Durchführung einer NIS2-Risikobewertung mit KI

Übersicht

Sie erfahren, wie Sie KI nutzen können, um eine umfassende NIS2-Risikobewertung gemäß Artikel 21 durchzuführen. Dieser Leitfaden behandelt den von der Richtlinie geforderten All-Gefahren-Ansatz, die Identifizierung sowohl von Cyber- als auch von Nicht-Cyber-Risiken, die Anwendung des Verhältnismäßigkeitsprinzips, den Aufbau einer auf Ihren Unternehmenstyp zugeschnittenen Risikomethodik, die Erstellung detaillierter Risikoregister, die Analyse Ihrer Bedrohungslandschaft und die Zuordnung der Risikobehandlung zu den zehn Maßnahmenbereichen von Artikel 21.

Zielgruppe

Dieser Leitfaden richtet sich an:

• Risikomanager und CISOs, die für NIS2-Risikobewertungsprozesse verantwortlich sind
• Compliance-Beauftragte, die Risikomanagement-Frameworks für NIS2 aufbauen oder aktualisieren
• Sicherheitsberater, die NIS2-Risikobewertungen für Kunden in kritischen Sektoren durchführen
• IT-Manager, die die Anforderungen von Artikel 21 in umsetzbare Risikobehandlungspläne übersetzen müssen
• Mitglieder der Geschäftsleitung, die Risikomanagementmaßnahmen genehmigen und ihre persönliche Haftung gemäß Artikel 20 verstehen müssen

Vorbereitungen

Sie benötigen:

• Ein ISMS Copilot-Konto (kostenlose Testversion verfügbar)
• Ihre NIS2-Abgrenzungsbestimmung (Klassifizierung als wesentliche oder wichtige Einrichtung) -- siehe Wie Sie mit der NIS2-Umsetzung mithilfe von KI beginnen, falls Sie dies noch nicht abgeschlossen haben
• Eine Bestandsaufnahme Ihrer kritischen Informationssysteme, Netzwerke und Dienste
• Ihre aktuelle Risikobewertungsdokumentation (falls vorhanden)
• Die Genehmigung der Geschäftsleitung für den Risikobewertungsprozess (Artikel 20)

Verständnis der NIS2-Risikobewertungsanforderungen

Was Artikel 21 verlangt

Artikel 21(1) der NIS2-Richtlinie verlangt von wesentlichen und wichtigen Einrichtungen, angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu bewältigen, die diese Einrichtungen für ihre Tätigkeiten oder die Erbringung ihrer Dienstleistungen nutzen. Diese Maßnahmen müssen auf einem All-Gefahren-Ansatz basieren und darauf abzielen, Netz- und Informationssysteme sowie deren physische Umgebung vor Vorfällen zu schützen.

Der All-Gefahren-Ansatz bedeutet, dass Ihre Risikobewertung folgende Punkte berücksichtigen muss:

• Cyber-Bedrohungen: Ransomware, Phishing, Advanced Persistent Threats, DDoS, Kompromittierung der Lieferkette, Insider-Bedrohungen
• Physische Bedrohungen: Unbefugter physischer Zugang, Diebstahl von Geräten, Sabotage, Vandalismus
• Umweltbedingte Bedrohungen: Naturkatastrophen, Überschwemmungen, Brände, Stromausfälle, extreme Wetterereignisse
• Menschliche Faktoren: Menschliches Versagen, Social Engineering, unzureichende Schulung, Abhängigkeit von Schlüsselpersonen
• Lieferkettenrisiken: Kompromittierung von Lieferanten, Abhängigkeit von einzelnen Anbietern, Schwachstellen bei Dritten
• Technische Ausfälle: Hardware-Ausfälle, Softwarefehler, Kapazitätsengpässe, Konfigurationsfehler

Das Verhältnismäßigkeitsprinzip

Artikel 21(1) legt ausdrücklich fest, dass die Maßnahmen verhältnismäßig sein müssen in Bezug auf:

• Das Ausmaß der Risikoexposition der Einrichtung
• Die Größe der Einrichtung
• Die Wahrscheinlichkeit und Schwere von Vorfällen
• Die gesellschaftlichen und wirtschaftlichen Auswirkungen von Vorfällen

Das bedeutet, dass ein kleiner Managed-Service-Provider, der als wesentliche Einrichtung klassifiziert ist, andere Kontrollerwartungen hat als ein großer Energieversorger, obwohl beide alle zehn Maßnahmenbereiche abdecken müssen. Ihre Risikobewertung muss dokumentieren, wie die Verhältnismäßigkeit angewendet wurde.

Wie KI die NIS2-Risikobewertung verändert

Eine traditionelle Risikobewertung für NIS2 erfordert tiefgreifendes Fachwissen in mehreren Bedrohungsbereichen, sektorspezifisches Wissen und die Fähigkeit, Hunderte von Risiken Kontrollmaßnahmen zuzuordnen. ISMS Copilot beschleunigt diesen Prozess durch:

• Sektorspezifische Bedrohungsinformationen: Erstellung von Bedrohungslandschaften, die auf Ihren spezifischen Sektor zugeschnitten sind, basierend auf ENISA-Berichten und realen Angriffsmustern
• Umfassende Risikoidentifizierung: Sicherstellung der All-Gefahren-Abdeckung durch systematische Generierung von Risikoszenarien in allen Bedrohungskategorien
• Konsistente Bewertung: Anwendung von Wahrscheinlichkeits- und Auswirkungskriterien konsistent über Hunderte von Risikoszenarien hinweg
• Kontrollzuordnung: Automatische Zuordnung identifizierter Risiken zu den entsprechenden Maßnahmenbereichen von Artikel 21 und spezifischen Kontrollen
• Erstellung von Risikoregistern: Erstellung strukturierter, prüfungsbereiter Risikoregister in Minuten statt Wochen

Schritt 1: Definieren Sie Ihre Risikobewertungsmethodik

Warum die Methodik an erster Stelle stehen muss

Bevor Sie Risiken identifizieren, müssen Sie Ihre Risikobewertungsmethodik festlegen und dokumentieren. Die Aufsichtsbehörden prüfen, ob eine Methodik existiert, von der Geschäftsleitung genehmigt wurde und konsistent auf alle bewerteten Risiken angewendet wurde.

Aufbau der Methodik mit KI

1. Erstellen Sie den Methodikrahmen:

   "Erstellen Sie eine umfassende NIS2-Risikobewertungsmethodik für eine Organisation im [Sektor], die als [wesentliche/wichtige] Einrichtung mit [Mitarbeiterzahl] Mitarbeitern klassifiziert ist. Die Methodik muss: einen All-Gefahren-Ansatz gemäß Artikel 21(1) verfolgen, die Phasen Risikoidentifizierung, -analyse, -bewertung und -behandlung umfassen, Wahrscheinlichkeits- und Auswirkungsskalen (5-stufig) definieren, Risikoberechnung und Risikoakzeptanzkriterien enthalten, das Verhältnismäßigkeitsprinzip berücksichtigen und für die Genehmigung durch unsere Geschäftsleitung geeignet sein."

2. Definieren Sie NIS2-spezifische Auswirkungskriterien:

   "Erstellen Sie NIS2-spezifische Kriterien für die Bewertung von Auswirkungen in fünf Dimensionen: (1) operative Unterbrechung wesentlicher/wichtiger Dienstleistungen, (2) finanzieller Verlust einschließlich möglicher regulatorischer Strafen bis zu EUR [10M/7M] oder [2%/1,4%] des Umsatzes, (3) Auswirkungen auf andere Einrichtungen und Sektoren (Kaskadeneffekte), (4) Anzahl der betroffenen Nutzer/Empfänger und (5) reputative und gesellschaftliche Auswirkungen. Stellen Sie eine 5-stufige Skala mit konkreten Beispielen für jede Dimension bereit, die für eine Organisation im [Sektor] relevant sind."

3. Definieren Sie Wahrscheinlichkeitskriterien:

   "Erstellen Sie Kriterien für die Bewertung der Risikowahrscheinlichkeit für unsere NIS2-Risikobewertung. Fügen Sie eine 5-stufige Skala (selten/unwahrscheinlich/möglich/wahrscheinlich/nahezu sicher) mit: frequenzbasierten Definitionen, Definitionen basierend auf Bedrohungsfähigkeiten und sektorspezifischen Beispielen hinzu. Beziehen Sie aktuelle ENISA-Bedrohungslandschaftsdaten für unseren [Sektor] ein."

4. Legen Sie Risikoakzeptanzschwellen fest:

   "Definieren Sie Risikoakzeptanzkriterien für die NIS2-Konformität. Die Risikobereitschaft unserer Organisation ist [konservativ/moderat/aggressiv]. Erstellen Sie: eine Risikomatrix (5x5) mit farbkodierten Risikostufen, Akzeptanzschwellen nach Risikostufe (akzeptieren/mindern/übertragen/vermeiden), Eskalationsregeln für Risiken oberhalb der Toleranzgrenze und Genehmigungsbefugnisse (Risikoverantwortlicher/CISO/Geschäftsleitung) für jede Behandlungsentscheidung."

Schritt 2: Identifizieren und erfassen Sie Ihre Assets

Was in Ihre Asset-Inventur aufgenommen werden sollte

Die NIS2-Risikobewertung erfordert ein gründliches Verständnis der Netz- und Informationssysteme, die Ihre Organisation für den Betrieb und die Dienstleistungserbringung nutzt. Ihre Asset-Inventur sollte folgende Punkte abdecken:

Asset-Kategorie

Beispiele

NIS2-Relevanz

Informations-Assets

Kundendaten, Betriebsdaten, Konfigurationsdaten, Anmeldedaten

Vertraulichkeit, Integrität, Verfügbarkeit von Diensten

Hardware

Server, Netzwerkgeräte, OT/ICS-Systeme, Endgeräte, IoT-Geräte

Schutz der physischen Umgebung, Zugangskontrolle

Software

Betriebssysteme, Anwendungen, Firmware, SCADA/DCS-Systeme

Schwachstellenmanagement, Sicherheit bei der Beschaffung

Netzwerkinfrastruktur

Router, Switches, Firewalls, VPNs, drahtlose Netzwerke

Netzwerksicherheit, Segmentierung, Überwachung

Cloud-Dienste

IaaS, PaaS, SaaS-Anbieter, CDN, DNS

Sicherheit der Lieferkette, Risiken durch Dritte

Personen

Schlüsselpersonal, Administratoren, externe Auftragnehmer

Sicherheit im Personalwesen, Zugangskontrolle, Schulungen

Einrichtungen

Rechenzentren, Büros, Industrieanlagen, Kontrollräume

Physische Umgebung, Geschäftskontinuität

Dienstleistungen

Wesentliche/wichtige erbrachte Dienstleistungen, unterstützende Dienstleistungen

Dienstverfügbarkeit, Bewertung der Vorfallauswirkungen

Erstellen Sie Ihre Asset-Inventur mit KI

1. Erstellen Sie die Inventarvorlage:

   "Generieren Sie eine umfassende Asset-Inventurvorlage für die NIS2-Risikobewertung in einer Organisation im [Sektor]. Fügen Sie Spalten für: Asset-ID, Asset-Name, Asset-Kategorie, Beschreibung, Asset-Verantwortlicher, Geschäftskritikalität (1-5), Abhängigkeiten (upstream/downstream), Standort, Relevanz für den NIS2-Maßnahmenbereich und aktuelle Schutzmaßnahmen hinzu. Füllen Sie die Vorlage mit typischen Assets für eine Einrichtung im [Sektor] vor."

2. Identifizieren Sie kritische Dienstabhängigkeiten:

   "Für unsere Organisation im [Sektor], die [beschreiben Sie wesentliche/wichtige Dienstleistungen] anbietet, kartieren Sie die kritischen Abhängigkeiten zwischen unseren Dienstleistungen und den zugrunde liegenden Assets. Erstellen Sie einen Abhängigkeitsbaum, der zeigt: welche Assets welche Dienstleistungen unterstützen, einzelne Fehlerquellen und Kaskadenwirkungspfade, falls bestimmte Assets kompromittiert werden. Dies ist entscheidend für die Bewertung der Vorfallauswirkungen gemäß NIS2."

3. Klassifizieren Sie Assets nach Kritikalität:

   "Wenden Sie Klassifizierungen der Geschäftskritikalität auf unsere Asset-Inventur für die NIS2-Risikobewertung an. Die Klassifizierungskriterien sollten berücksichtigen: die Auswirkungen auf die Erbringung wesentlicher/wichtiger Dienstleistungen, falls das Asset kompromittiert wird, Wiederherstellungszeitanforderungen, regulatorische Sensibilität und die Vernetzung mit anderen kritischen Assets. Weisen Sie Kritikalitätsstufen (kritisch/hoch/mittel/niedrig) mit Begründung für jedes Asset zu."

Schritt 3: Analysieren Sie Ihre Bedrohungslandschaft

Erstellen Sie ein sektorspezifisches Bedrohungsprofil

NIS2 verlangt einen All-Gefahren-Ansatz, aber die spezifischen Bedrohungen, denen Ihre Organisation ausgesetzt ist, hängen stark von Ihrem Sektor, Ihrem geografischen Standort und Ihrer technologischen Umgebung ab. Die ENISA veröffentlicht jährliche Berichte zur Bedrohungslandschaft, die sektorspezifische Informationen liefern.

1. Generieren Sie Ihre Bedrohungslandschaft:

   "Erstellen Sie eine umfassende Analyse der Bedrohungslandschaft für unsere Organisation im [Sektor] für die NIS2-Risikobewertung. Berücksichtigen Sie: (1) Cyber-Bedrohungen: die wichtigsten Angriffsvektoren, die unseren Sektor betreffen (mit aktuellen Beispielen), die für unseren Sektor relevantesten Bedrohungsakteure (staatlich unterstützt, cyberkriminell, hacktivistisch, Insider) und aufkommende Bedrohungen. (2) Physische Bedrohungen: unbefugter Zugang, Diebstahl von Geräten, Sabotage. (3) Umweltbedingte Bedrohungen: Naturkatastrophen, die für unseren [Standort] relevant sind, Risiken im Stromnetz, klimabedingte Risiken. (4) Menschliche Bedrohungen: Social-Engineering-Muster in unserem Sektor, Indikatoren für Insider-Bedrohungen, Abhängigkeit von Schlüsselpersonen. (5) Lieferkettenbedrohungen: gängige Angriffsmuster in der Lieferkette unseres Sektors, Abhängigkeitsrisiken. Beziehen Sie ENISA-Daten zur Bedrohungslandschaft ein, wo zutreffend."

2. Bewerten Sie die Fähigkeiten von Bedrohungsakteuren:

   "Bewerten Sie für jede Kategorie von Bedrohungsakteuren, die für unsere Einrichtung im [Sektor] relevant ist: Motivation (finanziell, Spionage, Störung, ideologisch), Fähigkeitsniveau (opportunistisch bis fortgeschritten), typische Angriffsmethoden, Zielmuster für unseren Sektor und historische Vorfälle, die ähnliche Organisationen betroffen haben. Stellen Sie dies als Bedrohungsakteur-Profilmatrix dar."

3. Identifizieren Sie sektorspezifische Angriffsszenarien:

   "Generieren Sie 20 realistische Angriffsszenarien, die spezifisch für eine Organisation im [Sektor] sind, für die NIS2-Risikobewertung. Jedes Szenario sollte enthalten: Bedrohungsakteur, Angriffsvektor, betroffene Assets, potenzielle Auswirkungen auf wesentliche/wichtige Dienstleistungen, Bewertung der Wahrscheinlichkeit und Kaskadeneffekte auf andere Einrichtungen oder Sektoren. Berücksichtigen Sie sowohl Cyber- als auch Nicht-Cyber-Szenarien, um die All-Gefahren-Anforderung zu erfüllen."

Schritt 4: Führen Sie die Risikobewertung durch

Risikoidentifizierung

Mit Ihrer Asset-Inventur und Bedrohungslandschaft können Sie systematisch Risiken identifizieren, indem Sie überlegen, wie jede Bedrohung Schwachstellen in jedem kritischen Asset ausnutzen könnte und welche Auswirkungen dies auf Ihre wesentlichen oder wichtigen Dienstleistungen hätte.

1. Generieren Sie das initiale Risikoregister:

   "Erstellen Sie unter Verwendung der von uns entwickelten Asset-Inventur und Bedrohungslandschaft ein umfassendes Risikoregister für unsere NIS2-Risikobewertung. Für jeden Risikoeintrag sollten enthalten sein: Risiko-ID, Risikotitel, Risikobeschreibung (Bedrohung + Schwachstelle + Auswirkung), betroffene(s) Asset(s), Bedrohungskategorie (Cyber/physisch/umweltbedingt/menschlich/Lieferkette), betroffene(r) NIS2-Artikel-21-Maßnahmenbereich(e), bestehende Kontrollen, Restwahrscheinlichkeit (1-5), Restauswirkung (1-5), Risikowert, Risikostufe, Risikoverantwortlicher und empfohlene Behandlung. Generieren Sie mindestens 40 Risiken, die alle Bedrohungskategorien für eine Organisation im [Sektor] abdecken."

2. Stellen Sie die All-Gefahren-Abdeckung sicher:

   "Überprüfen Sie unser Risikoregister auf Vollständigkeit im Hinblick auf den All-Gefahren-Ansatz. Vergewissern Sie sich, dass wir eine angemessene Abdeckung in folgenden Bereichen haben: Cyber-Bedrohungen (mindestens 15 Risiken), physische Bedrohungen (mindestens 5 Risiken), umweltbedingte Bedrohungen (mindestens 5 Risiken), menschliche Risikofaktoren (mindestens 5 Risiken), Lieferkettenrisiken (mindestens 5 Risiken) und technische Ausfallrisiken (mindestens 5 Risiken). Identifizieren Sie Lücken und generieren Sie zusätzliche Risikoeinträge, um diese zu schließen."

3. Bewerten Sie Kaskaden- und sektorübergreifende Auswirkungen:

   "Analysieren Sie für die 10 höchstbewerteten Risiken in unserem Register potenzielle Kaskadenauswirkungen: (1) wie dieses Risiko andere Einrichtungen beeinflussen könnte, die von unseren Dienstleistungen abhängen, (2) wie eine Unterbrechung unserer Dienstleistungen sich über unseren Sektor ausbreiten könnte, (3) ob die Auswirkungen auf andere NIS2-Sektoren übergreifen könnten. Diese Analyse der Kaskadenauswirkungen ist entscheidend für die Bestimmung der Vorfallbedeutung gemäß NIS2."

Risikobewertung und -bewertung

1. Wenden Sie konsistente Bewertung an:

   "Überprüfen und validieren Sie die Risikowerte in unserem Risikoregister. Stellen Sie für jedes Risiko sicher, dass: die Bewertung der Wahrscheinlichkeit aktuelle Bedrohungsinformationen für unseren Sektor widerspiegelt, die Bewertung der Auswirkungen alle fünf NIS2-relevanten Auswirkungsdimensionen (operative Unterbrechung, finanzieller Verlust, Kaskadeneffekte, betroffene Nutzer, gesellschaftliche Auswirkungen) berücksichtigt und die Risikowertberechnung unserer genehmigten Methodik folgt. Markieren Sie Inkonsistenzen und empfehlen Sie Anpassungen."

2. Erstellen Sie eine Risikomatrix:

   "Generieren Sie eine visuelle Risikomatrix für unser NIS2-Risikoregister, die zeigt: die Verteilung der Risiken nach Wahrscheinlichkeits- und Auswirkungsstufen, die Clusterung von Risiken nach Bedrohungskategorie und die Identifizierung der wichtigsten Risikocluster, die priorisiert behandelt werden müssen. Formatieren Sie dies als HTML-Tabelle mit farbkodierten Zellen."

Schritt 5: Entwickeln Sie Risikobehandlungspläne gemäß Artikel 21

Zuordnung von Risiken zu den Maßnahmenbereichen von Artikel 21

Jedes Risiko in Ihrem Register muss einem oder mehreren der zehn Maßnahmenbereiche von Artikel 21(2) zugeordnet werden, und Ihre Behandlungspläne müssen die Kontrollen spezifizieren, die jedes Risiko adressieren. Dies schafft die Prüfungsspur von der Risikoidentifizierung bis zur Kontrollimplementierung.

1. Ordnen Sie Risiken Kontrollen zu:

   "Ordnen Sie für jedes Risiko in unserem Risikoregister die empfohlene Behandlung spezifischen NIS2-Artikel-21(2)-Maßnahmenbereichen zu: (a) Risikoanalyse und Informationssicherheitsrichtlinien, (b) Vorfallbehandlung, (c) Geschäftskontinuität und Notfallwiederherstellung, (d) Sicherheit der Lieferkette, (e) Sicherheit von Netz- und Informationssystemen einschließlich Schwachstellenmanagement, (f) Bewertung der Wirksamkeit, (g) Cyber-Hygiene und Schulungen, (h) Kryptographie, (i) Sicherheit im Personalwesen, Zugangskontrolle und Asset-Management, (j) Multi-Faktor-Authentifizierung und sichere Kommunikation. Geben Sie für jede Zuordnung die konkrete Kontrolle an, die implementiert werden soll, sowie die erwartete Risikoreduktion."

2. Erstellen Sie Risikobehandlungspläne:

   "Erstellen Sie für die 20 wichtigsten Risiken in unserem Register, die unsere Risikoakzeptanzschwelle überschreiten, detaillierte Risikobehandlungspläne. Jeder Plan sollte enthalten: Risiko-ID, Behandlungsentscheidung (mindern/übertragen/vermeiden), spezifische zu implementierende Kontrollen, verantwortliche Person, Implementierungszeitplan, erwartetes Restrisiko nach der Behandlung, Ressourcenanforderungen und Erfolgskriterien. Stellen Sie sicher, dass die Behandlungen im Verhältnis zur Größe unserer Organisation und unserer Risikoexposition stehen, wie von NIS2 Artikel 21(1) gefordert."

3. Dokumentieren Sie Risikoakzeptanzentscheidungen:

   "Erstellen Sie für Risiken, die innerhalb unserer Akzeptanzschwelle liegen, formelle Risikoakzeptanz-Erklärungen. Jede Erklärung sollte enthalten: Risiko-ID, Risikobeschreibung, aktueller Risikowert, Begründung für die Akzeptanz (einschließlich Verhältnismäßigkeitsargumentation), Bedingungen für die Neubewertung, Akzeptanzbefugnis (Risikoverantwortlicher oder Geschäftsleitung) und Überprüfungsdatum. Diese Erklärungen müssen von der entsprechenden Stelle gemäß unserer Risikomethodik genehmigt werden."

Anwendung des Verhältnismäßigkeitsprinzips auf Behandlungen

NIS2 verlangt nicht identische Kontrollen für alle Organisationen. Ihre Behandlungen müssen im Verhältnis zu Ihrer spezifischen Risikoexposition stehen.

"Überprüfen Sie unsere Risikobehandlungspläne auf Einhaltung des Verhältnismäßigkeitsprinzips. Unsere Organisation hat [Mitarbeiterzahl] Mitarbeiter, einen Jahresumsatz von EUR [Umsatz] und ist im [Sektor] als [wesentliche/wichtige] Einrichtung tätig. Bewerten Sie für jede vorgeschlagene Behandlung, ob sie: (1) im Verhältnis zu unserer Größe und unseren Ressourcen steht, (2) im Verhältnis zur Wahrscheinlichkeit und Schwere des Risikos steht, (3) mit dem Stand der Technik für unseren Sektor übereinstimmt und (4) kosteneffektiv im Verhältnis zur erzielten Risikoreduktion ist. Markieren Sie Behandlungen, die möglicherweise unverhältnismäßig teuer oder unzureichend sind, und empfehlen Sie Alternativen."

Schritt 6: Dokumentieren und präsentieren Sie die Risikobewertung

Erstellen des formellen Risikobewertungsberichts

1. Generieren Sie den Bericht:

   "Erstellen Sie einen formellen NIS2-Risikobewertungsbericht für unsere Organisation. Strukturieren Sie den Bericht wie folgt: (1) Zusammenfassung für die Geschäftsleitung mit den wichtigsten Ergebnissen und Top-Risiken, (2) Umfang und Methodik (Verweis auf unsere genehmigte Methodik), (3) Zusammenfassung der Asset-Inventur, (4) Analyse der Bedrohungslandschaft, (5) Risikoregister mit vollständigen Bewertungsdetails, (6) Risikomatrix, (7) Risikobehandlungspläne für Risiken, die die Akzeptanzschwelle überschreiten, (8) Risikoakzeptanz-Erklärungen für akzeptierte Risiken, (9) Zuordnung von Risiken zu Artikel-21(2)-Maßnahmenbereichen, (10) Verhältnismäßigkeitsbewertung, (11) Empfehlungen und nächste Schritte, (12) Anhänge (vollständiges Risikoregister, Bedrohungsprofile, Asset-Inventur). Dieser Bericht wird der Geschäftsleitung zur Genehmigung vorgelegt."

2. Erstellen Sie die Zusammenfassung für die Geschäftsleitung:

   "Erstellen Sie eine 3-seitige Zusammenfassung unserer NIS2-Risikobewertungsergebnisse für die Geschäftsleitung. Konzentrieren Sie sich auf: die 10 größten Risiken und ihre geschäftlichen Auswirkungen, Bereiche, in denen wir am stärksten exponiert sind, erforderliche Investitionen für die Risikobehandlung, Zeitplan für die Umsetzung prioritärer Behandlungen und die spezifischen Genehmigungs- und Aufsichtspflichten der Geschäftsleitung. Fügen Sie eine klare Empfehlung für einen Beschluss der Geschäftsleitung zur Genehmigung des Risikobehandlungsplans hinzu."

Schritt 7: Einrichtung einer kontinuierlichen Risikoüberwachung

Kontinuierliches Risikomanagement

Die NIS2-Konformität ist keine einmalige Übung. Ihre Risikobewertung muss regelmäßig und bei wesentlichen Änderungen überprüft und aktualisiert werden.

1. Definieren Sie den Überprüfungszyklus:

   "Erstellen Sie einen Zeitplan für die Überprüfung und Aktualisierung der Risikobewertung zur kontinuierlichen NIS2-Konformität. Legen Sie fest: (1) Häufigkeit der regelmäßigen Überprüfung (vierteljährlich für wesentliche Einrichtungen, halbjährlich für wichtige Einrichtungen empfohlen), (2) Auslöser, die eine sofortige Neubewertung erfordern (neue Bedrohungen, Vorfälle, organisatorische Änderungen, Änderungen in der Lieferkette, regulatorische Aktualisierungen), (3) Verantwortlichkeiten für Überwachung und Eskalation, (4) Prozess zur Aktualisierung des Risikoregisters und der Behandlungspläne, (5) Berichtsrhythmus an die Geschäftsleitung."

2. Erstellen Sie Verfahren zur Bedrohungsüberwachung:

   "Erstellen Sie ein Verfahren zur Überwachung von Bedrohungsinformationen für unsere Organisation im [Sektor], um die kontinuierliche NIS2-Risikobewertung zu unterstützen. Berücksichtigen Sie: zu überwachende Quellen (ENISA, nationale CSIRT-Warnungen, sektorale ISACs, Sicherheitsbulletins von Anbietern), Überwachungshäufigkeit, Kriterien für die Eskalation neuer Bedrohungen zur Risikoneubewertung und die Integration in unsere Vorfallerkennungsfähigkeiten."

Häufige Fallstricke bei der Risikobewertung und wie man sie vermeidet

Fallstrick

Warum er für NIS2 relevant ist

Wie man ihn vermeidet

Nur Fokus auf Cyber-Risiken

Verstößt gegen die All-Gefahren-Anforderung von Artikel 21(1)

Systematische Bewertung physischer, umweltbedingter und menschlicher Risiken neben Cyber-Bedrohungen

Keine dokumentierte Methodik

Aufsichtsbehörden verlangen Nachweise für einen konsistenten, wiederholbaren Ansatz

Dokumentieren und Genehmigung der Geschäftsleitung einholen, bevor die Bewertung beginnt

Ignorieren von Kaskadeneffekten

Die Bedeutung von NIS2-Vorfällen berücksichtigt Auswirkungen auf andere Einrichtungen und Sektoren

Analyse sektorübergreifender Auswirkungen für hoch bewertete Risiken

Unverhältnismäßige Kontrollen

Artikel 21(1) verlangt Verhältnismäßigkeit -- Über- oder Unterkontrolle ist nicht konform

Dokumentation der Verhältnismäßigkeitsbegründung für jede Behandlungsentscheidung

Statisches Risikoregister

Die Bedrohungslandschaft ändert sich kontinuierlich; ein veraltetes Register zeigt schlechte Governance

Einrichtung vierteljährlicher Überprüfungen und triggerbasierter Neubewertungsprozesse

Fehlende Genehmigung der Geschäftsleitung

Artikel 20 verlangt die Genehmigung von Risikomanagementmaßnahmen durch die Geschäftsleitung

Präsentation der Risikobewertung und Behandlungspläne an den Vorstand; Genehmigung in Protokollen festhalten

Keine Abdeckung von Lieferkettenrisiken

Artikel 21(2)(d) verlangt ausdrücklich die Bewertung von Lieferkettenrisiken

Systematische Einbeziehung von Lieferanten- und Drittanbieterrisiken in das Register

Nächste Schritte

Mit der abgeschlossenen Risikobewertung haben Sie nun die Grundlage für die Umsetzung von NIS2-Kontrollen in allen Maßnahmenbereichen von Artikel 21.

Fahren Sie mit den nächsten Leitfäden dieser Reihe fort:

• Erstellung von Richtlinien: Siehe Erstellung von NIS2-Cybersicherheitsrichtlinien mit KI, um Ihre Risikobehandlungspläne in prüfungsfähige Richtlinien für jeden der zehn Maßnahmenbereiche von Artikel 21 zu übersetzen
• Vorfallmeldung: Siehe Umsetzung der NIS2-Vorfallmeldung mit KI, um die in Ihren Risikobehandlungsplänen identifizierten Fähigkeiten zur Vorfallerkennung und -meldung aufzubauen
• Sicherheit der Lieferkette: Siehe Management der NIS2-Lieferkettensicherheit mit KI für detaillierte Anleitungen zur Behandlung der in Ihrem Register identifizierten Lieferkettenrisiken

Falls Sie die initiale Einrichtung noch nicht abgeschlossen haben, beginnen Sie mit Wie Sie mit der NIS2-Umsetzung mithilfe von KI beginnen für die Abgrenzung, Governance und Arbeitsbereichskonfiguration.

Für gebrauchsfertige Prompts zur Risikobewertung erkunden Sie die NIS2-Direktive-Prompt-Bibliothek. Für einen umfassenden Überblick über alle NIS2-Anforderungen siehe den NIS2-Compliance-Leitfaden für betroffene Unternehmen.

Hilfe erhalten

Für zusätzliche Unterstützung bei der NIS2-Risikobewertung:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren NIS2-Arbeitsbereich für laufende Fragen und Aktualisierungen zur Risikobewertung
• Laden Sie bestehende Risikodaten hoch: Erhalten Sie KI-Analysen Ihrer aktuellen Risikoregister, Bedrohungsbewertungen oder Kontrollinventare
• Sektorspezifische Anleitungen: Fragen Sie nach Bedrohungslandschaften und Risikoszenarien, die auf Ihren spezifischen Sektor und Ihre Betriebsumgebung zugeschnitten sind
• Rahmenwerkabstimmung: Erhalten Sie Anleitungen zur Abstimmung der NIS2-Risikobewertung mit ISO 27005, ISO 31000 oder anderen Risikomanagementstandards, die Sie bereits verwenden