02 / Compliance und Zertifizierung
NIS-2, gelesen entlang Ihrer tatsächlichen Abläufe
Wir helfen Ihnen zu klären, ob die Richtlinie Sie erfasst, wo Ihre Sicherheitsmaßnahmen dahinter zurückbleiben und wie Sie der Aufsicht zeigen, dass die Arbeit erledigt ist und weiterläuft.
Überblick
Was die NIS-2-Richtlinie von Ihnen verlangt
Die NIS-2-Richtlinie, Richtlinie (EU) 2022/2555, legt Cybersicherheitspflichten für wesentliche und wichtige Einrichtungen in zahlreichen Sektoren fest. Kurz gesagt: geeignete Risikomanagementmaßnahmen ergreifen, erhebliche Sicherheitsvorfälle fristgerecht an die Behörden melden und die Leitungsorgane für beides in die Verantwortung nehmen.
Als Richtlinie wirkt NIS-2 über nationales Recht. Jeder Mitgliedstaat erlässt ein eigenes Gesetz, benennt eigene Behörden und regelt Einzelheiten wie Registrierung und Aufsicht. Was Sie schulden, hängt davon ab, wo Sie tätig sind und in welchem Sektor. Dort fangen wir an.
Black Fox ist keine Kanzlei, keine Aufsichtsbehörde und keine staatliche Stelle. Wir erledigen die Sicherheitsarbeit, die das Gesetz beschreibt, und halten die Nachweise in Ordnung. Rechtsfragen zu Ihrer Einstufung gehören zu Ihrer Rechtsberatung, mit der wir gern zusammenarbeiten.
Für wen es gedacht ist
Mittlere und große Organisationen in den Sektoren, die die Richtlinie nennt, sowie einzelne kleinere, die ein Mitgliedstaat direkt bestimmt. Außerdem Zulieferer, die selbst nicht erfasst sind, deren Kunden aber inzwischen in jedem Vertrag nach NIS-2 fragen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Betroffenheitsprüfung
Wir gleichen Ihre Tätigkeiten, Sektoren und Mitgliedstaaten mit der Richtlinie und den nationalen Gesetzen ab, damit Sie wissen, ob Sie voraussichtlich eine wesentliche oder wichtige Einrichtung sind oder keine von beiden.
Gap-Analyse
Eine Prüfung Ihrer Maßnahmen gegen die Risikomanagementmaßnahmen der Richtlinie, unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Zugriffskontrolle, Kryptografie und Umgang mit Schwachstellen.
Meldeprozess
Ein Ablauf, der festlegt, was als erheblich gilt, wer entscheidet und wer Frühwarnung, Meldung und Abschlussbericht rechtzeitig an die Behörde schickt.
Sicherheit der Lieferkette
Ein Blick auf Ihre direkten Lieferanten und Dienstleister: welche relevant sind, was Ihre Verträge zur Sicherheit sagen und wie Sie prüfen, dass es eingehalten wird.
Schulung der Leitung
Schulungen für die Leitungsorgane, die die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen müssen. Klare Sprache, echte Szenarien, keine Folien voller Artikel.
Nachweise
Richtlinien, Verzeichnisse und Aufzeichnungen so geordnet, dass sich eine Anfrage der Aufsicht aus einem Ordner beantworten lässt und nicht aus dem Gedächtnis.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, beteiligte Gesellschaften und Länder sowie Ansprechpartner und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Betroffenheit und Kontext
Wir erfassen, was Sie wo und für wen tun, und legen die voraussichtliche Einstufung samt offener Fragen für Ihre Rechtsberatung dar.
Gap-Analyse
Interviews, Dokumentenprüfung und technische Stichproben, am Ende ein Bericht mit Lücken nach Risiko und Aufwand geordnet.
Begleitung der Umsetzung
Wir arbeiten mit Ihren Verantwortlichen an den Lücken: Maßnahmen, Dokumente, Meldeprozess und Anforderungen an Lieferanten.
Übung und Schulung
Eine Meldeübung entlang der Fristen und eine Schulung für die Leitungsorgane.
Übergabe und Nachbetreuung
Empfehlungen, ein Management-Bericht mit Risikobewertung und ein technischer Bericht, danach auf Wunsch Begleitung, während sich die nationalen Regeln festigen.
Was Sie erhalten
- Einschätzung zur Betroffenheit mit offenen Fragen für Ihre Rechtsberatung
- Gap-Analyse gegen die Risikomanagementmaßnahmen
- Priorisierter Maßnahmenplan
- Meldeverfahren und Entscheidungshilfe
- Sicherheitsanforderungen an Lieferanten und Prüfprotokoll
- Schulungsunterlagen für die Leitung und Teilnahmenachweis
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Sind wir betroffen?
Das hängt von Ihrem Sektor, Ihrer Größe und dem nationalen Recht jedes Mitgliedstaats ab, in dem Sie tätig sind. Wir liefern eine begründete Einschätzung und benennen die Punkte, die eine rechtliche Bewertung brauchen. Die abschließende Einstufung liegt bei Ihnen, Ihrer Rechtsberatung und gegebenenfalls der Behörde.
Wie schnell müssen wir einen Vorfall melden?
Die Richtlinie sieht für erhebliche Sicherheitsvorfälle gestufte Fristen vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Das nationale Recht kann Weg und Empfänger näher regeln.
Gibt es ein NIS-2-Zertifikat?
Nicht als solches. NIS-2 wird von nationalen Behörden beaufsichtigt, nicht zertifiziert. Eine Zertifizierung wie ISO/IEC 27001 deckt vieles davon ab und ist ein guter Nachweis, ersetzt die nationalen Pflichten aber nicht.
Warum muss sich die Geschäftsleitung beteiligen?
Weil die Richtlinie es verlangt. Die Leitungsorgane billigen die Risikomanagementmaßnahmen, überwachen ihre Umsetzung und können verantwortlich gemacht werden, wenn das nicht geschieht. Die Arbeit lässt sich delegieren, die Verantwortung nicht.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Governance und RisikoLieferantenrisikomanagementLieferantenrisikomanagement mit Black Fox Security: Inventar, Einstufung, Fragebögen, Prüfung von Nachweisen und Vertragsklauseln, ausgerichtet an NIS2 und DORA.
- Beratung und ReaktionDigitale Forensik und Incident ResponseDFIR von Black Fox Security: Analyse nach Vorfällen, Netzwerk- und Datenträgerforensik, Reverse Engineering, Datenrettung, Notfallpläne und Planspiele.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
Klären Sie, wo Sie stehen
Sagen Sie uns, was Sie tun und wo. Wir sagen Ihnen, was NIS-2 voraussichtlich von Ihnen verlangt und was noch fehlt.