NIS2-Konformitätsprogramm

Aufgaben in dieser Vorlage

1. 1
   Einstufung der Einrichtung (wesentlich oder wichtig) und sektorale Reichweite bestimmen D+2

   NIS2 Art. 2 und Anhang I/II: Einstufung hängt von Sektor und Größe ab. Klären, ob Selbstregistrierung bei der zuständigen nationalen Behörde erforderlich ist.

2. 2
   Verantwortung der Geschäftsleitung für das Cybersicherheits-Risikomanagement festlegen D+5
3. 3
   Rahmenwerk für das Cybersicherheits-Risikomanagement aufbauen D+7

   NIS2 Art. 21 Abs. 1: Leitungsorgane müssen Cybersicherheits-Risikomanagementmaßnahmen billigen und überwachen. Verstöße können persönliche Haftung auslösen (Art. 20).

4. 4
   Risikobewertung der Netz- und Informationssysteme durchführen D+10
5. 5
   Richtlinien zur Risikoanalyse und Sicherheit der Informationssysteme dokumentieren D+14
6. 6
   Verfahren zur Bewältigung von Sicherheitsvorfällen definieren und dokumentieren D+17

   NIS2 Art. 23: Frühwarnung binnen 24 Std., Vorfallmeldung binnen 72 Std., Abschlussbericht innerhalb eines Monats nach der Vorfallmeldung.

7. 7
   Geschäftskontinuitäts- und Krisenmanagementpläne etablieren D+21
8. 8
   Backup-Management- und Wiederherstellungsverfahren umsetzen D+24
9. 9
   Cybersicherheitsrisiken der Lieferkette bewerten und steuern D+28

   NIS2 Art. 21 Abs. 2 lit. d und Abs. 3: Sicherheitsaspekte in Lieferantenbeziehungen einbeziehen und die Gesamtqualität sowie Belastbarkeit der Cybersicherheitspraktiken der Lieferanten bewerten.

10. 10
    Sichere Beschaffung, Entwicklung und Wartung von Systemen umsetzen D+31
11. 11
    Verfahren zur Schwachstellenbehandlung und -offenlegung implementieren D+35
12. 12
    Richtlinien für Kryptografie und Verschlüsselung definieren und umsetzen D+38

    NIS2 Art. 21 Abs. 2 lit. h: Richtlinien zu Kryptografie und ggf. Verschlüsselung müssen Daten in Übertragung und im ruhenden Zustand abdecken.

13. 13
    Personalsicherheit, Zugriffskontrolle und Asset-Management umsetzen D+42
14. 14
    Mehrfaktor-Authentifizierung und gesicherte Kommunikation einführen D+45
15. 15
    Cybersicherheitsschulungen für Leitung und Beschäftigte durchführen D+49

    NIS2 Art. 20 Abs. 2: Leitungsorgane müssen an Schulungen teilnehmen und ähnliche Schulungen in ihren Einrichtungen regelmäßig fördern.

16. 16
    Richtlinien zum Einsatz von Kryptografie im gesamten Bestand etablieren D+52
17. 17
    Meldekanal zum nationalen CSIRT einrichten und testen D+56
18. 18
    Tabletop-Übung zur Validierung der Incident-Response-Fähigkeit durchführen D+59
19. 19
    Unabhängige Prüfung der Maßnahmen einplanen D+63
20. 20
    Dem Leitungsorgan über die Wirksamkeit der Maßnahmen berichten D+70