NIS2-Richtlinie: die Auswirkungen im Projektmanagement

Die NIS2-Richtlinie ist eine EU-Richtlinie (offiziell als Richtlinie (EU) 2022/2555 bekannt), die die Sicherheit und Widerstandsfähigkeit von Netzwerk- und Informationssystemen in der EU verbessern soll.

Vor dem Hintergrund einer steigenden Abhängigkeit von digitalen Technologien zeigte die COVID-19-Pandemie auf, wie sensibel digitalisierte Gesellschaften auf unerwartete Risiken reagieren können. Im Zuge dessen prüfte die Europäische Kommission die vorherige NIS-Richtlinie (EU) 2016/1148.

Die nun vorliegende Überarbeitung und Ersetzung zielt darauf ab, ein hohes gemeinsames Cybersicherheitsniveau innerhalb der EU zu erreichen, indem der Geltungsbereich erweitert, die Anforderungen verstärkt und harmonisierte Sanktionen eingeführt werden. Die NIS2 trat im Januar 2023 in Kraft und die Mitgliedstaaten müssen sie bis Oktober 2024 in nationales Recht umsetzen.

Übersicht

Für Projektmanager in der EU, insbesondere in Schlüsselsektoren und bei Anbietern von Diensten der digitalen Infrastruktur, hat die NIS2-Richtlinie erhebliche Bedeutung:

• Erweiterte Verantwortlichkeiten

Die NIS2-Richtlinie erweitert die Definition der Betreiber wesentlicher Dienste und fügt die Kategorie der wichtigen Entitäten hinzu, was eine größere Bandbreite an Organisationen einschließt. Projektmanager in betroffenen Sektoren müssen sich der erweiterten Definition von “wesentlichen” und “wichtigen” Entitäten bewusst sein, da mehr Unternehmen als zuvor unter die Richtlinie fallen könnten und somit ein Augenmerk auf die Umsetzung der Richtlinie haben, um Compliance sicherzustellen.

• Risikomanagement im Fokus

NIS2 erfordert ein rigoroses Risikomanagement, das technische und organisatorische Maßnahmen zur Risikominimierung beinhaltet. Projektmanager müssen Risikobewertungen durchführen, Schutz- und Wiederherstellungsstrategien entwickeln und diese kontinuierlich überprüfen und verbessern, um den Anforderungen der NIS2-Richtlinie zu entsprechen.

• Incident Response und Meldepflichten

Die Richtlinie verschärft die Anforderungen an die Meldung von Sicherheitsvorfällen und die Reaktionsfähigkeit im Falle solcher Vorfälle. Projektmanager müssen effektive Prozesse für die Überwachung, Erkennung und Meldung von Cybersicherheitsvorfällen implementieren, dazu gehören Incident Response Pläne ein professionelles Incident Management. Es gibt strenge Meldepflichten für Vorfälle.

• Lieferkettensicherheit

Da die Richtlinie auch eine sichere Lieferkette fordert, müssen Projektmanager die Sicherheitsrisiken in ihrer Lieferkette klar identifizieren und steuern. Dies beinhaltet die Durchführung von Audits, das Aufstellen von vertraglichen Sicherheitsanforderungen und das kontinuierliche Monitoring der Cybersicherheitspraktiken von Lieferanten und Partnern.

• Schulung und Bewusstseinsbildung

Die Entwicklung einer Kultur der Cybersicherheit ist ein wesentlicher Aspekt der NIS2. Projektmanager müssen sicherstellen, dass ihre Projekte die erhöhten Sicherheitsanforderungen der NIS2 erfüllen, was möglicherweise bedeutet, dass sie in Sicherheitstechnologien und ‑prozesse investieren müssen. Sie spielen eine Schlüsselrolle bei der Schulung des Teams in Bezug auf Sicherheitsprotokolle und das Erkennen potenzieller Cyber-Bedrohungen.

• Zusammenarbeit mit Behörden

NIS2 fördert die Zusammenarbeit und den Informationsaustausch zwischen den EU-Mitgliedstaaten. Ein starker Fokus liegt auf der Zusammenarbeit mit nationalen Sicherheitsbehörden. Projektmanager müssen proaktiv Kontakt zu den entsprechenden Stellen aufbauen, um sicherzustellen, dass alle Vorgaben eingehalten und Informationen zu Sicherheitspraktiken und -vorfällen zeitnah übermittelt werden.

• Sanktionen und Haftung

Die Richtlinie sieht erhebliche Sanktionen für Nicht-Compliance vor, und Projektmanager könnten persönlich haftbar gemacht werden, insbesondere bei Fahrlässigkeit. Es ist wichtig, dass sie die rechtlichen Anforderungen verstehen und Maßnahmen ergreifen, um diese zu erfüllen und die Einhaltung der NIS2 in allen Phasen eines Projekts sicherzustellen.

• Datenschutz und integrierte Compliance

Projektmanager müssen die NIS2-Richtlinie im Kontext anderer Datenschutzgesetze wie der DSGVO betrachten. Eine integrierte Compliance-Strategie ist notwendig, um den ganzheitlichen Schutz von Daten und Informationssystemen zu gewährleisten.

Erweiterter Geltungsbereich

Projektmanager müssen sich der erweiterten Definition von “wesentlichen” und “wichtigen” Entitäten bewusst sein, da mehr Unternehmen als zuvor unter die Richtlinie fallen könnten.

Die NIS2-Richtlinie führt eine erweiterte Definition und Kategorisierung von „wesentlichen“ und „wichtigen“ Entitäten ein, die stärker auf die Risikoprofile und die Bedeutung für die gesellschaftliche und wirtschaftliche Stabilität innerhalb der EU abzielt. Diese Erweiterung ist entscheidend, um ein höheres Niveau an Cybersicherheit über eine breitere Palette von Sektoren und Diensten zu gewährleisten.

Wesentliche Entitäten

Unter „wesentlichen Entitäten“ versteht die NIS2-Richtlinie Organisationen, deren Dienste entscheidend für das Funktionieren kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten sind. Diese enthalten:

• Sektoren wie Energie, Transport, Bankwesen, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt, und mehr. Diese Sektoren wurden bereits unter der älteren NIS-Richtlinie abgedeckt, aber mit NIS2 wird der Umfang teilweise erweitert.
• Die Kriterien für die Einstufung als wesentliche Entität sind strenger und beziehen sich oft auf die Größe der Organisation, die Art der Dienstleistung, und die potenziellen Auswirkungen eines Ausfalls oder einer Störung dieser Dienste auf die öffentliche Sicherheit, Gesundheit oder wirtschaftliche Stabilität.

Wichtige Entitäten

„Wichtige Entitäten“ sind solche, die ebenfalls wichtige Dienstleistungen anbieten, aber deren Ausfall wahrscheinlich weniger schwerwiegende direkte Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Aktivitäten hat als die von wesentlichen Entitäten. Dies könnte beispielsweise kleinere Organisationen oder solche in weniger kritischen Sektoren umfassen, die jedoch immer noch eine wesentliche Rolle in der Wirtschaftskette oder im öffentlichen Dienst spielen.

• Zu den relevanten Sektoren zählen Hersteller von kritischen Produkten, digitale Anbieter wie soziale Netzwerke und Datenverarbeitungsdienste.
• Die Kriterien hier können sich auf die Marktstellung, spezifische Risiken der Dienste, und die Abhängigkeit anderer Sektoren von ihren Dienstleistungen beziehen.

Ziel der Erweiterung

Das Ziel dieser erweiterten Definitionen und der Einbeziehung mehrerer Sektoren und Entitätstypen ist es, eine robustere und umfassendere Sicherheitslandschaft in der EU zu schaffen. Dies erhöht die Resilienz gegenüber Cyber-Angriffen und anderen Sicherheitsbedrohungen, indem ein breiteres Spektrum von Organisationen in die Pflicht genommen wird, höhere Sicherheitsstandards einzuhalten und effektiv auf Vorfälle zu reagieren.

Risikomanagement

Projektmanager müssen Risikomanagementpraktiken anwenden und aktualisieren, um den Anforderungen der NIS2-Richtlinie zu entsprechen.

Um den Anforderungen der NIS2-Richtlinie zu entsprechen, müssen Projektmanager wirksame Risikomanagementpraktiken implementieren, die auf die Identifikation, Bewertung, Steuerung und Überwachung von Cybersicherheitsrisiken ausgerichtet sind. Hier sind einige typische Risikomanagementpraktiken, die in diesem Kontext angewendet werden sollten:

Risiko-Assessment

• Identifikation von Risiken: Systematische Identifikation von potenziellen Sicherheitsrisiken, die die Organisation betreffen könnten. Dies beinhaltet die Analyse von Bedrohungen, Schwachstellen und möglichen Auswirkungen auf die Betriebsabläufe.
• Risikobewertung: Bewertung der identifizierten Risiken in Bezug auf ihre Eintrittswahrscheinlichkeit und potenzielle Auswirkungen, um Prioritäten für die Risikominderung festzulegen.

Risikominderungsstrategien

• Implementierung von Sicherheitsmaßnahmen: Entwicklung und Umsetzung von technischen und organisatorischen Maßnahmen, um identifizierte Risiken zu minimieren. Dies kann den Einsatz von Firewalls, Verschlüsselungstechniken, Zugriffskontrollen und anderen Sicherheitstechnologien einschließen.
• Redundanz und Resilienz: Aufbau von Systemen und Prozessen, die auch im Falle eines Angriffs oder Ausfalls weiterhin funktionieren können.

Risikoüberwachung und -berichterstattung

• Kontinuierliche Überwachung: Regelmäßige Überprüfung der Sicherheitslage und der Effektivität der implementierten Sicherheitsmaßnahmen.
• Berichterstattung: Erstellung von regelmäßigen Berichten über den Status der Cybersicherheit, die an das Management und gegebenenfalls an zuständige Behörden weitergeleitet werden.

Incident Management

• Incident Response Plan: Entwicklung eines Plans zur Reaktion auf Sicherheitsvorfälle, der klare Richtlinien für das Vorgehen im Falle eines Vorfalls enthält.
• Notfallübungen: Durchführung regelmäßiger Übungen zur Überprüfung der Wirksamkeit des Incident Response Plans und zur Schulung des Personals im Umgang mit Sicherheitsvorfällen.

Compliance und Dokumentation

• Einhalten gesetzlicher Anforderungen: Sicherstellung, dass alle Aktivitäten im Einklang mit der NIS2-Richtlinie und anderen relevanten Gesetzen und Vorschriften stehen.
• Dokumentation: Führen detaillierter Aufzeichnungen über Risikomanagementaktivitäten, Entscheidungen und Vorfälle, um Compliance nachzuweisen und als Grundlage für zukünftige Verbesserungen zu dienen.

Schulung und Bewusstsein

• Mitarbeiterschulungen: Regelmäßige Schulungen für alle Mitarbeiter zur Sensibilisierung für Cybersicherheitsrisiken und zur Schulung in Sicherheitsprotokollen und -praktiken.
• Förderung der Sicherheitskultur: Aufbau einer starken Sicherheitskultur, in der Sicherheit als gemeinsame Verantwortung aller betrachtet wird.

Diese Praktiken bieten eine umfassende Basis für ein effektives Risikomanagement, das nicht nur die Einhaltung der NIS2-Richtlinie sichert, sondern auch die allgemeine Sicherheit und Resilienz der Organisation stärkt.

Meldepflichten

Es gibt strenge Meldepflichten für Vorfälle. Projektmanager müssen effektive Prozesse für die Überwachung, Erkennung und Meldung von Cybersicherheitsvorfällen implementieren.

Die Implementierung effektiver Prozesse für die Überwachung, Erkennung und Meldung von Cybersicherheitsvorfällen erfordert eine strategische Herangehensweise, die auf besten Praktiken und Standards basiert. Hier sind einige Schlüsselschritte, die Projektmanager und IT-Teams befolgen sollten, um diese Prozesse in ihren Organisationen zu etablieren:

Richtlinien und Verfahren etablieren

• Erstellen Sie eine Cybersicherheitsrichtlinie, die klare Anweisungen für die Überwachungs-, Erkennungs- und Meldeverfahren enthält.
• Definieren Sie Verantwortlichkeiten innerhalb der Organisation für die Ausführung und Überwachung dieser Prozesse.

Überwachung und Erkennung

• Setzen Sie fortgeschrittene Überwachungssysteme ein, die Netzwerkverkehr, Systemleistung und Benutzeraktivitäten kontinuierlich analysieren, um Anomalien zu identifizieren.
• Implementieren Sie ein Security Information and Event Management (SIEM)-System, das Log-Daten zentralisiert und fortgeschrittene Bedrohungsanalyse und -erkennung ermöglicht.
• Nutzen Sie Threat Intelligence, um aktuelle Bedrohungsinformationen zu verstehen und Erkennungsmechanismen entsprechend anzupassen.

Incident Response Plan

• Entwickeln Sie einen Incident Response Plan (IRP), der die Schritte für die Reaktion auf Sicherheitsvorfälle detailliert beschreibt.
• Richten Sie ein Incident Response Team (IRT) ein, das für die Ausführung des IRP verantwortlich ist.

Meldung von Vorfällen

• Definieren Sie Meldeschwellen und -verfahren, damit Sicherheitsvorfälle innerhalb der gesetzlich vorgegebenen Fristen an die zuständigen Behörden gemeldet werden.
• Stellen Sie sicher, dass Sie über die Kontaktdaten der zuständigen nationalen Cyber-Sicherheitsbehörde verfügen und wissen, wie und wann Sie Vorfälle melden müssen.

Schulung und Bewusstseinsbildung

• Trainieren Sie das Personal in Bezug auf die Bedeutung von Cybersicherheit und wie man Vorfälle identifiziert und meldet.
• Führen Sie regelmäßig Sicherheitsschulungen und -übungen durch, um das Personal auf reale Vorfälle vorzubereiten.

Testen und Übungen

• Führen Sie regelmäßige Tests und Übungen durch, um die Wirksamkeit Ihrer Überwachungs-, Erkennungs- und Meldesysteme zu bewerten.
• Nutzen Sie Penetrationstests und Red-Team-Übungen, um Schwachstellen zu identifizieren und die Reaktion auf tatsächliche Angriffe zu testen.

Kontinuierliche Verbesserung

• Implementieren Sie einen Prozess für die kontinuierliche Bewertung und Verbesserung der Überwachungs-, Erkennungs- und Meldeverfahren.
• Bewerten Sie regelmäßig die Cybersicherheitslandschaft und passen Sie Ihre Strategien und Werkzeuge entsprechend an.

Dokumentation

• Halten Sie detaillierte Aufzeichnungen über alle Sicherheitsvorfälle und Reaktionen, um Lehren zu ziehen und die Compliance zu gewährleisten.
• Stellen Sie sicher, dass alle Prozesse und Verfahren gut dokumentiert sind und dem gesamten relevanten Personal zugänglich gemacht werden.

Diese Prozesse sollen nicht nur die Einhaltung der NIS2-Richtlinie gewährleisten, sondern auch die allgemeine Cybersicherheitspostur der Organisation stärken und die Fähigkeit verbessern, auf Sicherheitsvorfälle schnell und effektiv zu reagieren.

Bewertung der Lieferkette

Da die Richtlinie auch eine sichere Lieferkette fordert, müssen Projektmanager die Cybersicherheit ihrer Lieferanten und Partner bewerten und verwalten.

Die Bewertung und Verwaltung der Cybersicherheit von Lieferanten und Partnern ist ein kritischer Aspekt des Risikomanagements, der sich direkt auf die Sicherheit und Widerstandsfähigkeit der eigenen Organisation auswirkt. Projektmanager können folgende Maßnahmen ergreifen, um sicherzustellen, dass die Lieferkette die Cybersicherheitsanforderungen erfüllt:

Due Diligence und Risikobewertung

• Durchführung von Sicherheitsaudits: Bevor Lieferanten und Partner ausgewählt werden, sollten durch Audits und Bewertungen die Sicherheitspraktiken und -richtlinien überprüft werden.
• Risikobewertung: Identifizieren Sie spezifische Risiken, die sich aus der Zusammenarbeit mit jedem Lieferanten oder Partner ergeben könnten, einschließlich der Abhängigkeit von Dritten und Unterlieferanten.

Vertragliche Vereinbarungen

• Sicherheitsanforderungen in Verträge aufnehmen: Definieren Sie klare Sicherheitsanforderungen und -standards, die von Lieferanten und Partnern erfüllt werden müssen.
• Recht auf Audit: Sichern Sie sich das Recht, Sicherheitsaudits durchzuführen oder durchführen zu lassen, um die Einhaltung der Sicherheitsstandards zu überprüfen.

Kontinuierliche Überwachung

• Regelmäßige Überprüfung: Führen Sie regelmäßige Überprüfungen der Sicherheitsmaßnahmen Ihrer Lieferanten und Partner durch.
• Monitoring von Schwachstellen: Achten Sie auf neu entdeckte Schwachstellen, die sich auf Produkte oder Dienstleistungen Ihrer Lieferkette auswirken könnten.

Incident Response und Meldewesen

• Incident-Response-Verfahren: Stellen Sie sicher, dass Ihre Lieferanten und Partner über effektive Verfahren zur Erkennung und Reaktion auf Sicherheitsvorfälle verfügen.
• Meldewesen: Vereinbaren Sie Verfahren für das schnelle Melden von Sicherheitsvorfällen, die Ihre Organisation betreffen könnten.

Schulung und Sensibilisierung

• Schulung der Lieferanten: Fordern Sie, dass Ihre Lieferanten und Partner ihre Mitarbeiter in Bezug auf Cybersicherheit schulen.
• Teilen von Best Practices: Teilen Sie Informationen über bewährte Sicherheitspraktiken und -richtlinien.

Cyber Insurance

• Cyber-Versicherung: Erwägen Sie, von Lieferanten und Partnern den Abschluss einer Cyber-Versicherung zu verlangen, um das Risiko zu verringern und im Falle eines Vorfalls Schutz zu bieten.

Zertifizierungen und Standards

• Zertifizierungen fordern: Bestehen Sie auf relevanten Cybersicherheitszertifizierungen von Lieferanten, wie ISO 27001, NIST Cybersecurity Framework oder branchenspezifische Standards.
• Compliance überprüfen: Stellen Sie sicher, dass Lieferanten die geltenden Datenschutz- und Sicherheitsvorschriften einhalten, wie z.B. die DSGVO oder die NIS2-Richtlinie.

Beendigung der Zusammenarbeit

• Exit-Strategien: Entwickeln Sie Strategien für den Fall, dass ein Lieferant die Sicherheitsanforderungen nicht mehr erfüllt oder ein Sicherheitsrisiko darstellt.

Durch die Anwendung dieser Maßnahmen können Projektmanager die Cybersicherheit in ihrer Lieferkette stärken und sind besser darauf vorbereitet, die mit Dritten verbundenen Risiken zu minimieren.

Strenge Sicherheitsanforderungen

Projektmanager müssen sicherstellen, dass ihre Projekte die erhöhten Sicherheitsanforderungen der NIS2 erfüllen, was möglicherweise bedeutet, dass sie in Sicherheitstechnologien, ‑schulungen und ‑prozesse investieren müssen.

Die erhöhten Sicherheitsanforderungen der NIS2-Richtlinie zielen darauf ab, die Widerstandsfähigkeit und Reaktionsfähigkeit von Netzwerken und Informationssystemen in den Mitgliedstaaten der EU zu stärken. Diese Anforderungen beinhalten unter anderem:

Risikomanagement

• Risikomanagementmaßnahmen: Es müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen eingeführt werden, um Risiken für die Sicherheit der Netzwerk- und Informationssysteme zu managen.
• Risikoanalysen: Regelmäßige Risikoanalysen sind erforderlich, um potenzielle Bedrohungen zu identifizieren und zu bewerten.
• Sicherheitsrichtlinien: Entwicklung und Implementierung von Sicherheitsrichtlinien, die auf die Identifizierung, den Schutz, die Erkennung, die Reaktion und die Wiederherstellung von Systemen ausgerichtet sind.

Incident Response

• Vorfälle melden: Es gibt strengere Vorgaben für die Meldung von Sicherheitsvorfällen. Betroffene Entitäten müssen Schwachstellen und Vorfälle zeitnah an die zuständigen Behörden melden.
• Reaktions- und Wiederherstellungspläne: Entitäten müssen Pläne für die Reaktion auf Vorfälle und die Wiederherstellung von Systemen entwickeln und pflegen.

Supply Chain Security

• Lieferkettensicherheit: Unternehmen müssen ihre Lieferketten evaluieren und sicherstellen, dass Sicherheitsanforderungen auch von Zulieferern und Dienstleistern erfüllt werden.

Testen und Audits

• Überprüfung und Tests: Regelmäßige Überprüfung der Effektivität von Risikomanagementmaßnahmen durch Audits, Tests und Übungen, einschließlich Penetrationstests.

Schulung und Bewusstsein

• Schulungsprogramme: Fortbildung von Personal in Cybersicherheitsfragen ist erforderlich, um das Bewusstsein zu schärfen und Fähigkeiten zu verbessern.

Netzwerk- und Informationssysteme

• Sicherheit von Netzwerk- und Informationssystemen: Verschärfte Anforderungen an die Sicherheit und Widerstandsfähigkeit von verwendeten Netzwerk- und Informationssystemen.

Cybersicherheitsmaßnahmen auf nationaler Ebene

• Jeder Mitgliedstaat muss eine Strategie zur Netz- und Informationssicherheit entwickeln und umsetzen, sowie eine oder mehrere zuständige nationale Behörden zur Überwachung der Anwendung der Vorschriften einrichten.

Die NIS2-Richtlinie verlangt auch, dass Mitgliedstaaten Sanktionen für Verstöße festlegen und die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten sowie mit der EU-Kommission verbessern. Diese Maßnahmen sollen letztendlich dazu beitragen, ein hohes gemeinsames Cybersicherheitsniveau in der EU sicherzustellen.

Zusammenarbeit und Informationsaustausch

NIS2 fördert die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten. Projektmanager müssen mit nationalen Behörden zusammenarbeiten und möglicherweise Informationen über Sicherheitspraktiken und -vorfälle austauschen.

Diese Zusammenarbeit ist eine der wesentlichen Komponenten der NIS2-Richtlinie zur Stärkung der Cybersicherheit. Hier sind einige Leitlinien für diese Zusammenarbeit:

Etablierung von Kontakten

• Identifizieren Sie die zuständigen nationalen Behörden: Dies können nationale Cyber-Sicherheitszentren, Datenschutzbehörden oder spezialisierte Regulierungsbehörden sein.
• Bauen Sie eine Beziehung auf: Es ist wichtig, formelle Kommunikationskanäle zu etablieren und eine stetige Kommunikationsbeziehung zu den Behörden aufzubauen.

Meldung von Vorfällen

• Halten Sie Meldeverfahren ein: Wenn es zu einem Sicherheitsvorfall kommt, müssen Projektmanager die Details des Vorfalls an die zuständigen Behörden melden, gemäß den Anforderungen und Fristen der NIS2-Richtlinie.
• Meldung von Schwachstellen: Informieren Sie Behörden über identifizierte Schwachstellen und getroffene Gegenmaßnahmen.

Informationsaustausch

• Teilen von Best Practices: Tauschen Sie Informationen über bewährte Verfahren zur Risikominderung, Cybersicherheitsstrategien und effektive Schutzmaßnahmen aus.
• Berichterstattung und Analyse: Teilen Sie Analysen von Sicherheitsvorfällen und Erkenntnissen aus den Vorfalluntersuchungen.
• Warnungen und Threat Intelligence: Nehmen Sie an Warnsystemen teil und tauschen Sie Informationen über aktuelle Bedrohungen, Angriffstrends und Sicherheitswarnungen aus.

Compliance und Berichtswesen

• Berichten Sie über Compliance-Maßnahmen: Informieren Sie die Behörden über Ihre Bemühungen, die Anforderungen der NIS2-Richtlinie umzusetzen.
• Dokumentieren Sie Ihre Prozesse: Stellen Sie sicher, dass die Dokumentation der Sicherheitsprozesse und -maßnahmen aktuell ist und den Behörden bei Bedarf vorgelegt werden kann.

Reaktion auf Vorfälle

• Koordinieren Sie die Reaktion: Arbeiten Sie mit den Behörden zusammen, um eine abgestimmte Reaktion auf Sicherheitsvorfälle sicherzustellen.
• Unterstützung anfordern: Nutzen Sie die Expertise und Ressourcen der Behörden bei der Reaktion auf und Untersuchung von Cybersecurity-Vorfällen.

Schulung und Workshops

• Teilnahme an Schulungen: Nutzen Sie Angebote der Behörden für Schulungen, Workshops und Übungen, um das Bewusstsein und die Fähigkeiten in Bezug auf Cybersicherheit zu stärken.
• Schulungsangebote weitergeben: Informieren Sie Ihr Team über relevante Schulungsangebote der Behörden.

Regulierung und Politik

• Einflussnahme und Feedback: Beteiligen Sie sich an Diskussionen und geben Sie Feedback zu Entwürfen von Cybersicherheitsrichtlinien und -gesetzen.

Indem Projektmanager diese Richtlinien befolgen, tragen sie nicht nur zur Einhaltung der NIS2-Richtlinie bei, sondern fördern auch eine Kultur der Sicherheit und des Vertrauens, die für den Schutz von Netzwerken und Informationssystemen von entscheidender Bedeutung ist.

Sanktionen

Bei Nichteinhaltung der Richtlinie können Sanktionen verhängt werden, was bedeutet, dass Projektmanager die Einhaltung der NIS2 in allen Phasen eines Projekts sicherstellen müssen.

Die Sanktionen bei Nichteinhaltung der NIS2-Richtlinie können je nach nationalem Recht der EU-Mitgliedstaaten variieren, da die Richtlinie von den einzelnen Mitgliedstaaten in nationales Recht umgesetzt werden muss. Allerdings gibt die NIS2-Richtlinie einen Rahmen vor, innerhalb dessen die Sanktionen festgelegt werden sollen. Dieser Rahmen sieht vor, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sein müssen.

Mögliche Sanktionen

• Geldstrafen: Für Unternehmen können diese beträchtlich sein und sich nach dem Jahresumsatz des Unternehmens richten.
• Betriebsbeschränkungen: In schweren Fällen könnte Unternehmen die weitere Ausführung bestimmter Geschäftstätigkeiten untersagt werden.
• Haftung von Führungskräften: In einigen Fällen könnten auch individuelle Führungskräfte oder Projektmanager haftbar gemacht werden, insbesondere wenn Fahrlässigkeit oder Missachtung der Compliance-Anweisungen nachgewiesen werden kann.
• Reputationsverlust: Abgesehen von den rechtlichen Sanktionen kann die Nichteinhaltung auch zu einem Verlust des Vertrauens bei Kunden und Partnern führen.

Verantwortung und Haftbarkeit von Projektmanagern

• Compliance: Projektmanager sind in der Regel für die Einhaltung der relevanten Gesetze und Vorschriften in ihren Projekten verantwortlich.
• Dokumentation und Nachweisführung: Sie müssen nachweisen können, dass angemessene Maßnahmen zur Risikominderung getroffen wurden und dass alle Vorfälle ordnungsgemäß gemeldet wurden.
• Organisationspflichten: Die Organisation als Ganzes ist für die Einhaltung der NIS2-Richtlinie verantwortlich, aber Projektmanager könnten für die Organisation von Prozessen und den Aufbau von Systemen zur Einhaltung der Richtlinie verantwortlich sein.

In der Praxis hängt die Haftbarkeit von mehreren Faktoren ab, darunter die Rolle und Verantwortlichkeit des Projektmanagers, das Ausmaß, in dem die Nichteinhaltung auf seine/ihre Handlungen zurückzuführen ist, und die spezifischen Gesetze des Landes, in dem das Unternehmen tätig ist. Wichtig ist, dass Projektmanager sich der Anforderungen der NIS2-Richtlinie bewusst sind und proaktiv Maßnahmen ergreifen, um sicherzustellen, dass Projekte diesen Anforderungen entsprechen. Im Falle einer Nichteinhaltung ist es ratsam, rechtlichen Rat einzuholen und mit den zuständigen Behörden zusammenzuarbeiten, um die Situation zu beheben.

Datenschutz und Compliance

Projektmanager müssen die NIS2-Anforderungen in Zusammenhang mit anderen Regelungen wie der DSGVO betrachten und eine ganzheitliche Datenschutz- und Compliance-Strategie anwenden.

Die Integration der NIS2-Anforderungen mit anderen Regelungen wie der DSGVO (Datenschutz-Grundverordnung) erfordert eine ganzheitliche Betrachtung der Compliance-Strategien. Projektmanager können folgende Schritte unternehmen, um eine effektive und integrierte Datenschutz- und Compliance-Strategie zu entwickeln:

Verständnis der Anforderungen

• Detaillierte Analyse der Regelwerke: Verstehen Sie die spezifischen Anforderungen sowohl der NIS2-Richtlinie als auch der DSGVO. Obwohl NIS2 hauptsächlich auf die Sicherheit von Netzwerk- und Informationssystemen abzielt, während die DSGVO den Schutz personenbezogener Daten regelt, gibt es Überschneidungen, besonders im Bereich der Sicherheitsmaßnahmen und Meldepflichten bei Datenverletzungen.
• Identifizieren Sie Überschneidungen: Bestimmen Sie, wo die Anforderungen der NIS2 und DSGVO sich ergänzen, und nutzen Sie dies, um Synergien in der Compliance zu schaffen.

Integrierte Compliance-Struktur

• Gemeinsame Richtlinien und Verfahren: Entwickeln Sie einheitliche Richtlinien und Verfahren, die beide Regelungen abdecken. Beispielsweise können Datenschutz- und Sicherheitsrichtlinien so gestaltet werden, dass sie sowohl die Anforderungen der DSGVO als auch der NIS2 erfüllen.
• Zentralisierte Überwachung und Steuerung: Setzen Sie zentrale Steuerungssysteme ein, um die Compliance mit beiden Regelungen zu überwachen und zu steuern.

Risikomanagement

• Risikobewertungsverfahren: Implementieren Sie ein Risikobewertungsverfahren, das sowohl Sicherheits- als auch Datenschutzrisiken berücksichtigt. Dies hilft dabei, Maßnahmen zu priorisieren, die den größten Einfluss auf die Einhaltung beider Regelwerke haben.
• Regelmäßige Überprüfungen: Führen Sie regelmäßige Überprüfungen durch, um sicherzustellen, dass die implementierten Maßnahmen noch angemessen sind, und passen Sie sie bei Bedarf an.

Schulung und Bewusstsein

• Integrierte Schulungsprogramme: Organisieren Sie Schulungsprogramme, die sowohl die Anforderungen der NIS2 als auch der DSGVO abdecken. Mitarbeiter sollten verstehen, wie sie durch ihre täglichen Aufgaben zur Einhaltung beider Regelungen beitragen können.
• Regelmäßige Updates: Halten Sie das Team stets über Änderungen in den Regelungen und über beste Praktiken auf dem Laufenden.

Incident Management

• Gemeinsame Meldeverfahren: Entwickeln Sie ein gemeinsames Verfahren für die Meldung von Sicherheitsvorfällen und Datenverletzungen, das den Anforderungen beider Regelungen gerecht wird. Dies umfasst die Benachrichtigung der zuständigen Behörden und betroffener Personen.
• Dokumentation und Nachweise: Halten Sie detaillierte Aufzeichnungen über Vorfälle und die darauffolgenden Untersuchungen, Maßnahmen und Kommunikationen.

Dritte Parteien und Vertragsmanagement

• Verträge mit Dritten: Stellen Sie sicher, dass Verträge mit Dritten (z. B. Lieferanten, Dienstleistern) die Anforderungen sowohl der NIS2 als auch der DSGVO berücksichtigen.
• Überprüfung und Auditierung: Führen Sie regelmäßige Überprüfungen und Audits durch, um die Einhaltung der Vertragsbedingungen zu gewährleisten.

Datenschutz-Folgenabschätzung (DSFA)

• DSFA durchführen: Führen Sie Datenschutz-Folgenabschätzungen für Projekte oder Technologien durch, die erhebliche Datenschutzrisiken bergen könnten, um beide Compliance-Anforderungen zu erfüllen.

Durch diese integrative Herangehensweise können Projektmanager sicherstellen, dass ihre Organisationen nicht nur rechtlich abgesichert sind, sondern auch eine starke Grundlage für vertrauenswürdige Geschäftspraktiken schaffen.

Fazit

Die NIS2-Richtlinie bringt für Projektmanager weitreichende Verantwortlichkeiten und Anforderungen mit sich. Sie müssen sich nicht nur mit tiefergehenden Sicherheitspraktiken auseinandersetzen, sondern auch mit dem Compliance-Management auf einer organisatorischen Ebene. Durch die proaktive Anpassung von Projektmanagement-Praktiken an die NIS2-Anforderungen können Projektmanager dazu beitragen, ihre Organisationen vor Cyber-Risiken zu schützen und die Widerstandsfähigkeit gegen digitale Bedrohungen zu stärken.

Die Best Practice User Group Deutschland e.V. (BPUG) setzt sich für die Verbreitung und Weiterentwicklung von Best Practices im Projektmanagement ein. Dazu gehört auch die Verfolgung aktueller Themen und Trends. Wir möchten euch herzlich einladen, euch an der Diskussion zu beteiligen und gemeinsam mit uns die Zukunft des Projektmanagements zu gestalten.

Quellen:

• EUR-Lex – Richtlinie 2022/2555 
• EUR-Lex – 02022L2555 
• NIS2-Richtlinie – Wikipedia 
• The NIS2 Directive – European Parliament

Haftungsausschluss

Die in diesem Dokument enthaltenen Informationen und Angaben wurden nach bestem Wissen und Gewissen erstellt und zusammengestellt. Trotz sorgfältiger Recherche und Aufbereitung können Fehler nicht vollständig ausgeschlossen werden.
BPUG e. V. übernimmt daher keine Gewähr für die Richtigkeit, Vollständigkeit, Qualität oder Aktualität der bereitgestellten Informationen. Für Schäden materieller oder immaterieller Art, die durch die Nutzung oder Nichtnutzung der dargebotenen Informationen bzw. durch die Nutzung fehlerhafter und unvollständiger Informationen unmittelbar oder mittelbar verursacht werden, haftet BPUG e. V. nicht, sofern ihm nicht nachweislich vorsätzliches oder grob fahrlässiges Verschulden zur Last gelegt werden kann.
Alle in diesem Dokument enthaltenen Texte, etwaige Bilder und Grafiken unterliegen dem Urheberrecht und anderen Gesetzen zum Schutz geistigen Eigentums. Sie dürfen weder für Handelszwecke oder zur Weitergabe kopiert, noch verändert und auf anderen Websites verwendet werden, es sei denn, BPUG e. V. hat dem ausdrücklich zugestimmt.
Sollten einzelne Bestimmungen oder Formulierungen dieses Haftungsausschlusses unwirksam sein oder werden, bleiben die übrigen Teile in ihrem Inhalt und ihrer Gültigkeit hiervon unberührt.