Michael
Herzlich willkommen zu einer neuen Ausgabe von Cybersecurity Basement, dem Podcast für echten Security Content. Ich begrüße unseren Stammgast Andreas Papadaniil, Gründer und Geschäftsführer der suresecure GmbH. Andreas, einen wunderschönen guten Morgen!
Andreas
Good Morning! Danke, dass ich hier sein darf.
Michael
Wie immer sehr gerne, denn wir wollen heute noch einmal über NIS 2 sprechen – aber ein bisschen in einem anderen Kontext. Das Thema hat ja wieder Fahrt aufgenommen, weil im Dezember das Umsetzungsgesetz kam. Jetzt läuft so langsam die Zeit, die ganzen Controls zu erfüllen. Wir wollen heute darüber sprechen: Was bringen uns eigentlich diese ganzen Leitfäden, die es aktuell im Internet gibt?
Michael
Nahezu jeder Hersteller hat mittlerweile einen rausgebracht. Gefühlt 80 % aller Dienstleister und Provider haben einen veröffentlicht. Man kann überall nachlesen, was man tun soll. Haben wir einen rausgebracht? Nein, haben wir nicht. Aber mit diesem Podcast kommt auch ein etwas kritisches Whitepaper zu diesen ganzen Leitfäden. Denn natürlich stelle ich mir die Frage: Was muss man jetzt wirklich tun?
Michael
Das wollen wir heute mal im Detail besprechen. Was sind das eigentlich für Dinge und reichen Controls aus? Reicht es, Dinge abzuhaken, oder müssen wir das Ganze doch eher in einem Konzept verarbeiten? Denn wir suchen ja alle nach Wirksamkeit. NIS 2 ist ja nichts, was ich einfach abhake und sage, ich habe es erledigt, sondern da soll ja wirklich Wirksamkeit entstehen.
Michael
Und da liegt, glaube ich, auch der große Unterschied. Deshalb ist es meiner Meinung nach nicht immer ratsam, einen solchen Leitfaden eins zu eins zu befolgen. Denn grundsätzlich wissen wir ja alle, was gefordert ist. Darüber wird jetzt seit zwei Jahren gesprochen. Warum funktioniert es deiner Meinung nach trotzdem oft nicht so richtig?
Andreas
Ich glaube, wir alle aus der Branche wissen, was gemeint ist. Aber wenn ich draußen mit Unternehmern und Geschäftsführern spreche, ist das noch nicht überall angekommen. Du musst dir vorstellen: Jedes Jahr kommen neue Gesetzesanpassungen, neue Gesetze. Als Geschäftsführer stehst du erst mal da und denkst: Oh mein Gott, was ist das denn jetzt?
Andreas
Überall heißt es: Du musst schnell konform werden, sonst drohen hohe Strafen, großes Problem. Und irgendwann bist du auch resigniert von diesen ganzen Anforderungen und priorisierst. Wenn du ein Gesetz hast, das die EU fordert und bis zu einem Stichtag umgesetzt werden muss, die Regierung aber noch diskutiert, sich Zeit lässt, dann schiebst du das erst mal beiseite. Du kümmerst dich erst um das, was heute ein Risiko für dich ist.
Andreas
Dann kommt noch dazu, dass die Definition, wann du betroffen bist und wann nicht, oft unklar ist. Als Geschäftsführer schaust du dir NIS 2 an und die erste Frage ist: Bin ich wirklich betroffen? Du kannst einen BSI-Checker nutzen, du kannst mit Anwälten oder Beratern sprechen, aber allein dieser Prozess sorgt schon dafür, dass man sagt: Mal gucken, ich weiß ja noch gar nicht genau.
Michael
Ist aber tatsächlich sehr wichtig herauszufinden, denn wenn du betroffen bist, hast du auch Meldepflichten.
Andreas
Genau. Und ich spreche heute noch mit Geschäftsführern, die sagen: Was ist NIS 2 überhaupt? In vielen Gesprächen stellen wir dann Betroffenheit fest und dann kommt die Frage: Was muss ich denn jetzt genau machen?
Michael
Es gab ja schon andere Gesetze, die das Ziel hatten, für mehr Resilienz zu sorgen. Die Schäden durch Cyberangriffe steigen laut Bitkom auf über 200 Milliarden Euro. Das ist Wahnsinn. Warum hat das bisher nicht funktioniert und warum soll es jetzt mit NIS 2 anders werden?
Andreas
Der Unterschied ist, dass sich das Thema jetzt auf deutlich mehr Unternehmen ausweitet. Vorher waren es regulierte Bereiche wie Banken, Versicherungen, Finanzwesen. Jetzt sind plötzlich auch produzierende Unternehmen mit 50 Millionen Umsatz betroffen, die vorher nie reguliert waren.
Andreas
Der zweite Punkt sind konkretere Umsetzungsmaßnahmen. Bei der DSGVO war viel nach „Stand der Technik“, was man ausdiskutieren konnte. Bei NIS 2 steht konkreter drin, was zu tun ist: Multifaktor-Authentifizierung, Angriffserkennung, Reaktion, Meldeprozesse. Und der dritte Punkt ist die Geschäftsführerhaftung.
Andreas
Zum ersten Mal haftet der Geschäftsführer potenziell mit seinem Privatvermögen. Vorher hat das Unternehmen gezahlt. Jetzt kann der Geschäftsführer nicht mehr sagen: Liebe IT, kümmert euch mal. Das geht direkt an seine private Kasse. Und das sorgt natürlich dafür, dass man sich ernsthaft damit auseinandersetzt.
Michael
Beim Haftungsthema gehe ich mit. Bei der Konkretheit habe ich gemischte Gefühle. „Systeme zur Früherkennung“ ist ja nicht wirklich ein Qualitätsstandard. Glaubst du, man kann formal NIS 2 erfüllen und im Ernstfall trotzdem nicht handlungsfähig sein?
Andreas
Definitiv. Du kannst ein Intrusion-Detection-Tool kaufen, einen Haken bei Früherkennung machen, aber keinen Prozess und keine Leute haben, die das auswerten. Angriffe passieren nachts, am Wochenende, wenn keiner da ist. Du hast den Haken gesetzt und wirst trotzdem gehackt.
Andreas
Gleiches bei Multifaktor-Authentifizierung. Du hast eine Richtlinie, alles sauber dokumentiert. Aber kontrollierst du regelmäßig, ob sie überall aktiv ist? Wir haben Fälle gesehen, in denen Admins MFA aus Komfortgründen deaktivieren. Dann findet der Angreifer genau diesen Account – und du hast trotz Compliance ein massives Problem.
Michael
Das heißt: NIS-2-Konformität ist nicht gleich Sicherheit.
Andreas
Genau. Eine ISO 27001 heißt auch nicht automatisch, dass du sicher bist. Sie erhöht den Reifegrad, ja. Aber sie verhindert keinen Angriff. Das Gesetz soll erst mal den Reifegrad anheben. Ob es hilft, nicht gehackt zu werden, bezweifle ich stark.
Michael
Kommen wir zu den Leitfäden. Die listen Maßnahmen auf und bieten direkt die passende Lösung an. Kauf das Tool und alles ist gut. Warum geht das am Ziel vorbei?
Andreas
Weil es keine pauschalen Lösungen gibt. Sicherheit muss immer im Unternehmenskontext betrachtet werden. Software ist nur ein Baustein. Du brauchst Menschen, Prozesse, Organisation. Du musst vom Kern deines Unternehmens ausgehen.
Andreas
Beispiel Lieferantenmanagement: Du kannst ein neues Tool kaufen oder bestehende Einkaufsprozesse mit Add-ons erweitern. Die Mitarbeiter kennen die Tools bereits, sind effizienter. Ein neues Tool bringt oft Widerstand und ineffiziente Prozesse.
Michael
Und dann hast du schnell Überforderung: zu viele Alarme, zu viele Tools, keiner weiß, was zu tun ist.
Michael
Wir haben Technik, Prozesse und Menschen. Genau wie bei Softwareprojekten. Prozesse müssen gelebt werden, das schafft kein Tool allein.
Andreas
Richtig. Du brauchst erst ein Konzept und eine Strategie, dann wählst du Tools aus. Nicht umgekehrt.
Michael
Was wäre also ein sinnvolles Vorgehen?
Andreas
Erst eine Analyse: Was fordert NIS 2 und was habe ich schon? Dann Internationalität beachten, weil NIS 2 je nach Land unterschiedlich umgesetzt ist. Danach schauen: Was kann ich mit bestehenden Mitteln abdecken, was muss ich ergänzen?
Andreas
Viele kaufen neue Lösungen, obwohl bestehende Tools vieles schon können. Netzwerksegmentierung ist ein gutes Beispiel. Du kannst gehypte Lösungen kaufen oder bestehende Firewalls sinnvoll nutzen, wenn du die Kompetenz dafür hast.
Michael
Und dann kommt das Thema Testen. Penetrationstests sind das eine, Krisenübungen das andere. Wie wichtig ist das?
Andreas
Sehr wichtig. Es gibt Schwachstellenmanagement, Penetrationstests und Krisenübungen wie Tabletop-Übungen. Gerade Letztere sind extrem wirksam, weil im Ernstfall niemand sein Notfallhandbuch zückt. Da wird diskutiert, Chaos entsteht. Das kann man üben.
Michael
Und dann die Meldepflichten. 24 Stunden nach Erkennen. Wie realistisch ist das?
Andreas
Die erste Meldung ist relativ niedrigschwellig. Wichtig ist, vorbereitet zu sein: wissen, wo und an wen man meldet, gerade bei internationalen Strukturen. Im Ernstfall hast du keine Zeit, das erst zu suchen.
Michael
Ressourcen sind ein Riesenthema. Wie finde ich den Sweet Spot zwischen Unter- und Overengineering?
Andreas
Du musst akzeptieren, dass du nicht alles selbst machen kannst. 24/7-Betrieb mit eigenem Personal ist unrealistisch. Du brauchst Dienstleister, aber intern trotzdem Kontrolle. Governance, Reporting, Service-Reviews. Ein Mix aus intern und extern.
Andreas
Zu glauben, man könne mit ein oder zwei Leuten ein SOC betreiben, ist illusorisch. Wir betreiben unseres nicht umsonst mit über 30 Leuten.
Michael
Am Ende geht es um Wirksamkeit.
Andreas
Genau. Und um Kontrolle. Als Geschäftsführer brauchst du KPIs, Indikatoren, Transparenz. Du willst wissen: Wie schnell reagieren wir? Wie hoch ist unser Risiko? Wie ist der Umsetzungsgrad?
Michael
Also aus einem Gefühl einen messbaren Wert machen.
Andreas
Exakt. Genauso wie in der Finanzabteilung. NIS 2 fordert das. Und wenn du keine Ahnung hast, wird es irgendwann kritisch.
Michael
Woran erkennt man in ein paar Jahren, ob ein Unternehmen NIS 2 ernst genommen hat?
Andreas
An Plänen, Umsetzungsständen, KPIs, Kontrolle. Prüfungen werden kommen. Konformität allein reicht nicht – entscheidend ist, ob das Thema gelebt wird.
Michael
Dann machen wir die Folge zu. Leitfäden sind hilfreich, aber am Ende steht alles im Gesetz selbst. Es geht um Führung, Organisation und Technik. Die Technik allein löst es nicht. Anwalt einschalten, Betroffenheit klären. Das Whitepaper gibt es auf unserer Website und in den Shownotes. Andreas, du hast das letzte Wort.
Andreas
Wenn jemand Rückfragen hat, meldet euch gerne bei mir auf LinkedIn. Ich freue mich auf den Austausch.
Michael
So ist es. Bis dahin: bleibt sicher und vor allem gesund.
.png)