ihr Unternehmen umfassend im Prozess NIS-2. Neben den softwarebasierten Paketen, ist es uns auch möglich die Beratungsleistungen zu erfüllen. Jetzt Kontakt aufnehmen & Details einholen.
Rechtzeitig aktiv werden & Ressourcen einplanen!
Die NIS 2 Richtlinie der EU hat das Ziel, ein hohes gemeinsames Cybersicherheitsniveau zu schaffen – und das möglichst bald. Bereits am 16. Jänner 2023 trat die neue Richtlinie zur Netz- und Informationsystemsicherheit in Kraft. Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, die nötigen Maßnahmen umzusetzen. Bei Nichteinhaltung drohen empfindliche Strafen.
Darum informieren Sie sich rechtzeitig und entgehen Sie empfindlichen Strafen. Das Team von solbysec steht ihnen gerne in allen Belangen rund um die NIS-2-Regelung mit Rat & Tat zur Seite!
Erstinfo
Was ist NIS-2 und warum wurde die Richtlinie eingeführt?
Betroffenheit
Fällt Ihr Unternehmen unter die neuen Regelungen? Machen Sie jetzt den Check!
Registrierung & Meldepflichten
Welche Pflichten müssen betroffene Unternehmen erfüllen?
Strafen & Kontrollen
Welche Mechanismen zur Aufsicht und Durchsetzung gelten?
Service
Wie wir Ihnen weiterhelfen können.
