NIS2-Verordnung: Man hat uns gesagt, dass wir darunter fallen, wie kann ich die Lage in Italien überprüfen?

Bevor Sie sofort teure Beratungen beauftragen, prüfen Sie die Punkte des vom Kunden geschickten Formulars mit Ihrem technischen Team. In der Regel verlangen sie Multi-Faktor-Authentifizierung regelmäßige Datensicherung, Endpunktsicherheit und Verschlüsselung. Das ist ohnehin grundlegende Sicherheitshygiene, ein Großteil davon lässt sich mit vertretbarem Budget lösen.

Im NIS2-Text sind die Themen, die bei Lieferanten am meisten betont werden, Zugriffsverwaltung und Vorfallreaktionspläne. Von Ihnen werden sie wahrscheinlich einen Mechanismus verlangen, mit dem Sie eine mögliche Kompromittierung in Ihrem Netz innerhalb von 24 Stunden erkennen und melden können. Wenn die CNC-Maschinen in Ihrer Produktionshalle im selben lokalen Netz wie das Büronetz sind, müssen Sie als Erstes mit der Netzsegmentierung beginnen.

Wir sind ein Teilezulieferer mit 55 Mitarbeitern, unser Umsatz liegt bei etwa 11 Millionen Euro. Unser Hauptkunde in Italien hat vor einem halben Jahr ein ähnliches Audit verlangt. Externe Unterstützung zu holen und die Systeme standardkonform zu machen, hat uns rund 18.000 Euro und drei Monate Arbeit gekostet, aber wir haben den Hauptvertrag nicht verloren.

Große Unternehmenskunden versuchen dieser Tage im NIS2-Panikmodus, ihre eigenen rechtlichen Pflichten auf ihre Subunternehmer abzuwälzen. Nicht jeder Punkt in dem Formular, das sie euch schicken, ist rechtlich verpflichtend. In der italienischen Verordnung steht, dass Zulieferer nach dem Verhältnismäßigkeitsprinzip bewertet werden müssen. Verhandelt, indem ihr für Punkte, die eure Kapazität übersteigen, alternative Sicherheitsmaßnahmen vorschlagt.

acn hat auf der offiziellen seite so ne art umfrage-ratgeber veröffentlicht wenn man seinen ateco-code eingibt sagt er einem direkt ob man im scope ist. aber wenn der kunde druck macht ist der code leider ziemlich egal wenn sies nicht wollen verlängern sies nicht.

Es ist klar, dass Ihr Unternehmen mit 68 Mitarbeitern und 14 Millionen Euro Umsatz in die Kategorie der mittleren Unternehmen fällt. Organisationen, die kritische Teile für den Energiesektor liefern, werden erwartet, dass sie sich indirekt an die Vorschriften zur Lieferkettensicherheit halten, auch wenn sie direkt außerhalb des Anwendungsbereichs bleiben. Wir empfehlen Ihnen, das betreffende Formular sorgfältig auszufüllen und Ihre Unternehmensunterlagen bereitzuhalten.

Die Schritte, die Sie jetzt unternehmen sollten, sind folgende: 1) Bestätigen Sie Ihren offiziellen Anwendungsbereich über das ACN-Portal mit Ihrem ATECO-Code, 2) Listen Sie die fehlenden Punkte in der Kundenumfrage nach Dringlichkeit auf und erstellen Sie ein Budget, 3) Statt dem Kunden sofort eine Absage zu erteilen, gewinnen Sie Zeit, indem Sie eine sechsmonatige Roadmap mit Sicherheitsverbesserungen vorlegen.

Vor zwei Jahren hatten wir eine ähnliche Situation mit einem deutschen Hersteller im Rahmen eines Qualitätszertifizierungsprozesses. Anfangs kam es uns sehr unnötig und belastend vor, aber als wir diese Regelungen umsetzten und die interne Sicherheit verschärften, haben wir sowohl Datenverluste innerhalb des Unternehmens verhindert als auch dies als starke Referenz genutzt, als wir anderen großen Firmen Angebote machten.

Da hast du recht. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später. Das war's entschuldige wenn ich zu lang war.

Du hast recht.

In der Theorie stimmt das, in der Praxis läuft es nicht so. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn es jemand anders macht, würde mich das auch interessieren.

Bei uns war es so. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Ein automatisierter Scan-Report ist kein Penetrationstest. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Bei uns war es so. also wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Viel Erfolg.

Das habe ich auch erlebt.

Ich schreibe mal meine Erfahrung auf... also die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Nur als Notiz, könnte nützlich sein.

Dem kann ich nicht ganz zustimmen... Die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Bei nis2 verordnung ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Das war's entschuldige, wenn ich zu lang war.