Uns wurde gesagt, wir seien von NIS2 betroffen — Sind wir in Spanien verpflichtet und was müssen wir tun?

Der technisch heikelste Punkt in solchen Formularen ist meistens die Netzwerksegmentierung und Zugriffskontrolle. Wenn Sie dem Energieversorger Teile oder Fernwartung liefern, müssen Sie nachweisen können, dass Ihre Produktionslinie komplett vom normalen Büronetz und von öffentlich erreichbaren Servern getrennt ist.

Nehmen Sie sich den Bogen morgen vor und teilen Sie ihn in drei Stapel: Dinge, die Sie schon haben, Dinge, die sich per Konfiguration in 14 Tagen lösen lassen und Baustellen, die Budget kosten. Die ersten beiden Gruppen füllen Sie direkt aus und für den Rest legen Sie dem Kunden einen realistischen Zeitplan vor. In den meisten Fällen reicht dieses Vorgehen völlig aus, um den Vertrag abzusichern.

Letzten Monat hat uns ein Logistikkunde aus Barcelona ein ganz ähnliches Dokument geschickt. Ein externer Berater wollte dafür 12.000 EUR Audit-Kosten haben. Wir haben uns dann direkt mit dem Sicherheitsbeauftragten des Kunden an einen Tisch gesetzt und festgestellt, dass die eigentlich nur eine grundlegende Cyber-Awareness-Schulung für die Mitarbeiter und eine Pflicht für Passwortmanager wollten; intern haben wir das Ganze dann für 600 EUR geregelt.

Selbst wenn Sie gesetzlich direkt davon befreit sind: Das Lastenheft eines Firmenkunden gilt wie Gesetz. Erfüllen Sie die Anforderungen nicht, sind Sie bei der Ausschreibung raus.

Wird in dem Schreiben lediglich ein Fragebogen zur Selbsteinschätzung verlangt oder fordert man einen unabhängigen Auditbericht eines Dritten bzw. einen Konformitätsnachweis nach dem Esquema Nacional de Seguridad (ENS)? Dieses Detail ändert Ihr Budget grundlegend.

Während die Umsetzung von NIS2 in nationales spanisches Recht noch nicht mal richtig steht werfen die Großkonzerne ihre Standard-Auditbögen schon über sämtliche Zulieferer ab. Das ist der typische Reflex kleine Betriebe zu überfahren nur um sich selbst abzusichern – die meisten Punkte kann man aber problemlos verhandeln.

Das sind die 3 kritischen Sicherheitspunkte, die Sie schnellstmöglich abdecken sollten: 1) Verpflichtende Zwei-Faktor-Authentifizierung für alle Fernzugriffe und E-Mails, 2) Eine verschlüsselte und physisch getrennte Backup-Routine, 3) Ein schriftliches Verfahren, das garantiert, dass Zugriffsrechte ausscheidender Mitarbeiter von Zulieferern sofort entzogen werden.

Es ist manchmal echt zermürbend, wenn man als kleiner Betrieb mit 30–40 Leuten so behandelt wird, als würde man ein Atomkraftwerk betreiben. Aber sehen Sie es mal so: Wenn man diese Prozeduren einmal hinter sich hat wird das zu einem enormen Verkaufsvorteil gegenüber der Konkurrenz.

Ich stimme voll und ganz zu. Ein nicht getestetes Backup ist kein Backup.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

das hört man oft, aber bei uns war es nie so. übriegns jeder nicht schriftlich festgehaltene Punkt ist einer an den sich beide Parteien später unterschiedlich erinnern.

aus Erfahung weiß ich das.

Ein Thema das gerade aktuell ist.

Wenn wir ins Detail gehen: Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn deine Situation anders ist ändert sich das natürlich.

Das hier Beschriebene ist genau das, was wir erlebt haben. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn deine Situation anders ist, ändert sich das natürlich.

Richtig. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird... übrigens menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Nur als Notiz könnte nützlich sein.

Hier ist etwas zu beachten. Scheut euch nicht zu fragen wer nicht fragt, zahlt am Ende mehr.

An deiner Stelle würde ich so vorgehen.