Kürzlich hat das österreichische Bundesministerium für Inneres (BMI) einen Vortrag zu den NIS2 Risikomanagementmaßnahmen veröffentlicht. Interessanterweise hat der sehr gute Vortragende Siegfried Hollerer nicht die 10 Risikomanagementmaßnahmen aus Artikel 21 der EU-Richtlinie 2555/2022 (NIS-2-Richtlinie) referenziert, sondern hat diese sehr strukturiert in 13 Bereiche gegliedert.
Hier die Abschrift aus seinem Vortrag:
Die gesetzlich verankerten Risikomanagementmaßnahmen dienen dazu ein adäquates Schutzniveau gegen Cybersicherheitsvorfälle, beispielsweise ausgelöst durch Cyberangriffe, gewährleisten zu können.
Diese Risikomanagementmaßnahmen sind in Bereiche gegliedert, welche deren inhaltliche Ausrichtung angeben. Die Bereiche haben Überschneidungspunkte und können nicht voneinander isoliert betrachtet werden. Beispielsweise ist die Sicherheit von Lieferketten im Risikomanagement ebenfalls zu berücksichtigen. Thematisch stellen sich diese 13 Bereiche wie folgt dar:
- Leitungsorgane
- Sicherheitsrichtlinien
- Risikomanagement
- Verwaltung von Vermögenswerten
- Personalwesen
- Grundlegende Cyberhygienemaßnahmen und Cybersicherheitsschulungen
- Sicherheit von Lieferketten
- Zugangssteuerung
- Sicherheit bei Beschaffung, Entwicklung, Betrieb und Wartung
- Kryptographie
- Umgang mit Cybersicherheitsvorfällen
- Betriebskontinuität- und Krisenmanagement
- Umgebungsbezogene und physische Sicherheit
Risikomanagementmaßnahmen sind mit proaktiven Vorkehrungen und reaktiven Reaktionsmaßnahmen umsetzbar. Durch Vorkehrungen wir die Eintrittswahrscheinlichkeit eines erfolgreichen Angriffs reduziert. Durch Reaktionsmaßnahmen wird die Auswirkung eines Angriffs verringert. In Summe sinkt so das Risiko einer Cybersicherheitsvorfalls. Jede Risikomanagementmaßnahme beinhaltet organisatorische, technische und operative Aspekte. Beispielsweise fallen unter „2.a Sicherheitsrichtlinien“ unter anderem folgende Vorkehrungen: Die dokumentierte Passwort-Richtlinie als organisatorische, deren technische Umsetzung auf sämtlichen Systemkomponenten als technische und der Umgang der Benutzer mit Passwörtern als operative Vorkehrung.
Somit ist das zugrundeliegende Dokument der Passwort-Richtlinie ausreichend umfangreich und präzise zu formulieren, auf Systemkomponenten je nach Identitätsmanagement zentral oder dezentral in deren Systemkonfiguration sowohl auf Betriebssystem- als auch auf Applikationsebene umzusetzen und das Niederschreiben und Aufbewahren von Passwörtern am Arbeitsplatz des Mitarbeiters zu untersagen. Die gesetzlichen Vorgaben zur konkreten Umsetzung von Risikomanagementmaßnahmen können abhängig von der Größe (groß oder mittel) oder Kategorisierung der Einrichtung (wesentlich oder wichtig) differenziert ausgestaltet sein.