Im Zusammenhang mit NIS2 und den ungarischen Cybersicherheitsanforderungen werden häufig Lösungen diskutiert, die in Großunternehmen durchaus sinnvoll sind, für eine kleine Kommune, eine Einrichtung oder ein Unternehmen mit fünf bis zehn Beschäftigten jedoch zu komplex, zu teuer oder schlicht unverhältnismäßig sind.
Bei CyberTeam Kft. begegnen uns solche Organisationen regelmäßig im Arbeitsalltag. Es gibt dort weder eine eigene Abteilung für Informationssicherheit noch ein größeres IT-Team oder das Budget für kostspielige Sicherheitssysteme. Stattdessen sind vielleicht einige Arbeitsplätze, ein NAS, ein Router, ein paar Cloud-Dienste und gegebenenfalls ein externer Systemadministrator vorhanden – und dennoch müssen die rechtlichen und informationssicherheitsbezogenen Anforderungen erfüllt werden.
Aus dieser Erfahrung entstand die Idee für unsere neue Fachartikelreihe:
NIS2 für kleine Organisationen
Mein Name ist Vass Gergely Zoltán. Ich bin Experte für Informationssicherheit und fachlicher Leiter der CyberTeam Kft. In dieser Reihe möchte ich die 19 Anforderungsfamilien der ungarischen MK-Verordnung 7/2024 (VI. 24.) behandeln – ausdrücklich aus Sicht kleinerer Organisationen.
Wir möchten nicht zeigen, wie man in einer kleinen Organisation eine Sicherheitsinfrastruktur für Großunternehmen aufbaut.
Ganz im Gegenteil.
Für jede Anforderungsfamilie werden wir untersuchen:
- was die Vorschriften tatsächlich verlangen;
- welche Mindestmaßnahmen eine kleine Organisation wirklich umsetzen muss;
- welche Anforderungen sich durch geeignete organisatorische Abläufe und Konfigurationen erfüllen lassen;
- wo einfache, kostenlose oder quelloffene Lösungen eingesetzt werden können;
- welche Dokumentation erforderlich ist;
- und wie sich die Umsetzung bei einer Prüfung oder einem Audit nachweisen lässt.
Unser Ziel ist also nicht, für jede Anforderung eine weitere Software anzuschaffen.
Oft sind die richtige Konfiguration eines vorhandenen Systems, ein einfaches Verzeichnis, ein gut definierter Prozess und dessen konsequente Dokumentation wertvoller als teure Technik, die eine Organisation in der Praxis gar nicht angemessen betreiben kann.
Mehr als nur eine Artikelreihe
„NIS2 für kleine Organisationen“ ist zugleich eine gemeinschaftliche Initiative.
Wir möchten Systemadministratoren, Informationssicherheitsbeauftragte, Auditoren, IT-Fachkräfte und Führungskräfte einbeziehen, die bereits einfache und funktionierende Lösungen für einzelne Anforderungen gefunden haben.
Wenn Sie eine Methode, ein Werkzeug oder eine Vorgehensweise kennen, die sich in einer kleineren Organisation bewährt hat, freuen wir uns über Ihre Kommentare und fachlichen Anregungen.
Besonders interessant sind für uns Lösungen, die:
- einfach zu betreiben und zu warten sind;
- keine erheblichen Lizenzkosten verursachen;
- auch in kleinen IT-Umgebungen praxistauglich sind;
- und bei einem Audit einen klaren, nachvollziehbaren Nachweis der Anforderungserfüllung ermöglichen.
Die Erfahrungen und bewährten Verfahren aus der Fachgemeinschaft möchten wir auch in die weiteren Teile der Reihe einfließen lassen.
Unser Ziel: ein gemeinsam erarbeiteter Praxisleitfaden
Nachdem wir alle 19 Anforderungsfamilien behandelt haben, möchten wir die Inhalte der Reihe und die Erfahrungen aus der Fachgemeinschaft in einer zusammenfassenden Fachpublikation bündeln:
„NIS2 für kleine Organisationen – ein praktischer Leitfaden“
Wir stellen uns einen Leitfaden vor, der die Anforderungen nicht nur auflistet, sondern auch erklärt:
Was ist konkret zu tun? Wie lässt sich die Maßnahme einfach umsetzen? Welche Werkzeuge kommen infrage? Und wie kann man nachweisen, dass die Maßnahmen tatsächlich funktionieren?
Teil eins: Programmmanagement
Wir beginnen mit der ersten Anforderungsfamilie der ungarischen MK-Verordnung 7/2024: dem Programmmanagement.
Schon dieses erste Thema wird das Grundprinzip unserer Reihe deutlich machen.
Eine kleine Organisation benötigt nicht zwangsläufig zwanzig separate Richtlinien und ein eigenes Governance-, Risk- und Compliance-System (GRC), nur weil diese Anforderungsfamilie zahlreiche verbindliche Elemente enthält.
Wir zeigen, wie sich diese Elemente zu einem übersichtlichen, einfachen und dauerhaft handhabbaren System verbinden lassen – beispielsweise mit einer gut ausgearbeiteten Informationssicherheitsrichtlinie (IBSZ), Verzeichnissen der elektronischen Informationssysteme (EIR) und Risiken, einem Maßnahmenplan, einem jährlichen Prüfplan und regelmäßigen Berichten an die Leitung.
Wir suchen also keine Wege, die Anforderungen zu umgehen.
Wir suchen Wege, sie verhältnismäßig, nachhaltig und auditierbar zu erfüllen.
Diesem Ansatz folgt CyberTeam Kft. auch in der täglichen Arbeit: Zuerst verstehen wir die tatsächlichen Abläufe und Risiken einer Organisation. Anschließend wählen wir die passenden Maßnahmen aus.
Eine gute Lösung für die Informationssicherheit ist nicht deshalb gut, weil sie kompliziert ist.
Sondern weil sie tatsächlich funktioniert.