So implementieren Sie NIS 2-Cybersicherheitsmaßnahmen: Zuordnung zu ISO 27001
Wenn Sie NIS 2 einhalten müssen, fragen Sie sich vielleicht, wie Sie dabei vorgehen sollen. Die Richtlinie beschreibt, was Sie erreichen müssen, gibt aber keine Anleitung dazu, wie Sie dies erreichen.
Eine der besten Möglichkeiten, diese Compliance-Aufgabe anzugehen, besteht darin, einem etablierten Cybersicherheitsrahmen zu folgen. In diesem Artikel werde ich untersuchen, ob ISO 27001, der führende internationale Cybersicherheitsstandard, dabei helfen kann, diese Anforderungen zu erfüllen.
ISO 27001 kann die meisten Cybersicherheitsanforderungen von NIS 2 abdecken, mit Ausnahme der Vorfallberichterstattung.
Welche Anforderungen an Cybersicherheit und Berichterstattung enthält NIS 2?
Schauen wir uns an, was Unternehmen umsetzen müssen. Interessanterweise sind nur drei Artikel der gesamten NIS-2-Richtlinie für wichtige Organisationen, die konform werden müssen, besonders relevant.
Artikel 20 – Governance
Artikel 21 – Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit
Artikel 23 – Meldepflichten
Alle anderen NIS 2-Artikel richten sich grundsätzlich an staatliche Stellen, die NIS 2 durchsetzen müssen.
Eine detaillierte Aufschlüsselung der Anforderungen aus Artikel 20 und 21 finden Sie in der folgenden Tabelle.
Ist ISO 27001 für NIS 2 relevant?
Obwohl NIS 2 ISO 27001 nicht explizit erwähnt, empfiehlt es die Verwendung „relevanter europäischer und internationaler Standards“. Darüber hinaus schlägt die Präambel von NIS 2 vor, die Normenreihe ISO/IEC 27000 zur Umsetzung von Cybersicherheitsmaßnahmen zu verwenden.
ISO 27001 genießt bei ENISA, der Agentur der Europäischen Union für Cybersicherheit, hohes Ansehen:
ENISA-Mapping-Tool: ENISA hat ein Tool entwickelt, das die Klauseln und Kontrollen von ISO 27001 den Anforderungen der ursprünglichen NIS-Richtlinie (dem Vorgänger von NIS 2) zuordnet.
Bericht 2017: Im Bericht „Mapping of OES Security Requirements to Specific Sectors“ (Zuordnung der OES-Sicherheitsanforderungen zu bestimmten Sektoren) identifizierte ENISA ISO 27001 als den am häufigsten befolgten Standard von Betreibern wesentlicher Dienste (OES), die die alte NIS-Richtlinie einhalten müssen.
Bericht 2021: Der Bericht „NIS Investments“ stellte fest, dass die Mehrheit der Organisationen (51,11 TP3T), die die alte NIS-Richtlinie einhalten, ihre Systeme und Prozesse auf der Grundlage der ISO 27001-Zertifizierung zertifiziert haben.
Unter Berücksichtigung dieser Punkte sowie der weltweiten Akzeptanz von ISO 27001 als ISO-Standard und seiner herausragenden Stellung in der ISO 27000-Reihe ist ISO 27001 eine logische Wahl für die Erreichung der NIS 2-Konformität.
Karte der NIS 2-Artikel mit ISO 27001-Klauseln und -Kontrollen
ISO 27001 und NIS 2: Geltungsbereich und Umsetzung
Von den 26 in NIS 2 festgelegten Cybersicherheitsanforderungen kann ISO 27001 25 abdecken. Die einzige Ausnahme ist das Krisenmanagement, das in ISO 27001 nicht umfassend abgedeckt ist.
Meldepflichten erfüllen
NIS 2 Artikel 23 schreibt spezielle Berichtspflichten vor, die mit ISO 27001 nicht vollständig erfüllt werden können.
Verwendung von ISO 27001 zur Einhaltung von NIS 2
Basierend auf der Zuordnung sind hier die Schritte, die mit ISO 27001 implementiert werden können:
- Durchführen einer Erstschulung
- Schreiben Sie eine Richtlinie auf höchster Ebene zur Informationssystemsicherheit
- Definieren Sie die Risikomanagementmethode
- Führen Sie eine Risikobewertung und Behandlung durch
- Erstellen und genehmigen Sie den Risikobehandlungsplan
- Implementieren Sie Cybersicherheitsmaßnahmen
- Einrichten der Lieferkettensicherheit
- Richten Sie eine Bewertung der Cybersicherheitseffektivität ein
- Kontinuierliche Schulungen zur Cybersicherheit einrichten
- Führen Sie regelmäßige interne Audits durch
- Führen Sie regelmäßige Managementprüfungen durch
- Korrekturmaßnahmen durchführen
Die Schritte 1 und 2 sind hier nicht aufgeführt, da sie sich auf das Projektmanagement konzentrieren. Schritt 11, „Einrichten von Vorfallbenachrichtigungen“, ist aus zuvor erläuterten Gründen nicht aufgeführt.
Zusammenfassung: NIS 2 vs. ISO 27001
Zusammenfassend lässt sich sagen, wie ISO 27001 zur Einhaltung von NIS 2 verwendet werden kann:
- ISO 27001 kann die meisten Cybersicherheitsanforderungen von NIS 2 erfüllen, mit Ausnahme der Meldung von Vorfällen.
- 12 von 15 Implementierungsschritten können mit ISO 27001 erreicht werden.
Dies ist eine starke Übereinstimmung und weist darauf hin, dass ISO 27001 eine solide Wahl für die NIS 2-Konformität ist, insbesondere angesichts der Tatsache, dass NIS 2 und ENISA die Verwendung etablierter Cybersicherheitsstandards fördern.
