Ausgangslage
Mit der Umsetzung von NIS2 in deutsches Recht galten für den Bereich am Standort München erweiterte Anforderungen an Risikomanagement, Vorfallbehandlung und Nachweisführung. Grundlegende Schutzmaßnahmen waren vorhanden, die Dokumentation und einzelne Prozesse entsprachen jedoch noch nicht vollständig den neuen Vorgaben.
Die Bereichsleitung wollte einen klaren Überblick über den Umsetzungsstand und einen priorisierten Plan für die offenen Punkte.
Ziele
- Eine strukturierte Bestandsaufnahme gegenüber den NIS2-Anforderungen
- Schließen der Lücken nach Risiko priorisiert und ohne Beeinträchtigung des Betriebs
- Sicherheitsvorfälle zuverlässig erkennen und fristgerecht melden
- Eine prüffähige Dokumentation aller Maßnahmen
Lösung
Wir haben die Anforderungen in einzelne Arbeitspakete gegliedert und gemeinsam mit dem Team vor Ort umgesetzt:
- Gap-Analyse: Abgleich aller Anforderungen mit dem Ist-Zustand und eine nach Risiko priorisierte Liste der Handlungsfelder.
- Identitäten und Zugriffe: Multi-Faktor-Authentifizierung für alle Konten, getrennte administrative Konten und Berechtigungen nach dem Prinzip der minimalen Rechte.
- Schwachstellenmanagement: Regelmäßige Scans aller Systeme, feste Patchzyklen und ein Plan für die Ablösung nicht mehr unterstützter Komponenten.
- Erkennung und Meldung: Anbindung der Sicherheitsereignisse an eine zentrale Auswertung und ein abgestimmter Prozess für die Meldung erheblicher Vorfälle an das BSI.
- Notfallmanagement: Ein Notfallhandbuch und eine Übung, in der das Team einen Sicherheitsvorfall durchgespielt hat.
Vorgehen
Zu Beginn standen Workshops mit den Verantwortlichen des Bereichs und der zentralen Cybersecurity-Organisation. Daraus entstand ein Maßnahmenplan über sechs Monate, der die größten Risiken zuerst adressiert. Den Fortschritt haben wir monatlich mit der Bereichsleitung abgestimmt.
Ergänzend gab es für die Mitarbeitenden Schulungen zu Phishing und sicherem Umgang mit Zugangsdaten sowie regelmäßige Phishing-Simulationen.
Ergebnis
Die NIS2-Anforderungen sind für den Bereich umgesetzt und dokumentiert. Die Zahl offener Schwachstellen ist deutlich gesunken, Sicherheitsvorfälle werden frühzeitig erkannt und innerhalb der gesetzlichen Fristen gemeldet. Die Bereichsleitung kann den Stand der Maßnahmen jederzeit nachweisen.
Betrieb und Weiterentwicklung
Wir begleiten den Bereich im laufenden Betrieb, werten Sicherheitsereignisse aus und überprüfen den Umsetzungsstand jährlich. Als Nächstes ist ein externer Penetrationstest geplant.
