Wenn eine Organisation mit der Anpassung an die NIS2 beginnt, lautet eine der ersten Fragen oft:
„Welche Software muss ich implementieren?
Die Frage erscheint logisch.
Aber das ist eigentlich die falsche Frage. Die NIS2 erfordert keine konkreten Werkzeuge. Sie erfordert organisatorische und technische Kapazitäten:
✔ Risikomanagement
✔ Incident Management
✔ Sicherheit der Lieferkette
✔ Business Continuity
✔ Zugriffsmanagement
✔ Richtlinien und Verfahren
✔ Beweise und Rückverfolgbarkeit
✔ Überprüfung und kontinuierliche Verbesserung
Dies ist einer der häufigsten Fehler: die Suche nach einem einzigen Tool, das alles abdeckt.
Sie existiert nicht.
Die Realität sieht oft eher aus wie ein Ökosystem von Lösungen, die zusammenarbeiten.
Geräteverwaltung (MDM)
Man kann nicht schützen, was man nicht kennt. Bevor wir über Cybersicherheit sprechen, gibt es eine viel grundlegendere Frage:
Welche Geräte gibt es tatsächlich in Ihrem Unternehmen?
Ein MDM-System ermöglicht:
- Inventar der Ausrüstung
- Umsetzung der Politik
- Geräteverschlüsselung
- Fernverwaltung
- Versionskontrolle und Updates
Gängige Beispiele:
- Microsoft Intune
- Jamf
- VMware Arbeitsbereich ONE
- Kandji
- Factorial IT
Ohne Sichtbarkeit beginnt der Rest auf Sand gebaut zu werden.
Überwachung und Erkennung (SIEM)
Einen Vorfall spät zu entdecken ist oft viel teurer als ihn zu verhindern.
Organisationen erzeugen Tausende oder Millionen von Ereignissen:
- Zugang
- Änderungen
- Fehler
- verdächtige Aktivität
- Sicherheitsereignisse
Gängige Beispiele:
Endpunktschutz (EDR/XDR)
Der herkömmliche Virenschutz reicht nicht mehr aus.
Heute geht es nicht mehr nur um das Blockieren von Malware.
Der wirkliche Unterschied liegt in:
- Erkennen von abnormalem Verhalten
- Angriffe eindämmen
- Geräte isolieren
- schnell reagieren
Beispiele:
Identitäts- und Privilegienverwaltung (IAM / PAM)
Berechtigungsnachweise sind nach wie vor einer der Haupteinstiegspunkte für Vorfälle.
Dies impliziert:
- MFA
- Mindestprivilegien
- regelmäßige Überprüfungen
- Verwaltung privilegierter Benutzer
- Kontrolle von Registrierungen und Abmeldungen
Beispiele:
Management von Schwachstellen
Das Scannen nach Schwachstellen ist nicht genug.
Sie benötigen außerdem:
- Prioritätensetzung
- Zuteilung
- verfolgen.
- Rückverfolgbarkeit
Beispiele:
Sicherung und Wiederherstellung
Die NIS2 spricht ausdrücklich von Widerstandsfähigkeit.
Es reicht nicht aus, Backups zu haben.
Zu den zu beantwortenden Fragen gehören:
- Wie lange dauert es, sich zu erholen?
- Was haben wir zu verlieren?
- Sollen wir die Kopien testen?
- Gibt es ein dokumentiertes Verfahren?
Beispiele:
Management von Drittanbietern und Lieferketten
Eine der größten Änderungen in NIS2 ist, dass die Sicherheit nicht mehr bei Ihrem Unternehmen endet.
Es reicht auch:
- Anbieter
- Partner
- Unterlieferanten
- Cloud-Dienste
Beispiele:
Schulung und Sensibilisierung
Technologie allein beseitigt die Risiken nicht.
Viele Vorfälle sind weiterhin menschlichen Ursprungs:
- Phishing
- schwache Passwörter
- Bedienungsfehler
- Kunstfehler
Beispiele:
Das am wenigsten sichtbare Problem
Viele Organisationen verfügen über Tools:
✔ SIEM
✔ EDR
✔ MDM
✔ Backups
✔ Unternehmensverzeichnis
Aber dann:
- Risiken leben in Excel
- Richtlinien befinden sich in gemeinsamen Ordnern
- Lieferanten werden per Post verwaltet
- Vorfälle sind auf Tickets und Dokumente verteilt
- Die Beweise sind verstreut
Und wenn eine Prüfung ansteht, kommt immer die gleiche Frage: „Wo sind die Beweise?
Denn das Problem ist meist nicht ein Mangel an Werkzeugen.
Das Problem ist oft ein Mangel an Governance.
Die Ebene, die normalerweise fehlt
Hier bietet eine Governance- und Compliance-Plattform einen echten Mehrwert.
Bei Ithikios arbeiten wir genau auf dieser Ebene:
✔ Risikomanagement
✔ Management von Vorfällen
✔ Management von Dritten
✔ Richtlinien und Verfahren
✔ Trust Centre
✔ Whistleblowing-Kanal
✔ Beweise und Rückverfolgbarkeit
Ithikios ist nicht dazu gedacht, spezialisierte Tools wie ein SIEM, ein EDR oder ein MDM zu ersetzen.
Ihre Aufgabe ist es, verstreute Teile zu verbinden und isolierte Informationen in ausführbare und überprüfbare Prozesse zu verwandeln. Denn die eigentliche Herausforderung besteht in der Regel nicht darin, zu wenige Tools zu haben. Sie besteht darin, sie alle miteinander zu verbinden.
