NIS2 – alles Wissenswerte zur EU-weiten Cyber-Sicherheit

Im Kern geht es bei der regulatorischen Betrachtung immer um gesetzliche, aufsichtsrechtliche oder behördliche Vorgaben, die sicherstellen sollen, dass Unternehmen angemessene Maßnahmen ergreifen, um die Sicherheit und Integrität von Netz- und Informationssystemen zu gewährleisten. 

Hierzu bedarf es in Unternehmen eine umfassende Governance, in der Rahmenbedingungen für die Einhaltung regulatorischer Anforderungen überwacht, gemessen und dokumentiert werden. Viele regulatorische Anforderungen beziehen sich u. a. auf die Sicherstellung und Gewährleistung von Sicherheit, Integrität und Vertraulichkeit von Daten, die oft in IT-Systemen gespeichert und verarbeitet werden. Für das Managen dieser regulatorischen Definitionen ist ein IT-Governance-Modell Voraussetzung. Es ist wesentlicher Bestandteil für die effektive Umsetzung regulatorischer Definitionen im IT-Bereich und bildet auch gleichzeitig das Fundament, um das Sicherheitsniveau und die Cyber-Resilienz in der Unternehmensorganisation zu stärken. 

Mit einem IT-Governance-Modell legen Unternehmen u. a. die Richtlinien, Prozesse und Kontrollen fest, die erforderlich sind, um sicherzustellen, dass IT-Systeme den regulatorischen Anforderungen entsprechen. Für die Risikobetrachtung ist es wichtig, dass ein IT-Governance-Modell bei der Identifizierung, Bewertung und Bewältigung von Risiken im Zusammenhang mit IT-Systemen und -Prozessen unterstützt. Dies beinhaltet die Implementierung von Mechanismen zur automatisierten Überwachung von Systemen, die Erstellung von Compliance-Berichten und die Bereitstellung von Nachweisen für Aufsichtsbehörden oder Auditoren. Dieses Zusammenwirken ist wichtig, da Sicherheitsverletzungen schwerwiegende und weitreichende Folgen haben können, sowohl rechtlich als auch finanziell. 

Es geht bei einem IT-Governance-Modell im Wesentlichen um: 

• Schaffen von Richtlinien im Umgang mit unternehmensweiter IT-Infrastruktur und Prozessen
• Überwachung und Kontrolle von IT-Systemen und -Prozessen
• Risikomanagement im IT-Bereich
• Compliance-Methoden, Monitoring und Berichterstattung
• Change-Management und Anpassungsfähigkeit an sich ändernde regulatorische Bedingungen

Für Unternehmen heißt das, sie brauchen eine umfassende IT-Governance, in der auch die sich stetig ändernden Anforderungen der Gesetzeslage und der Regulatorik abgebildet werden können. 

Ein gebräuchliches und weltweit anerkanntes Referenzmodell ist das IT-Governance-Framework COBIT (Control Objectives for Information and related Technology), welches als Basis für die Einführung und die Optimierung von IT-Governance dienen kann. Es wird vom IT-Governance-Institute und der Information Systems Audit and Control Association (ISACA) veröffentlicht. Bei COBIT handelt es sich um ein sehr umfassendes Framework, das auch Beschreibungen zu Überwachungsaktivitäten sowie eine Vielzahl an Kontrollzielen und Aktivitäten zur Überprüfung der Compliance-Einhaltung aufweist. 

Materna unterstützt Unternehmen bei der Awareness und Einordnung regulatorischer Definitionen im Kontext der IT-Governance in Unternehmen. 

Die Themen NIS2, Regulatorik, Governance, Risk & Compliance sind also eng miteinander verbunden. In unserem Ansatz betrachten wir das Zusammenwirken regulatorischer Definitionen, die Umsetzung und das Managen dieser Aspekte auf Grundlage von Best-Practices, die damit großen Einfluss auf das Risikomanagement und die damit verbundene Informationssicherheit haben. Die Erfahrung in diesem Bereich entstammt unserem langjährigen Engagement im regulierten Sektor und die damit erreichbaren Sicherheitsstandards. Sie sind jedoch auch eine ideale Blaupause für jede Unternehmens-IT, da dieser Ansatz Effizienz gewährleistet. 

Beratung, Implementierung, Betrieb und Schulung

• Beratung im Kontext der Regulatorik mit Fokus auf Security und Compliance
• Projektbezogene Beratung mit Analyse und Konzeption
• Betrieb hochverfügbarer und sicherer Infrastrukturen (Maßnahmen zur Aufrechterhaltung der Informationssicherheit im Betrieb, dazu gehört auch die Überwachung und Erfolgskontrolle),
• Unternehmensweite Change-Kommunikation über alle Ebenen hinweg
• Schulungen und Workshops, u.  für die Sensibilisierung der Mitarbeitenden

Absicherung von IT-Infrastruktur

• Risikoanalysen und Reifegrad-Checks (Readiness, Awareness) 
• Technisch-organisatorische Lösungen (Infrastructure as Code, SIEM, -SOC-,)
• Überwachungslösungen und Monitoring
• Unternehmensweite IT-Service-Management-Lösung
• Security- und Vulnerability-Management
• ISMS-Beratung
• GDPR/DSGVO-konforme IT-Infrastruktur nach Zero-Trust-Prinzip (Analyse, Maßnahmen, Umsetzung)
• Cloud Security im Rahmen von Cloud Migrationen (Analyse, Maßnahmen und Umsetzung)
• Komplexe Security-Architekturen (Design, Implementierung & Management)