Unser Kunde meint, die NIS2-Richtlinie betrifft uns – was ist das genau und ist das in Spanien Pflicht?

Der Ablauf sieht genau so aus: 1) Der große Hauptauftraggeber fällt direkt unter das NIS2-Gesetz. 2) Das Gesetz schreibt ihm vor: „Jede Sicherheitslücke deiner Zulieferer ist deine Lücke, also überprüfe sie.“ 3) Um seiner Pflicht nachzukommen, versucht der Auftraggeber nun, Sie dieses Formular unterschreiben zu lassen. Sie sind also nicht direkt vom Gesetz betroffen, sondern vertraglich.

Die technischen Anforderungen im Formular des Kunden sind meist Standard: VPN- und MFA-Pflicht beim Fernzugriff auf Server mit CAD/CAM-Konstruktionsdateien, aktuelle Endpoint-Security auf allen Mitarbeitergeräten und wöchentliche Offline-Backups. Wenn Sie nachweisen können, dass Sie diese vier Punkte erfüllen, kommen Sie problemlos durch die Prüfung.

Viele Unternehmen wiegen sich in Sicherheit, weil im Gesetz steht, dass Betriebe unter 50 Mitarbeitern ausgenommen sind – in der Praxis ist das aber ein Trugschluss. Wenn die großen Autokonzerne Ihnen den Vertrag vorlegen und sagen „Unterschreiben oder wir kaufen keine Teile mehr“, bringt Ihnen die gesetzliche Ausnahme geschäftlich überhaupt nichts.

Wir sind ein 25-köpfiges Team für Industrieautomation in Barcelona. Letzten Monat hat uns ein ähnlicher deutscher Kunde eine 40-Punkte-Verpflichtungserklärung zu NIS2 geschickt. Für das interne Logging und die Firewall-Konfiguration haben wir einem externen Experten 3.800 Euro bezahlt, die Lücken geschlossen und das Formular freigeben lassen.

Verlangt Ihr Kunde lediglich eine von der Geschäftsleitung unterzeichnete Selbsterklärung oder fordert er einen Pentest bzw. Auditbericht von einem akkreditierten externen IT-Sicherheitsdienstleister? Dieser Unterschied wirkt sich massiv auf Ihre operativen Kosten aus.

In Spanien stellt das Nationale Institut für Cybersicherheit (INCIBE) Leitfäden und Selbsteinschätzungs-Tools für Unternehmen in der Lieferkette bereit. Bevor Sie Ihrem Kunden antworten, empfiehlt es sich, die Mindestsicherheitsmaßnahmen in den KMU-Richtlinien des INCIBE zu prüfen.

Sie gehören zwar nicht zu der Gruppe, die direkt vom Gesetz mit Strafen belegt werden kann aber um den Kunden nicht zu verlieren müssen Sie die Mindestanforderungen aus dem Lastenheft zwingend umsetzen.

Als wir das erste Mal davon hörten, wirkte es auf uns auch wie unnötige EU-Bürokratie. Nachdem wir unsere Systeme auf Kundenwunsch jedoch überprüft hatten, stellten wir fest, dass unser interner Server völlig ungeschützt nach außen offenstand und Passwörter ehemaliger Mitarbeiter noch aktiv waren. So lästig der Zwang auch ist: Im Endeffekt bewahrt man das eigene Unternehmen vor einer Katastrophe.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Mich interessiert das auch.

Ich stimme zu, möchte das sogar besonders betonen. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Gut, dass du diesen Thread eröffnet hast. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Aus Erfahrung weiß ich das.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn deine Situation anders ist, ändert sich das natürlich.

Wie habt ihr das Problem gelöst? Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor. Wenn es jemand anders macht, würde mich das auch interessieren.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Fehler auf der NIS2-Richtlinie-Seite sind meist rückgängig zu machen aber teuer.

Schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Es gibt auch noch die Mess-Seite. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Das war's, entschuldige, wenn ich zu lang war.

Dabei gibt es einen sehr häufigen Fehler. halt nur weil alle es tun heißt es nicht, dass es richtig ist.

Nur als Notiz könnte nützlich sein.

Der am häufigsten übersehene Punkt bei NIS2-Richtlinie ist dieser: Wer bei NIS2-Richtlinie hetzt, stolpert alle an derselben Stelle.

Korrigiert mich, falls ich falsch liege.

Bei NIS2-Richtlinie ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Das allein zu versuchen, ist der teuerste Weg.

Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.