NIS2 und ISO 27001: Maßnahmen wiederverwenden, Lücken prüfen

Ein ISO-27001-Programm kann eine solide Betriebsstruktur für NIS2 bieten: Risikobeurteilung, verantwortliche Personen, Maßnahmen, Nachweise und Verbesserung. Der nächste Schritt ist eine Bewertung Anforderung für Anforderung, was diese Struktur tatsächlich abdeckt.

Für einen CTO lautet die nützliche Frage nicht, ob sich die Rahmenwerke überschneiden. Entscheidend ist, ob eine umgesetzte Maßnahme den relevanten Dienst schützt, die anwendbare Pflicht erfüllt und Nachweise liefert, die diese Schlussfolgerung stützen. Verwenden Sie die Umsetzung wieder, wo diese Bedingungen erfüllt sind; bewahren Sie rechtliche und betriebliche Unterschiede, wo sie es nicht sind.

Verstehen Sie, was jedes Rahmenwerk begründet

ISO/IEC 27001 legt Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) mit festgelegtem Geltungsbereich fest. Die Kapitel 4 bis 10 behandeln seine Managementstruktur, einschließlich Risikobehandlung, Bewertung der Leistung und Verbesserung. Anhang A enthält 93 Referenzmaßnahmen in den Kategorien organisatorisch, personenbezogen, physisch und technologisch. Die Anwendbarkeit der Maßnahmen ist risikobasiert und keine Pflicht, jede Maßnahme identisch umzusetzen. ISO 27002 bietet Umsetzungshinweise.

NIS2 ist eine EU-Richtlinie, die durch nationales Recht umgesetzt wird. Die Anwendbarkeit hängt von Sektor, Größe, Dienst und besonderen Einbeziehungsregeln ab. Anhang I und Anhang II nennen die relevanten Sektoren, doch der Sektor allein bestimmt nicht, ob eine Organisation eine wesentliche oder wichtige Einrichtung ist. Manche Einrichtungen sind unabhängig von ihrer Größe erfasst.

Die praktischen Unterschiede sind:

Die Zertifizierung erfolgt durch unabhängige Zertifizierungsstellen, nicht durch ISO. Sie begründet keine NIS2-Konformität, und NIS2 verlangt im Allgemeinen keine ISO-27001-Zertifizierung. Die Durchsetzung kann Aufsichtsmaßnahmen und Sanktionen umfassen; eine ISO-Zertifizierung dient einem anderen Bestätigungszweck.

Beginnen Sie mit übereinstimmenden Grenzen

Vergleichen Sie den zertifizierten Geltungsbereich des ISMS mit den juristischen Personen und Diensten, die NIS2 unterliegen. Ein Zertifikat, das ein Entwicklungsteam abdeckt, kann den Produktivbetrieb, eine weitere Tochtergesellschaft oder zusätzliche Standorte außerhalb seiner Grenze lassen.

Erstellen Sie einen Abgleich des Geltungsbereichs mit folgenden Angaben:

• Erfasste juristische Personen, Länder, Dienste und die Grundlage ihrer Einbeziehung.
• Relevante Systeme, Netzwerke, Standorte und unterstützende Lieferanten.
• Geltungsbereich des ISMS, Geltungsbereich des Zertifikats und Ausschlüsse.
• Anwendbare nationale Anforderungen, sektorale Vorschriften und zuständige Behörden, einschließlich anwendbarer Registrierungspflichten, erforderlicher Angaben zur Einrichtung, Übermittlungswege und Aktualisierungspflichten.
• Wer die Anwendbarkeitsbewertung freigegeben hat und wann sie erneut geprüft werden muss.

Unterscheiden Sie eine Lücke im Geltungsbereich von einer Lücke bei Maßnahmen. Eine Produktivumgebung außerhalb des ISMS kann bereits gute Zugriffskontrollen haben, doch diese Maßnahmen brauchen innerhalb des NIS2-Arbeitsstrangs dennoch Verantwortung, Bewertung und Nachweise.

Prüfen Sie sektorspezifische Rechtsvorschriften, bevor Sie Pflichten doppelt umsetzen. Artikel 4 regelt das Verhältnis zu sektorspezifischen Rechtsakten der Union. Für Finanzunternehmen erfordert das Verhältnis zu DORA eine rollenspezifische Analyse. Ziehen Sie für den Betrieb in Deutschland die NIS-2-Informationen des BSI heran, statt anzunehmen, dass bestehende KRITIS-Pflichten und NIS2-Pflichten identisch sind.

Ordnen Sie umgesetzte Maßnahmen zu, nicht übereinstimmende Bezeichnungen

Artikel 21 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Seine zehn Mindestbereiche bieten einen Ausgangspunkt für die Zuordnung, doch ähnlicher Wortlaut ist ein nützlicher Hinweis, kein Beweis der Gleichwertigkeit.

Nutzen Sie Folgendes als Prüfimpulse, nicht als automatische Abdeckungserklärungen:

Die Erklärung zur Anwendbarkeit dokumentiert die erforderlichen Maßnahmen und die Begründung für Aufnahme oder Ausschluss. Sie ist nicht austauschbar mit dem Risikobehandlungsplan, den Feststellungen des internen Audits oder den Aufzeichnungen der Managementbewertung. Nutzen Sie diese Unterlagen gemeinsam, um sowohl Ausgestaltung als auch Betrieb zu erklären.

Eine Richtlinie legt Erwartungen fest. Ein Konfigurationsexport kann die Umsetzung zeigen. Ergebnisse von Zugriffsüberprüfungen, Behebungstickets und Testaufzeichnungen können den Betrieb zeigen. Verwenden Sie Nachweise nur wieder, wenn System, Zeitraum und Bewertungsziel übereinstimmen.

Vermeiden Sie feste Überschneidungsprozentsätze. Die Abdeckung hängt von Umsetzung und rechtlichem Anwendungsbereich ab; eine allgemeingültige Zahl kann keine Bereitschaft belegen.

Bauen Sie einen Meldeweg auf, der unter Druck funktioniert

Ein an ISO ausgerichteter Reaktionsplan kann Erkennung, Eindämmung, Untersuchung und Wiederherstellung unterstützen, ohne die behördliche Meldung festzulegen. Artikel 23 NIS2 ergänzt Meldepflichten für erhebliche Sicherheitsvorfälle.

Die Meldestufen der Richtlinie umfassen im Allgemeinen:

• Eine Frühwarnung unverzüglich und innerhalb von 24 Stunden, nachdem die Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt hat.
• Eine Meldung über den Sicherheitsvorfall unverzüglich und innerhalb von 72 Stunden, die die Frühwarnung aktualisiert und eine erste Bewertung enthält.
• Einen Abschlussbericht in der Regel innerhalb eines Monats nach Übermittlung der Meldung über den Sicherheitsvorfall. Bei einem noch andauernden Vorfall ist zu diesem Zeitpunkt ein Fortschrittsbericht erforderlich, und der Abschlussbericht ist innerhalb eines Monats nach der Bewältigung des Vorfalls fällig.

Auf Ersuchen des CSIRT oder der zuständigen Behörde ist außerdem ein Zwischenbericht vorzulegen.

Prüfen Sie anwendbare nationale und sektorspezifische Vorschriften: Die Richtlinie sieht für Vertrauensdiensteanbieter eine abweichende Meldefrist vor. Verwenden Sie keinen allgemeinen Ausfallschwellenwert als Ersatz für die anwendbaren Kriterien der Erheblichkeit.

Als praktische Umsetzungsempfehlung sollten Sie ein Melde-Runbook erstellen, das die für die Bewertung verantwortliche Person, den Eskalationsweg, die zur Übermittlung befugte Person, Vertretungen, den Kanal zur Behörde und die in jeder Stufe benötigten Informationen festlegt. Dokumentieren Sie die Zeitpunkte von Erkennung, Kenntniserlangung, Erheblichkeitsbewertung und Übermittlung getrennt.

Üben Sie den Prozess mit unvollständigen Informationen. Das Team sollte die erforderliche erste Meldung abgeben können, ohne auf eine abgeschlossene forensische Untersuchung zu warten. Bewahren Sie übermittelte Fassungen, Eingangsbestätigungen, unterstützende Fakten und Entscheidungen darüber auf, ob ein Vorfall die Schwelle erreicht.

Gilt zusätzlich ein anderes Meldesystem, koordinieren Sie die Untersuchung, bewerten Sie aber jede Meldepflicht gesondert. Eine gemeinsame Vorfallaufzeichnung macht Empfänger, Auslöser und Fristen nicht identisch.

Machen Sie Governance und Resilienz nachweisbar

Artikel 20 verlangt, dass die Leitungsorgane die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen und ihre Umsetzung überwachen. Er regelt außerdem Schulungen für die Mitglieder der Leitungsorgane. Eine bestehende Managementbewertung ist ein nützlicher Nachweis, doch prüfen Sie, ob sie die relevanten Billigungen, die Überwachung, Entscheidungen und die Nachverfolgung ausdrücklich dokumentiert.

Geben Sie der Leitung eine entscheidungsreife Sicht: betroffene Dienste, wesentliche Risiken, Behandlungsoptionen, offene Ausnahmen und Ergebnisse zur Wirksamkeit. Sitzungsprotokolle, die lediglich „Sicherheit besprochen“ vermerken, belegen kaum eine wirksame Aufsicht. Weisen Sie jeder freigegebenen Maßnahme eine verantwortliche Person und ein Überprüfungsdatum zu.

Die Aufrechterhaltung des Betriebs braucht ebenso konkrete Behandlung. Artikel 21 umfasst Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement; eine allgemeine Pflicht zur Zertifizierung nach ISO 22301 begründet er nicht. Bestimmen Sie die erforderliche Tiefe anhand des Dienstes, der Risiken und der anwendbaren Vorschriften.

Testen Sie Wiederherstellung und Dienstwiederanlauf, nicht nur den Abschluss von Sicherungsjobs. Beziehen Sie Abhängigkeiten wie Identitätsdienste, DNS, Lieferantensupport, privilegierte Zugangsdaten und Kommunikation ein, wenn die normale Umgebung nicht verfügbar ist. Dokumentieren Sie erreichte Wiederherstellungsergebnisse und offene Hindernisse im Vergleich zu den vereinbarten Zielen.

Führen Sie ein sichtbares Abweichungsregister

Dokumentieren Sie für jede Anforderung Quelle und Version, zugeordnete Maßnahmen, Geltungsbereich, Nachweisverweise, prüfende Person und Begründung der Wiederverwendung. Unterscheiden Sie belegte Abdeckung, teilweise Abdeckung, fehlende Umsetzung, fehlende Nachweise und eine begründete Entscheidung zur Nichtanwendbarkeit. Das Fehlen eines Dokuments bedeutet nicht immer das Fehlen einer Maßnahme, erfordert aber eine Untersuchung.

Jede Lücke braucht eine verantwortliche Person, die erforderliche Änderung, eine Erwartung an die Nachweise, ein Fälligkeitsdatum und eine Person, die den Abschluss prüft. Priorisieren Sie Mängel, die Dienste gefährden oder zeitkritische Meldungen verhindern, statt jede Dokumentationsaufgabe als gleich dringend zu behandeln.

Typische Fehler sind, nur Anhang A zuzuordnen und dabei Governance-Anforderungen zu übersehen, ein Lieferantenzertifikat ohne Prüfung seines Geltungsbereichs zu akzeptieren, Nachweise aus dem Vorjahr als aktuell zu behandeln und eine Aufgabe zu schließen, sobald eine Richtlinie veröffentlicht ist, obwohl der Prozess ungetestet bleibt. Registrierung oder Zertifizierung dürfen niemals als Beweis für die betriebliche Umsetzung gelten.

Beispiel: ein bestehendes ISMS erweitern

Beispielhafte Annahmen: Ein Managed-Service-Provider hat ein nach ISO 27001 zertifiziertes ISMS, das sein zentrales Betriebsteam abdeckt. Seine Anwendbarkeitsbewertung kommt zu dem Ergebnis, dass ein über eine weitere juristische Person betriebener Dienst NIS2 unterliegt. Diese Einrichtung nutzt dieselbe Identitätsplattform und dasselbe Vorfallteam, aber eigene Wiederherstellungsregelungen.

Das Team vergleicht zunächst die Grenzen der Dienste. Bestehende Authentisierungskonfigurationen können beide Geltungsbereiche stützen, doch die prüfende Person kontrolliert, ob Administratoren, Notfallkonten und Dienstkonten der weiteren Einrichtung einbezogen sind. Ein Export einer Zugriffsüberprüfung, der nur das ursprüngliche Team abdeckt, kann keine vollständige Abdeckung belegen.

Anschließend behält die für Vorfälle verantwortliche Person das etablierte Reaktionsverfahren bei und ergänzt eine Bewertung erheblicher Sicherheitsvorfälle sowie einen Meldeweg zur Behörde. Eine Planspielübung simuliert einen Lieferantenausfall mit unklarer Auswirkung auf Kunden. Die Teilnehmenden dokumentieren, wann sie Kenntnis von relevanten Fakten erlangten, wer über die Erheblichkeit entschied und wie eine Frühwarnung übermittelt würde.

Schließlich führt die für die Infrastruktur verantwortliche Person eine Wiederherstellungsübung für den Dienst der weiteren Einrichtung durch. Der Test zeigt, dass die Zugangsdaten für die Wiederherstellung von der nicht verfügbaren Identitätsplattform abhängen. Das Lückenregister weist eine Korrekturmaßnahme zu und verlangt vor dem Abschluss einen erfolgreichen Wiederholungstest.

Die daraus entstehenden Arbeitsergebnisse sind ein Abgleich des Geltungsbereichs, geprüfte Zuordnungen, erweiterte Nachweise zur Zugriffsüberprüfung, Aufzeichnungen der Meldeübung, Wiederherstellungsergebnisse und die Freigabe offener Behandlungsmaßnahmen durch die Leitung. Gemeinsame Maßnahmen bleiben gemeinsam; einrichtungsspezifische Nachweise und Entscheidungen bleiben sichtbar.

Machen Sie aus der Bewertung gepflegte Arbeit

Das vernetzte Anforderungs- und Nachweismodell von Secani gibt Teams eine Struktur, um gemeinsame Arbeit und rahmenwerksspezifische Entscheidungen zu bewahren. Modellieren Sie die Dienste und Abhängigkeiten, verknüpfen Sie vorhandene Nachweise mit den relevanten Maßnahmen und machen Sie fehlende Abdeckung zu verantworteten Aufgaben. Halten Sie die menschliche Freigabe von Zuordnungen und Schlussfolgerungen aus Nachweisen ausdrücklich fest, auch bei KI-gestützten Vorschlägen. Unser Leitfaden zu nachvollziehbaren rahmenwerksübergreifenden Zuordnungen erklärt, wie Sie die Begründung der Wiederverwendung bewahren.

Beginnen Sie mit einem regulierten Dienst. Bringen Sie dessen Geltungsbereich, Risikobehandlung, Erklärung zur Anwendbarkeit, Melde-Runbook und aktuelle Testnachweise in eine gemeinsame technische und Compliance-Prüfung ein. Erstellen Sie ein geprüftes Abweichungsregister und pflegen Sie es dann in den normalen ISMS-Überprüfungszyklen, während sich Dienste, Lieferanten und Anforderungen ändern.