NIS2 und das neue Informationssicherheitsgesetz: 5 Änderungen, die Ihr Geschäft beeinflussen

Die Cybersicherheit in Serbien ist in eine neue regulatorische Phase eingetreten. Das neue Informationssicherheitsgesetz ändert erheblich die Art und Weise, wie Organisationen IKT-Risiken, Vorfälle, Aufzeichnungen, Managementverantwortung und den Umgang mit der Aufsicht handhaben müssen.

Wenn Sie das regulatorische Umfeld im Bereich der Cybersicherheit verfolgen, haben Sie sicherlich von der NIS2-Richtlinie gehört. Obwohl Serbien kein Mitglied der Europäischen Union ist, folgt das neue Gesetz weitgehend der Logik dieser Richtlinie: ein breiterer Kreis von Verpflichteten, ein stärkerer Fokus auf Risikobewertung, obligatorische Meldung von Vorfällen, strengere Schutzmaßnahmen und eine klarere Verantwortung der Geschäftsleitung.

Der neue Regulierungsrahmen betrifft direkt die Geschäftsleitung, Rechts- und Compliance-Teams, die Risikofunktion, den Datenschutzbeauftragten (DPO), den Einkauf, den Betrieb und alle Organisationen, die von digitalen Diensten abhängen oder diese anderen anbieten.

Im Folgenden heben wir fünf Änderungen hervor, die jede Organisation verstehen sollte, bevor eine Inspektion, ein Vorfall, eine Kundenanfrage oder eine Ausschreibung dieselbe Frage aufwirft.

Prioritäres oder wichtiges IKT-System – die Frage ist jetzt viel mehr als eine Formalität

Das neue Gesetz teilt IKT-Systeme von besonderer Bedeutung in zwei Kategorien ein: prioritäre und wichtige IKT-Systeme. Die Kategorie, in die eine Organisation fällt, beeinflusst direkt den Umfang der Verpflichtungen, das Überwachungsniveau, die Schutzmaßnahmen, die Revisionsdynamik, die Berichtspflichten und die potenzielle Strafenexposition.

• Prioritäre IKT-Systeme umfassen Sektoren, ohne die wichtige staatliche, wirtschaftliche und soziale Funktionen ernsthaft gefährdet wären, wie Energie, Finanzen, Gesundheitswesen, digitale Infrastruktur und bestimmte IKT-Dienstleister.
• Wichtige IKT-Systeme umfassen Organisationen, deren Betriebsunterbrechung oder Kompromittierung erhebliche wirtschaftliche oder soziale Auswirkungen haben könnte, einschließlich bestimmter Produktions-, Logistik-, Lebensmittel-, Versorgungs- und anderer Sektoren.

Besonders wichtig ist, dass das Gesetz auch Organisationen erfasst, die IKT-Dienste für andere anbieten: Hosting-Provider, Rechenzentren, Cloud- und Softwareplattformen, Managed Service Provider und andere Technologieanbieter. Wenn Sie Teil der digitalen Lieferkette sind, können Sie direkt oder indirekt durch die Anforderungen Ihrer Kunden betroffen sein.

Eine falsche Klassifizierung ist kein administrativer Fehler. Wenn eine Organisation sich als weniger risikoreich einschätzt, als sie tatsächlich ist, kann sie den Umfang der erforderlichen Maßnahmen unterschätzen, das Budget falsch planen, Fristen versäumen und in die regulatorische Aufsicht geraten, ohne ausreichende Nachweise der Konformität zu haben.

Die Risikobewertung wird zur Grundlage jeder ernsthaften Entscheidung über Cybersicherheit

Vor NIS2 und dem neuen nationalen Regulierungsrahmen hatten viele Organisationen Sicherheitsdokumentationen, die einmal erstellt und dann in der Schublade vergessen wurden. Das neue Gesetz macht einen solchen Ansatz praktisch unmöglich. Jeder Betreiber eines IKT-Systems von besonderer Bedeutung ist verpflichtet, einen Risikobewertungsakt zu erlassen und diesen regelmäßig zu überprüfen. Dies ist eine logische Anforderung, da die Schutzmaßnahmen dem aktuellen Risiko entsprechen müssen und nicht dem Zustand von vor drei Jahren.

Die Risikobewertung ist die Grundlage für alle anderen Sicherheitsentscheidungen: welche Kontrollen implementiert werden sollen, wie viele Ressourcen zugewiesen werden sollen und wie die Behebung priorisiert werden soll. Eine qualitativ hochwertige Risikobewertung gibt der Geschäftsleitung Antworten auf drei Schlüsselfragen: Wo sind wir am stärksten exponiert, welche Maßnahmen haben die größte Wirkung und was müssen wir dem Regulator, Kunden oder Auditoren nachweisen?

Für das Management ist dies besonders wichtig, da der neue Ansatz zur Cybersicherheit eine nachweisbare Verbindung zwischen Risiko, Budget, Schutzmaßnahmen und Verantwortung erfordert. Mit anderen Worten, es reicht nicht aus zu sagen, dass eine Organisation eine Informationssicherheitsrichtlinie hat; es muss gezeigt werden, dass die Maßnahmen auf der Grundlage des tatsächlichen Risikos ausgewählt wurden und dass ihre Wirksamkeit überwacht wird.

Vorfälle dürfen nicht „unter den Teppich gekehrt“ werden

Gemäß dem neuen Gesetz sind Betreiber verpflichtet, einen Sicherheitsvorfall innerhalb von 24 Stunden über ein einheitliches System zu melden, das vom zuständigen nationalen CERT betrieben wird. In der NIS2-Logik ist die frühzeitige Meldung eines Vorfalls nicht nur eine Formalität; sie ist Teil eines breiteren Systems zur Koordination, Schadensminderung und zum Schutz von Nutzern, Märkten und dem öffentlichen Interesse.

Jeder, der einen Vorfall hatte oder an dessen Behebung beteiligt war, weiß, dass die ersten 24 Stunden am wichtigsten sind. Deshalb müssen Organisationen definierte Incident-Response-Verfahren haben. Im Moment eines Vorfalls darf keine Zeit damit verschwendet werden, zu vereinbaren, wer was tut, wer das Management informiert, wer Beweise sichert, wer mit dem Regulator kommuniziert und wer die Entscheidung über eine Eskalation trifft.

In der Praxis kann eine Organisation, die kein vordefiniertes Incident-Response-Modell hat, die 24-Stunden-Frist kaum qualitativ erfüllen.

Wenn Sie keine internen IR-Kapazitäten haben, können Sie ein externes Incident-Response-Team beauftragen, das bei Verfahren, Vorbereitung, Tabletop-Übungen, aber auch bei der Bewältigung eines bereits eingetretenen Vorfalls hilft. Dies ist besonders wichtig für Organisationen, die kein 24/7 SOC, DFIR-Team oder eine klar definierte Krisenstruktur haben.

Die Erfassung von IKT-Systemen, IP-Adressen und exponierten Diensten wird zu einer regulatorischen Frage

Eine der konkreten Neuerungen ist die Pflicht zur Bereitstellung von IP-Adressdaten im Rahmen der IKT-Systemerfassung. Auf den ersten Blick mag dies wie ein administratives Detail erscheinen. In der Praxis sind die Auswirkungen operativ und sicherheitsrelevant.

Um diese Verpflichtung zu erfüllen, müssen Sie wissen, was Sie haben. Viele Organisationen haben kein aktuelles Bild ihrer eigenen Infrastruktur, insbesondere wenn es um Cloud-Ressourcen, hybride Umgebungen, Entwicklungsumgebungen, exponierte Dienste und Systeme geht, die über Jahre hinweg ohne zentrale Übersicht entstanden sind.

Die Erfassung von IP-Adressen ist nicht nur eine Excel-Tabelle. Sie ist ein Test für die Reife des Asset Managements, der Cloud Governance, des Vulnerability Managements und des Attack Surface Managements. Wenn eine Organisation nicht weiß, was sie besitzt und was dem Internet ausgesetzt ist, kann sie nicht behaupten, Cyberrisiken zu managen.

Dies betrifft direkt drei Bereiche:

Asset Management – Haben Sie eine genaue und aktuelle Aufzeichnung aller IP-Adressen, Systeme, Dienste und Ressourcenbesitzer, einschließlich Cloud- und Hybridumgebungen?

Attack Surface Management – Wissen Sie, was extern exponiert ist, auf welchen Ports, mit welchen Technologien und in welchem Sicherheitszustand?

Vulnerability Management – Verfolgen Sie Schwachstellen auf der Ebene konkreter Systemressourcen, mit klaren Verantwortlichkeiten, Fristen und Nachweisen der Behebung?

Vor dem neuen Gesetz haben Organisationen, die nicht im Fokus der Regulierungsbehörden standen, die Aktualisierung von Aufzeichnungen oft ohne direkte Konsequenzen aufgeschoben. Jetzt wird die Aufzeichnung Teil einer gesetzlichen Verpflichtung und eines der ersten Elemente, die die Aufsicht überprüfen kann.

Das Büro für Informationssicherheit bringt eine zentralisiertere Aufsicht und klarere Koordination

Das neue Gesetz sieht die Gründung eines Büros für Informationssicherheit vor. Dieses übernimmt eine zentrale Koordinierungsrolle im Informationssicherheitssystem, einschließlich der Aufgaben des nationalen CERT, der internationalen Zusammenarbeit, Koordination, Aufzeichnungen, Schulungsprogramme und mehr.

Für Unternehmen bedeutet dies eine klarere Kontaktstelle mit dem Staat in Cybersicherheitsfragen, aber auch einen schrittweisen Übergang von der internen Selbstbewertung zu einer nachweisbaren Überwachung. Richtlinien, Verfahren und technische Kontrollen müssen durch Nachweise untermauert werden: Protokolle, Logs, Berichte, Risikobewertungen, Schulungspläne, Testergebnisse und Aufzeichnungen über umgesetzte Maßnahmen.

Es ist wichtig, die Entwicklung dieser Institution zu verfolgen, da ihre Kapazität, Arbeitsmethodik und ihr Überwachungsansatz direkt beeinflussen werden, wie Organisationen die Konformität in der Praxis nachweisen müssen.

Besonders wichtig: Das Gesetz wird auch Lieferanten treffen, die formal möglicherweise keine direkten Verpflichteten sind

Auch wenn Ihre Organisation formal kein Betreiber eines prioritären oder wichtigen IKT-Systems ist, wird der neue Regulierungsrahmen Sie wahrscheinlich durch Kundenanforderungen betreffen. Banken, Versicherungen, der öffentliche Sektor, Gesundheitseinrichtungen, Energieunternehmen und große Wirtschaftssysteme werden zunehmend Nachweise verlangen, dass ihre Lieferanten über angemessene Cybersicherheitsmaßnahmen, Incident-Response-Kapazitäten, Schwachstellenmanagement, Zugriffskontrolle und grundlegende regulatorische Dokumentation verfügen.

Wo sollen Sie anfangen?

Der erste Schritt ist nicht der Kauf eines neuen Tools. Der erste Schritt ist das Verständnis der Verpflichtungen, der Klassifizierung, der Risiken und des aktuellen Reifegrads.

Konkrete Schritte, die zu unternehmen sind:

1. Bestimmen Sie die Klassifizierung – sind Sie ein prioritäres IKT-System, ein wichtiges IKT-System oder ein Lieferant, der indirekt von den Anforderungen seiner Kunden betroffen sein wird?
2. Führen Sie eine Risikobewertung durch – ohne diese haben Sie keine Grundlage für die nächsten Schritte.
3. Überprüfen Sie die Incident-Response-Verfahren – haben Sie die Kapazität, einen Vorfall innerhalb von 24 Stunden zu reagieren, zu dokumentieren und zu melden?
4. Aktualisieren Sie die Infrastrukturaufzeichnungen – insbesondere IP-Adressen, exponierte Dienste, Cloud-Ressourcen und kritische Systeme.
5. Schulen Sie Management und Mitarbeiter – Cybersicherheit ist jetzt eine organisatorische Verantwortung und nicht nur eine technische Frage.
6. Bereiten Sie Nachweise vor – Richtlinien, Verfahren, Logs, Protokolle, Testergebnisse und Aufzeichnungen über umgesetzte Maßnahmen.

Wie können wir helfen?

PULSEC unterstützt Organisationen dabei, das neue Informationssicherheitsgesetz und die NIS2-Anforderungen in ein konkretes, nachweisbares und umsetzbares Compliance-Programm zu übersetzen. Unser Ansatz verbindet regulatorische Interpretation, GRC-Methodik, technische Prüfung und operative Cyberabwehr.

• Klassifizierung der Organisation und initiale NIS2 / Informationssicherheitsgesetz Gap-Analyse;
• Erstellung des Risikobewertungsakts und Priorisierung der Schutzmaßnahmen;
• Etablierung von Incident-Response-Verfahren und eines 24-Stunden-Meldesystems;
• vCISO-Unterstützung für Management, IT-, Risiko- und Compliance-Teams;
• Schwachstellenanalyse, Penetrationstests und Attack Surface Assessment;
• Awareness-Schulungen für Mitarbeiter und Management;
• Vorbereitung von Dokumentation, Aufzeichnungen und Beweismaterial für die Aufsicht;
• Unterstützung durch SOC-, Incident-Response- und DFIR-Kapazitäten.

Wenn Sie nicht wissen, wo Sie anfangen sollen, beginnen Sie mit einer Frage: Können Sie heute nachweisen, dass Sie Ihre Risiken, Ihre Verpflichtungen und Ihre kritischen Systeme kennen?

Wenn die Antwort „nein“ oder „wir sind uns nicht sicher“ lautet, ist es höchste Zeit, mit unserem Team zu sprechen.