ISOPlanner™ wird von über 600 Unternehmen eingesetzt.
Unterstützt über 50 Standards
Risikobewertung und Maßnahmen an einem Ort dokumentiert, mit Verantwortlichem und Status.
Vorfallserfassung mit integrierten Fristen, sodass die Uhr nicht manuell überwacht werden muss.
Berichte, die der Geschäftsleitung vorgelegt werden können, ohne dass jemand sie erst zusammenstellt.
Nachweise entstehen in dem Moment, in dem die Arbeit geschieht, nicht im Nachhinein.
Was das Gesetz verlangt
Sie bewerten die Risiken für Ihre Netzwerk- und Informationssysteme und treffen geeignete Maßnahmen. Der Maßnahmenkatalog im Gesetz ist ein Minimum, keine vollständige Aufzählung: was geeignet ist, richtet sich nach Ihrem Risikoprofil.
Wie ISOPlanner™ Sie unterstützt
Risikobewertung und Maßnahmen liegen an einem Ort, jede mit einem Verantwortlichen und einem Status. Weil geeignet von Ihrem eigenen Risikoprofil abhängt, halten Sie je Maßnahme fest, warum Sie sich so entschieden haben und warum eine andere Maßnahme nicht erforderlich war. Genau diese Begründung fragt eine Aufsichtsbehörde ab, und sie liegt dann schon vor. Alles in Ihrer eigenen Microsoft 365-Umgebung, unter Ihrer eigenen Zugriffsverwaltung.
Was das Gesetz verlangt
Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren.
Wie ISOPlanner™ Sie unterstützt
Die Registrierung nehmen Sie selbst beim BSI vor. Das übernimmt ISOPlanner™ nicht, und das sollte es auch nicht. Was die Software leistet, ist die Begründung festzuhalten: auf welcher Sektorenliste Sie landen, gegen welchen Schwellenwert Sie prüfen, wer das festgestellt hat und zu welchem Datum. Ändert sich etwas in Ihrer Organisation, sodass die Registrierung angepasst werden muss, steht diese Pflicht als Aufgabe mit Frist im selben System, statt in jemandes Kopf.
Was das Gesetz verlangt
Einen erheblichen Sicherheitsvorfall melden Sie innerhalb von 24 Stunden als Erstmeldung, gefolgt von einer ausführlicheren Meldung innerhalb von 72 Stunden und einer Abschlussmeldung danach.
Wie ISOPlanner™ Sie unterstützt
Die Fristen sind in der Vorfallserfassung angelegt. Sobald Sie einen Vorfall erfassen, läuft die Uhr sichtbar mit und Sie sehen, welche Meldung wann fällig ist. Wer gemeldet hat und was gemeldet wurde, steht beim Vorfall selbst. Die Abschlussmeldung schreiben Sie damit aus dem, was während des Vorfalls festgehalten wurde, statt sie im Nachhinein aus Postfächern und Chatnachrichten zu rekonstruieren.
Was das Gesetz verlangt
Dies ist der Teil, der am häufigsten unterschätzt wird. NIS2 legt die Risikomanagementmaßnahmen in die Hand der Geschäftsleitung: sie muss sie billigen, ihre Umsetzung überwachen und kann für Versäumnisse in Anspruch genommen werden. Compliance ist damit kein Thema, das sich vollständig an die IT delegieren lässt.
Wie ISOPlanner™ Sie unterstützt
Eine Geschäftsleitung kann nur für das Verantwortung übernehmen, was sie sehen kann. Die Berichte sind darauf ausgelegt, der Geschäftsleitung vorgelegt zu werden, ohne dass jemand sie erst zusammenstellt: welche Risiken offen sind, welche Maßnahmen im Rückstand sind, wer verantwortlich ist und was sich seit dem letzten Bericht geändert hat. Und weil die Nachweise in dem Moment entstehen, in dem die Arbeit geschieht, zeigt der Bericht den tatsächlichen Stand und keine Momentaufnahme, die für die Sitzung erstellt wurde.
01.
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen gemäß NIS2?
Artikel 3 der NIS2 unterteilt die betroffenen Organisationen in zwei Kategorien. Wesentliche Einrichtungen sind in kritischen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit und digitale Infrastruktur tätig. Wichtige Einrichtungen decken ein breiteres Spektrum ab, darunter Postdienste, Abfallbewirtschaftung, Lebensmittelproduktion und digitale Dienste. Wesentliche Einrichtungen unterliegen einer strengeren Aufsicht und höheren maximalen Bußgeldern (bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes). Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht und niedrigeren maximalen Bußgeldern (7 Mio. € oder 1,4 %). ISOPlanner™ hilft dabei, die Klassifizierung und die Governance-Verpflichtungen für beide Kategorien zu dokumentieren.
02.
Welche Sicherheitsmaßnahmen schreibt Artikel 21 der NIS2 vor?
Artikel 21 fordert angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen zur Bewältigung von Cybersicherheitsrisiken. Dazu gehören Richtlinien zur Risikoanalyse, zum Umgang mit Vorfällen, zur Geschäftskontinuität, zur Sicherheit in der Lieferkette, zu sicheren Entwicklungspraktiken, zur Cybersicherheitsschulung sowie zur Multi-Faktor-Authentifizierung. ISOPlanner™ verknüpft jede Anforderung aus Artikel 21 mit Ihrem Risikoregister und Kontrollrahmen, sodass jede Maßnahme nachverfolgt und belegt werden kann.
03.
Welche Fristen gelten für die Meldung von Vorfällen gemäß NIS2?
Artikel 23 der NIS2 führt einen dreistufigen Meldeprozess ein. Eine erste Warnmeldung muss innerhalb von 24 Stunden nach Erkennung eines erheblichen Vorfalls an das nationale CSIRT oder die zuständige Behörde übermittelt werden. Eine vollständige Vorfallmeldung mit erster Bewertung folgt innerhalb von 72 Stunden. Ein Abschlussbericht mit Ursachenanalyse, Auswirkungen und ergriffenen Abhilfemaßnahmen ist innerhalb eines Monats fällig. ISOPlanner™ enthält einen Workflow für das Vorfallmanagement, der jede Phase nachverfolgt und die erforderlichen Meldedokumente generiert.
04.
Wie adressiert NIS2 die Sicherheit in der Lieferkette?
Artikel 21 verpflichtet Organisationen ausdrücklich dazu, Cybersicherheitsrisiken in ihrer Lieferkette und ihren Lieferantenbeziehungen zu bewerten und zu steuern. Dies beinhaltet die Überprüfung der Sicherheitspraktiken direkter Zulieferer und Dienstleister sowie die Berücksichtigung, wie sich Schwachstellen in Produkten oder Dienstleistungen Dritter auf das eigene Sicherheitsniveau auswirken könnten. ISOPlanner™ bietet ein Lieferantenregister sowie eine Bewertungsvorlage, um die Sicherheitsverpflichtungen Dritter gemäß NIS2 zu dokumentieren und zu überwachen.
05.
Welche Sanktionen drohen bei Nichteinhaltung der NIS2?
NIS2 sieht empfindliche Bußgelder vor. Bei wesentlichen Einrichtungen können diese bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen müssen mit Bußgeldern von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes rechnen. Über die finanziellen Sanktionen hinaus führt NIS2 eine persönliche Haftung für die Geschäftsführung ein, sofern erforderliche Sicherheitsmaßnahmen nicht umgesetzt werden. ISOPlanner™ unterstützt dabei, die Verantwortlichkeiten der Unternehmensführung zu dokumentieren und so das Haftungsrisiko zu minimieren.
06.
Wie verhält sich NIS2 zur ISO 27001?
ISO 27001 und NIS2 ergänzen sich hervorragend. Die in Artikel 21 der NIS2 geforderten Sicherheitsmaßnahmen spiegeln die technischen und organisatorischen Kontrollen aus Anhang A der ISO 27001 weitgehend wider. Organisationen mit einem zertifizierten ISO 27001-Managementsystem sind bestens aufgestellt, um die NIS2-Verpflichtungen zu erfüllen, da die Audit-Nachweise der ISO 27001 direkt zur Dokumentation der NIS2-Konformität genutzt werden können. ISOPlanner™ verknüpft die Anforderungen aus Artikel 21 der NIS2 mit den Kontrollen aus Anhang A der ISO 27001, sodass eine einzige Nachweisbasis für beide Rahmenwerke dient.
07.
Welche Sektoren fallen unter den Anwendungsbereich von NIS2?
Die NIS2-Richtlinie deckt ein weitaus breiteres Spektrum an Sektoren ab als ihr Vorgänger. Zu den hochkritischen Sektoren zählen Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastrukturen (Cloud, Rechenzentren, DNS, Vertrauensdienste), öffentliche Verwaltung und Raumfahrt. Weitere kritische Sektoren umfassen Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Lebensmittelproduktion, die Herstellung medizinischer Geräte sowie digitale Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial