Leitfäden
NIS2 und Schwachstellenmanagement
Was die NIS2-Richtlinie zu Schwachstellen verlangt, was das in der Praxis bedeutet und wo ein Dienst hilft, der jeden Tag sagt, welche zählen.
Wen sie betrifft
Die Richtlinie (EU) 2022/2555, kurz NIS2, verpflichtet die Mitgliedstaaten, „wesentlichen“ und „wichtigen“ Einrichtungen in vielen Sektoren Maßnahmen zur Cybersicherheit vorzuschreiben, darunter Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, verwaltete Dienste, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. In der Regel betrifft sie mittlere und große Unternehmen; manche Einrichtungen fallen unabhängig von ihrer Größe darunter.
Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und ab dem 18. Oktober 2024 anwenden. Jeder tut das mit einem eigenen Gesetz, und das nationale Gesetz bestimmt, wer betroffen ist, wie man sich registriert und bis wann: Fragen Sie Ihre nationale Behörde.
Was sie zu Schwachstellen verlangt
- Maßnahmen zum Risikomanagement (Artikel 21): technisch, operativ und organisatorisch, geeignet und verhältnismäßig. Zu den Mindestmaßnahmen gehört die Sicherheit bei Erwerb, Entwicklung und Wartung der Systeme „einschließlich Management und Offenlegung von Schwachstellen“, dazu die Sicherheit der Lieferkette und grundlegende Verfahren der Cyberhygiene.
- Verantwortung der Leitung (Artikel 20): Die Leitungsorgane billigen die Maßnahmen, überwachen ihre Umsetzung und nehmen an Schulungen teil.
- Meldung erheblicher Sicherheitsvorfälle (Artikel 23): eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung.
- Europäische Schwachstellendatenbank (Artikel 12): Die ENISA führt sie, mit der Beschreibung der Schwachstellen, den betroffenen Produkten, ihrer Schwere und den verfügbaren Korrekturen.
- Geldbußen (Artikel 34): Höchstbeträge von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und von mindestens 7 Millionen Euro oder 1,4 % für wichtige; maßgeblich ist der höhere Betrag.
Für einige digitale Einrichtungen (Cloud-Dienste und Rechenzentren, verwaltete Dienste und verwaltete Sicherheitsdienste, DNS, Domain-Registrierungsstellen, Content-Delivery-Netze, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste) wird die Durchführungsverordnung (EU) 2024/2690 konkreter, auch beim Patch-Management und beim Umgang mit Schwachstellen.
Was das in der Praxis bedeutet
Die Richtlinie schreibt weder Werkzeuge noch Fristen für jede Korrektur vor: Sie verlangt dem Risiko angemessene Maßnahmen und dass man sie nachweisen kann. Meist heißt das:
- wissen, welche Systeme und Produkte man einsetzt und welche aus dem Internet erreichbar sind;
- sich täglich aus verlässlichen Quellen über die Schwachstellen informieren, die sie betreffen;
- ein Kriterium für die Priorität (Ausnutzung, Erreichbarkeit, Schwere) und Reaktionszeiten haben;
- Entscheidungen festhalten: behoben, anders abgesichert oder Risiko akzeptiert;
- Verantwortlichkeiten festlegen und die Leitung einbeziehen.
Wo DefenceLevel hilft
- Jeden Tag um 05:00 UTC nur die Schwachstellen, die zählen, mit Stufe, betroffenen Produkten, korrigierten Versionen und was zu tun ist; eine Sofortwarnung bei DEFCON 1 und 2.
- My Defence: Sie zeichnen Ihre Infrastruktur Zone für Zone mit den Produkten, die Sie einsetzen, und erhalten Warnungen und Briefings nur zu diesen.
- Das Archiv der Briefings im Dashboard: was wann bekannt war, um Entscheidungen zu dokumentieren.
DefenceLevel macht eine Organisation nicht NIS2-konform und ersetzt weder die Risikoanalyse noch interne Verfahren oder die Beratung durch Fachleute: Es ist eine der Quellen, um jeden Tag zu wissen, welche Schwachstellen zählen.
Häufige Fragen
Fällt mein Unternehmen unter NIS2?
Das hängt vom Sektor und von der Größe ab, nach dem Gesetz Ihres Landes. Ihre nationale Behörde veröffentlicht die Kriterien und die Hinweise zur Registrierung.
Schreibt NIS2 einen Threat-Intelligence-Dienst vor?
Nein. Sie verlangt einen angemessenen Umgang mit Schwachstellen; woher die Informationen kommen, entscheidet die Organisation.
Wie schnell muss eine Schwachstelle behoben werden?
Die Richtlinie legt keine Fristen für Korrekturen fest: Sie verlangt Zeiten, die dem Risiko angemessen sind. Aktiv ausgenutzte Schwachstellen auf erreichbaren Systemen kommen zuerst; der Leitfaden zu CVSS, EPSS und KEV erklärt, wie man eine Reihenfolge festlegt.
Muss ein erfolgreicher Angriff über eine Schwachstelle gemeldet werden?
Wenn es ein erheblicher Sicherheitsvorfall ist, ja: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats, an die nationale Behörde oder das CSIRT.