Verlagsbeilage August 2024 Die Zeitschrift für Informations-Sicherheit NIS-2: Mit dem richtigen Konzept zur Compliance Seite 10 Herausforderung Kommunikation: IT-Security und Management müssen an einem Strang ziehen Seite 15 Compliance zwischen DSGVO, NIS-2-Richtlinie und KRITIS-Verordnung

Inhalt Mitherausgeber . m o c . e b o d a k c o t s / y fl r e t t u b n e e r g : d l i B NIS-2: Neue Cybersicherheits- richtlinie stellt Unternehmen vor große Herausforderungen Gegen Systembrüche! NIS-2: Mit den richtigen (Sicherheits-)Lösungen ein gutes Investment Von DSGVO bis NIS-2: Wie Unternehmen nicht den Überblick verlieren NIS-2: IT-Security-Richtlinie wird zur Chefsache News und Produkte 4 6 10 15 18 20 Impressum Bankverbindung: UniCredit Bank AG, München, IBAN: DE34 7002 0270 0015 7644 54 Alle Rechte vorbehalten, auch die des auszugs- weisen Nachdrucks, der Reproduktion durch Fotokopie, Mikrofi lm und andere Verfahren, der Speicherung und Auswertung für Daten- banken und ähnliche Einrichtungen. Media-Daten: Unsere Mediadaten fi nden Sie online auf www.kes.de/mediadaten. Herstellungsleitung und Vertrieb: Dieter Schulz, dieter.schulz@datakontext.com, Tel.: +49 2334 98949-99 Satz: Dirk Hemke (SatzPro), Krefeld; Markus Miller (Satz + Bild), München Zurzeit gültige Anzeigenpreisliste: Nr. 42 vom 01. Januar 2024 Druck: QUBUS media GmbH Beckstraße 10, 30457 Hannover Anzeigenleitung: Birgit Eckert (verantwortlich für den Anzeigenteil) Tel.: +49 6728 289003, anzeigen@kes.de Titelbild: vectorfusionart / stock.adobe.com Augustinusstraße 11 A, 50226 Frechen (DE) Tel.: +49 2234 98949-30 Fax: +49 2234 98949-32 redaktion@datakontext.com, www.datakontext.com Geschäftsführer: Dr. Karl Ulrich Handelsregister Amtsgericht Köln, HRB 82299 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 3

linie fallen alle mittleren und großen Unternehmen in den genannten Sektoren. Konkret betroffen sind Unter- nehmen mit mehr als 50 Beschäftigten oder mit einem Umsatz von über 10 Millionen Euro. Große Unterneh- men mit mehr als 250 Beschäftigten und mit einem Um- satz von über 50 Millionen Euro können sowohl unter die wesentlichen als auch unter die wichtigen Sektoren fallen. Sanktionen und Kontrolle Die NIS-2-Richtlinie hat weitreichende Konse- quenzen für Unternehmen, die Sicherheitsstandards ver- nachlässigen. Wesentliche Sektoren wie Energie und Gesundheitswesen riskieren Geldbußen von bis zu 10 Mil- lionen Euro oder zwei Prozent ihres Umsatzes. Staatliche Stellen wie das BSI überwachen diese Unternehmen pro- aktiv. In wichtigen Sektoren wie digitalen Diensten dro- hen Strafen von bis zu 7 Millionen Euro oder 1,4 Pro- zent des Umsatzes, wobei die Überwachung reaktiv nach Sicherheitsvorfällen erfolgt. Diese Maßnahmen sollen die Cybersicherheit stärken und Unternehmen zur Einhal- tung der Richtlinien anhalten. Welche Maßnahmen sind zu ergreifen? Die NIS-2-Richtlinie zielt darauf ab, die Cybersi- cherheit europäischer Unternehmen durch strengere Vor- schriften im Risikomanagement zu verbessern, basierend auf dem „All-Hazard-Ansatz“. Unternehmen sind ver- pflichtet, ein angemessenes Sicherheitsniveau zu etablie- ren und nachzuweisen, dass sie präventive Maßnahmen zur Verhinderung, Erkennung, Überwachung, Analyse und Behandlung von Sicherheitsvorfällen implementie- ren können. Dies stellt eine Herausforderung dar, da Un- ternehmen nachweisen müssen, dass sie proaktiv Sicher- heitsvorfälle verhindern, erkennen und effektiv darauf reagieren können. Wichtige Maßnahmen umfassen da- bei Risikomanagementsysteme, Identitäts- und Zugriffs- management, Kryptographie, Business Continuity, Asset Management und Incident Management. Effektive Minimierung von IT-Sicherheits- risiken durch Softwareeinsatz Bei der Umsetzung von Risikomanagementsys- temen und Asset Management sowie der Steigerung der Informationssicherheit unterstützt BAYOOSOFT Un- ternehmen mit praxiserprobten Werkzeugen und Prozes- sen. BAYOOSOFT Themis ermöglicht eine systematische Identifizierung, Bewertung und Verwaltung von IT-Si- cherheitsrisiken nach etablierten Normen und ISO-Stan- dards. Das Tool leitet Nutzende durch die Phasen der Ri- sikoidentifikation, Risikobewertung, Implementierung von Sicherheitskontrollen, Berichterstattung und Doku- mentation. Es orientiert sich dabei an den bewährten Si- cherheitsstandards des BSI-Grundschutzkatalogs. Mit BAYOOSOFT Themis können Unternehmen eine um- fassende Soll-Ist-Analyse durchführen, Sicherheitsmaß- nahmen planen und umsetzen sowie deren Wirksamkeit kontinuierlich überwachen. Der ganzheitliche Ansatz un- terstützt dabei, Risiken zu identifizieren, zu steuern und bei Bedarf proaktiv zu aktualisieren, ohne die Zusammen- arbeit im Team zu behindern oder die Nachverfolgbarkeit der Prozesse zu beeinträchtigen. Um die Anforderungen der NIS-2-Richtlinie zu erfüllen, ist es für Unternehmen entscheidend, klare Rech- te und Rollen für den Zugriff auf ihre Infrastruktur fest- zulegen. Der BAYOOSOFT Access Manager bietet eine automatisierte Lösung für das Berechtigungsmanagement von Fileservern, SharePoint, Active Directory und Dritt- systemen. Er standardisiert Routineaufgaben der Benut- zer- und Berechtigungsverwaltung und unterstützt bei der Bereitstellung von IT-Diensten. Diese Automatisierung hilft, operative Aufwände nachhaltig zu reduzieren, wäh- rend gleichzeitig die Informationssicherheit durch kon- tinuierliches Monitoring, Auditierung und transparentes Reporting für die Datenverantwortlichen in den Fachab- teilungen erhöht wird. Um die Netzwerkkommunikation zu sichern und unbefugten Datenzugriff zu verhindern, müssen Unter- nehmen Kryptografie-Strategien entwickeln und geeig- nete Verschlüsselungstechniken einsetzen. BAYOOSOFT gpg4o ist ein E-Mail-Verschlüsselungssystem, das E-Mails in einen für Unbefugte unverständlichen Code umwan- delt, den nur autorisierte Empfänger entschlüsseln kön- nen. Es umfasst die Erzeugung eines Schlüsselpaars, die Verschlüsselung und Entschlüsselung der Nachrichten, den Schutz des privaten Schlüssels und die Authentifizie- rung der Kommunikationspartner. Durch das PGP-Ver- schlüsselungsprotokoll gewährleistet gpg4o sichere Kom- munikation, besonders beim Austausch vertraulicher E-Mails. Stärkere Cybersicherheit für langfristige Resilienz Die NIS-2-Richtlinie markiert einen bedeuten- den Schritt für Unternehmen, um ihre Cybersicherheit zu stärken und das Vertrauen in digitale Infrastrukturen zu festigen. Die Einhaltung dieser Richtlinie erfordert nicht nur die Anpassung an strengere Sicherheitsstandards, son- dern bietet auch die Gelegenheit, robuste Verteidigungs- systeme gegen Cyberbedrohungen zu implementieren. Durch die Nutzung spezialisierter Softwareanwendungen können Unternehmen die Komplexität der Anforderun- gen bewältigen und ihre Netzwerke sowie Informations- systeme effektiv schützen. Dies ist entscheidend, um nicht nur gesetzliche Bestimmungen zu erfüllen, sondern auch langfristig die Widerstandsfähigkeit gegen digitale Risiken zu gewährleisten. ■ © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 5

Im Vordergrund steht das Risikomanagement. Es entscheidet, welchen Bausteinen welches Gewicht zuge- teilt wird, damit notwendige Maßnahmen entsprechend schnell bei Störungen und Schwachstellen greifen. Denn umfassende Sicherheit muss vor allem managebar sein. Für die sichere Konfi guration von IT-Systemen sowie Vorgaben zu Prozessen der Betriebsführung ist es empfehlenswert, ein ISMS einzusetzen – in der NIS- 2-Verordnung wird sogar explizit das „Management und Off enlegung von Schwachstellen [der informationstechni- schen Systeme]“ gefordert. Blinde Flecken Obwohl umfassende Informationssicherheit die Einbeziehung aller Organisationseinheiten eines Unter- nehmens voraussetzt, scheitert das Konzept häufi g an der Umsetzung und an falschen Erwartungen. Gerade die Im- plementierung eines ISMS wird oft nicht vorbehaltlos übernommen. Schnell kommt der Verdacht auf, dass es sich dabei nur um eine „lästige Dokumentation“ handelt, die abgelegt und vergessen wird. Darüber hinaus herrscht häufi g der Irrglaube, dass Informationssicherheit nur eine Sache der IT sei und mit den anderen Organisationen nichts zu tun hätte. So sind die Folgen in einem Krankenhaus beispielsweise, dass die Sicherheitsregeln auf die Verwaltungs-IT angewandt wer- den, aber nicht auf die am gleichen Netzwerk angeschlos- senen IT-Geräte der Medizintechnik. Auch das Facility Management und die dazugehörige Gebäudesicherheit, wie zum Beispiel Videokameras, Brand- und Einbruchs- meldeanlagen oder Zutrittskontrollen, können leicht ver- gessen werden. Es entstehen sogenannte „blinde Flecken in den Managementsystemen“, die dazu führen, dass nur eine fragmentierte Informationssicherheit etabliert wer- den kann. Aus diesem Grund ist es umso wichtiger, dass die Verantwortung für die Sicherheit bei der Geschäftsfüh- rung angesiedelt ist. Diese hat vor allem die Aufgabe, für eine umfassende Sicherheit zu sorgen. Sicherheitsstrategien, die Risiken minimieren und Ziele erreichen Jedes Unternehmen hat individuelle Risiken und benötigt somit auch ein tragfähiges Schutzkonzept – an- gepasst an die Risikolandkarte. Trotz aller Individualität lassen sich IT-Sicherheitsmaßnahmen bausteinartig zu einer umfassenden Sicherheitsarchitektur kombinieren. AirITSystems nutzt hierfür die Methodik der „Building Blocks“. Neben technologischen Blöcken wie beispiels- weise Firewalls, Endpoint Protection, Backup und Re- store, sollten auch Betriebsprozesse und Managementsys- teme, Reporting, Meldeprozesse und Berichtswesen in das Gesamtkonzept eingefügt werden. Das Ziel einer funktionierenden und umfassen- den Informationssicherheit ist nicht, wie viele denken, der perfekte Schutz. Diesen gibt es nicht. Vielmehr geht es da- rum, die Resilienz des Unternehmens so weit zu stärken, dass es sich selbst organisieren und Maßnahmen einleiten Abbildung 1: Risiko- management im Fokus – tragfähige Sicherheitsarchitek- turen als Unter- nehmensbasis (Bild: AirITSystems) © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 7

Ihr Premium-IT-Dienstleister für maximale Sicherheit & Verfügbarkeit • Zertifizierte Rechenzentren in Deutschland bis TÜViT-TSI-Level-4 • Georedundanz zwischen Nürnberg und München mit Latenzen < 2 Millisekunden • Umfassendes Portfolio von Colocation bis Cloud-Services • Kompetente Unterstützung durch unsere IT-Security- Experten bei der Umsetzung Ihrer Sicherheitsauflagen: MaRisk, BAIT, VAIT, ZAIT, KRITIS, NIS2, DORA, IT-SiG 2.0, FISG und ISAE 3402 • Ausgefeilte SIEM-Systeme und eigenes SOC für die Bearbeitung und Dokumentation Ihrer Security-Events Jetzt informieren

den ist, beweist der digitale Dauer- beschuss auf Organisationen beliebi- ger Größe. Astronomisch gestiegene Sicherheitslecks und Datenpannen zwangen die EU schon beim The- ma Datenschutzrecht zum Handeln: Die DSGVO sollte häufige „Fehler im System“ wie mangelnde Sicher- heitsvorkehrungen oder die Wahr- nehmung von Datenschutz als lästi- ges Übel stärker eindämmen. Hier spielte ein Begriff eine tragende Rolle, der sich auch in der NIS-2-Richtlinie wiederfindet: Stand der Technik. Die NIS-2-Richt- linie regelt in Art. 21 ausdrücklich, dass die betroffenen Unternehmen und Organisationen unter Berück- sichtigung des Stands der Technik geeignete und angemessene techni- sche, organisatorische sowie opera- tive Maßnahmen vornehmen müs- sen, um Cybersicherheitsrisiken zu beherrschen und die Folgen von Si- cherheitsvorfällen zu verhindern. Was heißt denn Stand der Technik genau? Auf den ersten Blick er- scheint der Begriff „Stand der Tech- nik“ absolut verständlich. Kunden verwenden ihn oft als Synonym für den aktuellen Entwicklungsstand von Technologien, Produkten oder Dienstleistungen. Das Ganze hat aber einen Haken: Je nach Bran- che und Anwendungsbereich kann die Definition des Stands der Tech- nik unterschiedlich ausfallen. Insbe- sondere in der sensiblen IT-Sicher- heitsbranche gehört mehr dazu, als nur die Bedürfnisse und Anforde- rungen der Verbraucher zu erfüllen. Denn der Stand der Technik wird bereits vielfach in Vorschriften, Ge- setzen – wie das Informationssicher- heitsgesetz (Schweiz), das Netz- und Informationssystemsicherheitsgesetz (Österreich) oder das BSI-Gesetz (Deutschland) – und selbst in den Vertragsbedingungen von Cyberver- sicherungen genutzt. Damit hat der Begriff einen direkten Einfluss nicht nur auf kritische Infrastrukturen, Abbildung. 1: Unter- nehmen haben noch deutlichen Nachhol- bedarf (Bild: ESET) sondern letztlich sogar auf fast jede Organisation. Der Begriff Stand der Tech- nik in der IT-Sicherheit ist nicht klar umgrenzt. So gibt es keine ein- deutigen Handlungsempfehlungen oder eine genaue Definition, welche IT-Security-Technologien oder -Lö- sungen Unternehmen und Organi- sationen einsetzen sollen. Je mehr man sich mit diesem unbestimmten Rechtsbegriff auseinandersetzt, umso vielschichtiger und weitreichender wird seine Tragweite. Im Gegen- satz zu anderen Branchen ist der Stand der Technik letzten Endes und schlimmstenfalls für das Überleben des Unternehmens entscheidend. Vor diesem Hintergrund stellt sich generell die Frage, welche Anforderungen an die IT-Sicher- heit auf Unternehmen zukommen und wie angemessene Maßnahmen aussehen könnten. Denn ein un- bestimmter Rechtsbegriff hilft Ent- scheidern wenig, wenn sie die prakti- sche Umsetzung der eigenen Security vorantreiben möchten. Es reicht be- kanntlich nicht mehr aus, nur eine Sicherheitslösung und eine Firewall zu implementieren. Allerdings gibt es aktuell kein klar definiertes Basis- niveau für den Stand der Technik, an dem man sich orientieren könnte. Der Grund dafür liegt auf der Hand: Die Anforderungen und der tatsäch- liche Handlungsbedarf in puncto IT- Sicherheit unterscheiden sich von Organisation zu Organisation. Zero-Trust-Security als eine Lösung In mehreren aktuellen Erhe- bungen wurde deutlich, dass KMU hinsichtlich der technischen Maß- nahmen nur über rudimentären Ba- sisschutz verfügen. Fast die Hälfte der befragten Unternehmen setzten keinerlei Maßnahmen zur Anomalie- oder Schwachstellenerkennung ein, verzichteten auf Tools zum Patchma- nagement oder zum Incident Ma- nagement. Nur wenige der Befragten betrachteten ihr aktuelles Schutzni- veau als angemessen in Bezug auf die aktuelle Cyberbedrohung. Als eine mögliche Lösung zur effektiven Risikominimierung gelten Zero-Trust-Security- Ansätze, die auf einem mehrschichtigen, aufeinander aufbauenden Reifegradmodell basie- ren. Sie bringen die Bedürfnisse einer Vielzahl von Organisationen in eine klare Reihenfolge. Eine umfassende Sicherheitsstrategie beinhaltet in je- dem Fall eine zusätzliche individuelle Bewertung sowie Absicherung mög- licher Angriffsvektoren – und hebt die Security auf den aktuellen Stand der Technik. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 11

So private wie nötig, so public wie möglich. secunet – Cloud-Lösungen zu Ende gedacht. Als langjähriger IT-Sicherheitspartner der Bundesrepublik Deutschland gestalten wir souveräne Cloud-Lösungen ganz nach Ihren Bedürfnissen – on-premise, public oder auch kombiniert als flexible Hybrid Cloud. secunet.com protecting digital infrastructures

Management und Wissen Compliance garantieren Von DSGVO bis NIS-2: Wie Unterneh- men nicht den Überblick verlieren IT-Security und Chefetage müssen an einem Strang ziehen. Nur so kann die Compliance im Ange- sicht zunehmend komplexerer Regulierungen garantiert werden. Doch eine gehemmte Kommu- nikationskultur erschwert oft die Zusammenarbeit. Wir geben Tipps für die richtige Kommunika- tion und stellen Lösungen vor, wie Unternehmen Cyberrisikomanagement Compliance-konform umsetzen können. Zudem erhalten Leser mit dem neu überarbeiteten rechtlichen Leitfaden von Trend Micro einen Überblick über alle wichtigen gesetzlichen Regelungen im IT-Sicherheitsbereich. Von Richard Werner, Trend Micro Datenschutzgrundverordnung (DSGVO), NIS-2, C5-Testat – wenn Verantwortliche heutzutage Compli- ance garantieren wollen, stehen sie vor einem komplexen Geflecht aus nationalen und internationalen Regelwerken. Dabei können Verstöße empfindliche Konsequenzen nach sich ziehen. Insbesondere die neue NIS-2-Richtlinie der EU betont, dass Cyberrisikomanagement als Chefsache anzuse- hen ist – so müssen CEOs persönlich haften, falls Regelver- stöße festgestellt werden. Compliance zu überwachen, ist allein aus diesem Grund keine triviale Aufgabe. Was noch erschwerend hinzukommt: Die Kommunikationsprozesse in deutschen Unternehmen sind oftmals blockiert. So re- den IT-Sicherheitsverantwortliche und die Chefetage ent- weder aneinander vorbei oder nehmen sich nicht richtig ernst. Dabei ist IT-Security absolut geschäftsentscheidend. Was können Unternehmen tun, um die Kommunikation zu verbessern und im Wald der gesetzlichen Cybersecurity- Regulierungen nicht den Überblick zu verlieren? Herausforderung: Kommunikation Eine aktuelle Studie von Trend Micro ergab, dass sich über drei Viertel der IT- und IT-Sicherheitsverant- wortlichen in deutschen Unternehmen von der Geschäfts- leitung unter Druck gesetzt fühlen, die Cyberrisiken im Unternehmen herunterzuspielen. Fast die Hälfte von ih- nen glaubt, dass erst ein schwerwiegender Sicherheitsvor- fall die Führungsriege dazu veranlassen würde, entschlos- sener gegen Cyberrisiken vorzugehen. Diese Ergebnisse zeigen ein gravierendes Kommunikationsproblem: Offen- sichtlich schaffen es die Security-Verantwortlichen nicht, der Geschäftsleitung die Bedeutung von Cyberrisiken und die daraus entstehenden Geschäftsrisiken aufzuzeigen. Wie gelingt es also, die Kommunikation zwischen CISO und CEO zu verbessern? Cybersecurity-Deutsch – Deutsch-Cybersecurity Damit die Geschäftsführung fundierte Risikoein- schätzungen treffen kann, braucht sie konkrete, messbare Fakten. So berichten fast alle befragten CISOs (99 Pro- zent), dass sich ihre interne Lage verbesserte, sobald es ih- nen gelang, den geschäftlichen Nutzen ihrer Cybersicher- heitsstrategie zu messen: 46 Prozent erhielten daraufhin mehr Budget. 42 Prozent werden in die Entscheidungs- findung auf höherer Ebene miteinbezogen und 40 Prozent wurde mehr Verantwortung zuteil. Sobald konkrete Kennzahlen zum Risikostatus ei- nes Unternehmens geliefert werden, verbessert sich also die Kommunikationslage zwischen CISO und CEO er- heblich – und damit auch die Wertschätzung. Ein messba- rer Risk-Score erlaubt es der Geschäftsleitung, schwierige Entscheidungen zu treffen: Etwa ob ein potenzielles Risi- ko ignoriert, überwacht oder mit konkreten Maßnahmen angegangen werden soll. Letztlich sollte die Entscheidung davon abhängen, wie schwerwiegend das Risiko die Ge- schäftsfähigkeit des Unternehmens beeinflussen könnte. Zudem ist es für CISOs ratsam, konkrete Erläu- terungen zu Prozessen und notwendigen Schutzmechanis- © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 15

cherheitsvorfall, der schwerwiegende Betriebsstörungen oder fi nanzielle Verluste für Einrichtungen zur Folge hat oder erhebliche materielle oder immaterielle Schäden für andere Personen verursacht. Innerhalb von 72 Stunden nach Kenntnisnahme des Vorfalls ist die betroff ene Or- ganisation ferner dazu verpfl ichtet, Details und eine ers- te Bewertung des Cyberangriff s bereitzustellen. Spätestens einen Monat nach Übermittlung der Meldung muss das Unternehmen oder die Behörde einen Abschlussbericht mit einer ausführlichen Beschreibung des Schweregrads, der Auswirkungen und der Ursachen sowie der durchge- führten Abhilfemaßnahmen übermitteln. Dienstleister und RZ-Betreiber im Fokus Mit diesen erweiterten Vorschriften für IT-Infra- strukturen von Organisationen aus systemkritischen Bran- chensegmenten nimmt das EU-Gesetz unweigerlich auch IT-Dienstleister und Rechenzentrumsbetreiber an die kur- ze Leine. Um als NIS-2-konform zu gelten, müssen sie besonders strenge technische und organisatorische Maß- nahmen (TOM) treff en. Dazu gehören Vorkehrungen wie ein physischer Zugangsschutz, ein umfassendes Risiko- management und entsprechende Sicherheitsmaßnahmen inklusive regelmäßiger Risikobewertungen, um poten- zielle Bedrohungen und Schwachstellen identifi zieren zu können. Hinzu kommen technische Maßnahmen für die Insgesamt 18 Sektoren sind von der NIS-2 betroffen: Hohe Kritikalität: Energie Verkehr Bankenwesen Finanzmarktinfrastrukturen Trink- und Abwasser Gesundheitswesen Verwaltung von IKT-Diensten Öff entliche Verwaltung Weltraum Digitale Infrastruktur Sonstige kritische Sektoren: Abfallwirtschaft Produktion, Herstellung, Handel mit chemischen Stoff en Produktion, Verarbeitung, Vertrieb von Lebensmitteln Verarbeitendes Gewerbe Post- und Kurierdienste Anbieter digitaler Dienste Forschung Netzwerksicherheit sowie Verschlüsselungstechnologien für Daten im Ruhezustand und während der Übertragung oder das regelmäßige Einspielen von Sicherheitsupdates. Aber auch organisatorische Schritte wie die Entwicklung von Incident-Response-Plänen zur schnellen und eff ekti- ven Reaktion auf Sicherheitsvorfälle gehören dazu. Alle Si- cherheitsmaßnahmen und Vorfälle müssen darüber hinaus lückenlos dokumentiert und regelmäßig überprüft sowie durch Audits bestätigt werden. Vertrauen durch Zertifi zierungen Gleichzeitig sind NIS-2-konforme Rechenzentren nun besonders gefordert, die Zuverlässigkeit und Verfüg- barkeit und somit die Business Continuity für systemkri- tische Einrichtungen jederzeit mithilfe von redundanten Systemen, Notstromversorgungen, den IT- und OT-Sys- temen und natürlich mit Back-up- und Disaster-Recove- ry-Plänen zu gewährleisten. Ob Rechenzentrumsbetreiber und IT-Dienstleister die harten Voraussetzungen erfüllen, lässt sich anhand von Zertifi katen ermitteln. Sie stellen si- cher, dass ein Anbieter die gesetzlichen Anforderungen für die Sicherheit und den Schutz kritischer Infrastrukturen in Deutschland erfüllt. Dazu zählen klassische Zertifi zierungen wie ISO 27001, ISO 20000 und BSI-Grundschutz. Besonde- re Relevanz kommt dem TÜViT-TSI-Level-4-Zertifi kat zu, das von der TÜV Informationstechnik GmbH (TÜ- ViT) vergeben wird. Diese Zertifi zierung ist schon heute für Organisationen wie beispielsweise Banken und Versi- cherungen, aber auch Behörden mit kritischen Bereichen unabdingbar. TÜViT TSI Level 4 bewertet und beschei- nigt die physische Sicherheit und technische Infrastruktur eines Rechenzentrums und stellt sicher, dass es die höchs- ten Anforderungen an Sicherheit, Verfügbarkeit und Aus- fallsicherheit erfüllt. Dazu gehören unter anderem der Brandschutz und das Notfallmanagement für den Kata- strophenfall. Außerdem stellt die Zertifi zierung sicher, dass kritische Infrastrukturkomponenten wie Stromver- sorgung, Klimatisierung und Netzwerkverbindungen red- undant und hochverfügbar zur Verfügung stehen. NIS-2: 30 000 Unternehmen betroffen Fest steht: Mit NIS-2 hat die EU harte Maßnah- men für eine höhere Cybersicherheit in Europa getroff en. Bis Oktober 2024 muss der verabschiedete Entwurf der Europäischen Union die Gesetzgebung auf Bundesebene durchlaufen. Schätzungsweise rund 30 000 Unternehmen der deutschen Wirtschaft und zahlreiche Einrichtungen der öff entlichen Hand sind davon betroff en. Institutionen indes, die durch die NIS-1-Richtlinie und das IT-Sicher- heitsgesetz 2.0 (IT-SiG 2.0) bereits heute erfasst werden, müssen sich auf schärfere Kontrollen, Nachweispfl ichten sowie deutlich höhere Sanktionen einstellen. ■ © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special Compliance, August 2024 19

Flicken reicht in der IT-Sicherheit nicht aus Wir machen Ihre Organisation NIS2-READY. eset.de/nis2

+ Mehr wissen mit Sichern Sie sich Ihren Wissensvorsprung in der Informationssicherheit! ▪ Fachzeitschrift inkl. Specials 6x jährlich per Post und digital. ▪ Zugang zu aktuellen Online-Fachartikeln und Studien sowie zu dem kompletten Online-Archiv. ▪ Exklusiver Zugriff auf über zwanzig neue Online-Premium-Artikel pro Monat sowie auf aktuelle Videos und Webinaraufzeichnungen. ▪ 10 % Rabatt auf DATAKONTEXT- Online-Schulungen im Bereich Informationssicherheit. ▪ nur 199,— € im Jahr (inkl. Mwst. und Versand) Jetzt 30 Tage kostenfrei testen: www.kes-informationssicherheit.de