Die NIS-Richt­li­nie 2 sieht kei­ne Zer­ti­fi­zie­rung vor. Im Ein­zel­fall kön­nen jedoch Nach­wei­se von den natio­na­len Auf­sichts­be­hör­den ver­langt wer­den. Unter­neh­men, die bereits ein Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tem (ISMS) nach ISO 27001 imple­men­tiert haben, sind auf einem guten Weg, die Anfor­de­run­gen von NIS‑2 zu erfül­len, da es vie­le Über­schnei­dun­gen gibt.

Um die Anfor­de­run­gen von NIS‑2 zu erfül­len, ist ein nach­weis­lich funk­tio­nie­ren­des ISMS erfor­der­lich, das fol­gen­de The­men­be­rei­che adres­siert:

— Inci­dent Manage­ment: Prä­ven­ti­on, Erken­nung und Behand­lung von Cyber-Sicher­heits­vor­fäl­len

— Poli­ci­es: Ver­bind­li­che Vor­ga­ben zum Umgang mit Infor­ma­ti­ons­si­cher­heit und Risi­ko­ma­nage­ment

— Busi­ness Con­ti­nui­ty Manage­ment (BCM): Sicher­stel­lung der Geschäfts­kon­ti­nui­tät und Kri­sen­ma­nage­ment

— Sicher­heit in der Lie­fer­ket­te: Gewähr­leis­tung ange­mes­se­ner Cyber-Sicher­heit bei Lie­fe­ran­ten und Part­nern

— Audi­ting: Eta­blie­rung von KPIs inklu­si­ve Mes­sung der getrof­fe­nen Maß­nah­men und Akti­vi­tä­ten

— Ver­schlüs­se­lung: Ein­satz von Kryp­to­gra­fie

Pra­xis­tipp: Ein prag­ma­ti­scher Ansatz zur Vor­be­rei­tung auf NIS‑2 ist nach unse­rer Erfah­rung, sich an der ISO 27001 zu ori­en­tie­ren (Schaf­fung von Grund­la­gen) und dar­auf auf­bau­end die erwei­ter­ten Anfor­de­run­gen von NIS‑2 zu erfül­len.