Die NIS2-Richtlinie (Netz- und Informationssicherheit 2) von 2022/2555 hat den Anwendungsbereich der betroffenen Sektoren im Vergleich zu ihrer Vorgängerrichtlinie von 2016 drastisch erweitert: Zur Kategorie der „wesentlichen“ oder „wichtigen“ Organisationen gehören nun auch mittelständische IT-Dienstleister, Hersteller, Logistikunternehmen, Akteure der Lebensmittelkette und viele B2B-Plattformen.
Was genau benötigen Sie?
Gemäß Artikel 21 der Richtlinie müssen Organisationen „dem Risiko angemessene und dem Stand der Technik entsprechende Sicherheitsmaßnahmen“ implementieren. In der Praxis bedeutet dies:
- Dokumentierter Vorfallmanagementprozess – vorläufiger Bericht innerhalb von 24 Stunden, detaillierter Bericht innerhalb von 72 Stunden
- Backup- und Wiederherstellungsfähigkeit – nachweisbare RTO, RPO und Wiederherstellungsversuche
- Lieferkettensicherheit – kritische Lieferanten sollten ebenfalls geprüft werden.
- Zugriffsverwaltung – Prinzip der minimalen Berechtigungen, Multi-Faktor-Authentifizierung
- Kryptographie – mindestens branchenübliche Verschlüsselung von Daten im Ruhezustand und während der Übertragung.
Backup als Eckpfeiler
NIS2 schreibt nicht ausdrücklich vor, dass eine „unveränderliche Datensicherung“ erforderlich ist – Artikel 21(2)(c) sieht jedoch „Business Continuity Management“ und „Backup-Management“ als zwingende Grundlage an. Die ungarische SZTFH (und andere EU-Behörden) hinterfragen im Rahmen der Prüfung die Qualität der Kontrollmaßnahmen: Es genügt nicht, dass eine Datensicherung vorhanden ist; diese muss im Falle eines Ransomware-Angriffs auch unveränderlich sein.
Unveränderliche, schreibgeschützte Backups sind kein Extra mehr – sie sind eine Mindestanforderung für jede Organisation, die unter NIS2 fällt.
Wie hilft die ViVeSec Box?
ViVeSec Box erfüllt die NIS2-Backup-Anforderungen standardmäßig: unveränderlicher Objektspeicher, Speicherung von Snapshots auch bei kompromittierter Administratorauthentifizierung, detailliertes Audit-Log (Export), rollenbasierte Zugriffskontrolle (RBAC) und Vier-Augen-Prinzip für alle Datenzugriffe. Die Common Criteria-Sicherheitsziele und die CE-Konformitätserklärung stehen zum Download bereit und können innerhalb von 5 Minuten nach der ersten Anfrage eines Auditors der Dokumentation beigefügt werden.