Wie Sie mit KI NIS2-Cybersicherheitsrichtlinien erstellen

Übersicht

Sie erfahren, wie Sie KI nutzen können, um umfassende Cybersicherheitsrichtlinien für jeden der zehn Maßnahmenbereiche zu erstellen, die von NIS2 Artikel 21(2) gefordert werden. Dieser Leitfaden führt Sie durch jeden Richtlinientyp, stellt spezifische ISMS-Copilot-Prompts zur Generierung jeder einzelnen Richtlinie bereit, erklärt, was Prüfer und Aufsichtsbehörden erwarten, und zeigt, wie Sie Ihre Richtliniendokumentation für die Prüfungsbereitschaft strukturieren.

Zielgruppe

Dieser Leitfaden richtet sich an:

• CISOs und Compliance-Beauftragte, die für die Entwicklung NIS2-konformer Richtliniendokumentation verantwortlich sind
• Sicherheitsberater, die Richtliniensätze für Kunden in NIS2-regulierten Sektoren erstellen
• GRC-Teams, die die Richtlinienerstellung neben bestehenden ISO 27001-, DORA- oder GDPR-Dokumentationen verwalten
• IT-Manager, die praktische, umsetzbare Richtlinien benötigen, statt generischer Vorlagen
• Mitglieder des Leitungsorgans, die diese Richtlinien gemäß Artikel 20 genehmigen müssen

Vorbereitung

Sie benötigen:

• Ein ISMS-Copilot-Konto (kostenlose Testversion verfügbar)
• Ihre NIS2-Gap-Analyse-Ergebnisse, die identifizieren, welche Richtlinien fehlen oder unzureichend sind -- siehe Wie Sie mit der NIS2-Umsetzung mithilfe von KI beginnen
• Ihre abgeschlossene Risikobewertung und Risikobehandlungspläne -- siehe Wie Sie eine NIS2-Risikobewertung mit KI durchführen
• Verständnis der Größe, des Sektors und des operativen Kontexts Ihrer Organisation
• Bestehende Richtlinien (falls vorhanden), die zur Gap-Analyse und Ausrichtung hochgeladen werden können

Verständnis der NIS2-Richtlinienanforderungen

Was Artikel 21(2) verlangt

Artikel 21(2) schreibt vor, dass die in Absatz 1 genannten Risikomanagementmaßnahmen mindestens Folgendes umfassen müssen:

Artikel 21(2) Referenz

Maßnahmenbereich

Benötigte Richtliniendokumente

(a)

Richtlinien zur Risikoanalyse und Sicherheit von Informationssystemen

Informationssicherheitsrichtlinie, Richtlinie zur Risikobewertung

(b)

Vorfallmanagement

Vorfallreaktionsrichtlinie, Verfahren zur Vorfallklassifizierung

(c)

Geschäftskontinuität, Backup-Management, Notfallwiederherstellung, Krisenmanagement

Geschäftskontinuitätsrichtlinie, Notfallwiederherstellungsplan, Backup-Richtlinie, Krisenmanagementplan

(d)

Sicherheit der Lieferkette

Lieferketten-Sicherheitsrichtlinie, Verfahren zur Lieferantenbewertung

(e)

Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen; Umgang mit Schwachstellen und Offenlegung

Richtlinie für sichere Entwicklung, Schwachstellenmanagement-Richtlinie

(f)

Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen

Richtlinie für Sicherheitstests und Bewertung, Verfahren zur internen Revision

(g)

Grundlegende Cybersicherheitshygiene und Schulungen zur Cybersicherheit

Richtlinie für Cybersicherheitshygiene und Sensibilisierung, Schulungsprogramm

(h)

Richtlinien und Verfahren zu Kryptographie und Verschlüsselung

Richtlinie für Kryptographie und Verschlüsselung

(i)

Sicherheit im Personalwesen, Zugriffskontrollrichtlinien und Asset-Management

Personal-Sicherheitsrichtlinie, Zugriffskontrollrichtlinie, Asset-Management-Richtlinie

(j)

MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-/Video-/Textkommunikation, gesicherte Notfallkommunikation

Authentifizierungsrichtlinie, Richtlinie für sichere Kommunikation

Qualitätsstandards für NIS2-Richtlinien

Jedes Richtliniendokument sollte Folgendes enthalten:

• Zweck und Geltungsbereich: Was die Richtlinie abdeckt und für wen sie gilt
• NIS2-Referenz: Welche(n) Artikel 21(2)-Maßnahmenbereich(e) die Richtlinie behandelt
• Definitionen: Wichtige Begriffe, die im gesamten Dokument verwendet werden
• Richtlinienaussagen: Klare, durchsetzbare Anforderungen
• Rollen und Verantwortlichkeiten: Wer wofür verantwortlich ist
• Umsetzungsanforderungen: Spezifische Kontrollen und Maßnahmen
• Überwachung und Überprüfung: Wie die Wirksamkeit bewertet wird
• Konsequenzen bei Nichteinhaltung: Durchsetzungsbestimmungen
• Genehmigung und Versionskontrolle: Dokumentenmanagement mit Unterschrift des Leitungsorgans

Schritt 1: Generieren der übergeordneten Informationssicherheitsrichtlinie

Artikel 21(2)(a) -- Risikoanalyse und Sicherheit von Informationssystemen

Die übergeordnete Informationssicherheitsrichtlinie ist das Grundlagendokument, das das Engagement Ihrer Organisation für Cybersicherheit festlegt und den Rahmen für alle anderen Richtlinien bildet. Sie behandelt den ersten Maßnahmenbereich und verbindet alle nachfolgenden Richtlinien.

1. Generieren Sie die Kernrichtlinie:

   "Erstellen Sie eine umfassende Informationssicherheitsrichtlinie, die mit NIS2 Artikel 21(2)(a) für eine Organisation im [Sektor] übereinstimmt, die als [wesentliche/wichtige] Einrichtung mit [Mitarbeiterzahl] Mitarbeitern klassifiziert ist. Die Richtlinie sollte Folgendes abdecken: Zweck der Richtlinie und regulatorischer Kontext von NIS2, Geltungsbereich der abgedeckten Netz- und Informationssysteme, Verpflichtungen des Leitungsorgans und Aufsichtspflichten gemäß Artikel 20, Überblick über das Risikomanagement-Framework, Sicherheitsprinzipien (Vertraulichkeit, Integrität, Verfügbarkeit), Bezugnahme auf die zehn Maßnahmenbereiche nach Artikel 21 und unterstützende Richtlinien, Rollen und Verantwortlichkeiten (Leitungsorgan, CISO, Risikoeigentümer, alle Mitarbeiter), Compliance-Anforderungen und Konsequenzen bei Nichteinhaltung, Überprüfungszyklus und kontinuierliche Verbesserung. Fügen Sie einen Dokumentensteuerungsabschnitt mit Genehmigung durch das Leitungsorgan hinzu."

2. Generieren Sie die unterstützende Richtlinie zur Risikobewertung:

   "Erstellen Sie eine Richtlinie zur Risikobewertung, die mit NIS2 Artikel 21(2)(a) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Methodik der Risikobewertung (All-Gefahren-Ansatz gemäß Artikel 21(1)), Prozesse zur Risikoidentifikation, -analyse und -bewertung, Kriterien für die Risikoakzeptanz und Genehmigungsbefugnis, Optionen zur Risikobehandlung und Dokumentationsanforderungen, Integration mit Asset-Management und Bedrohungsinformationen, Häufigkeit der Überprüfung und Auslöser für eine Neubewertung sowie Anforderungen an die Genehmigung durch das Leitungsorgan. Verweisen Sie auf unser Dokument zur Methodik der Risikobewertung."

Schritt 2: Generieren der Richtlinie zum Vorfallmanagement

Artikel 21(2)(b) -- Vorfallmanagement

NIS2 stellt strenge Anforderungen an das Vorfallmanagement, einschließlich Erkennung, Prävention, Reaktion und Wiederherstellung sowie die Meldefristen nach Artikel 23. Ihre Richtlinie muss sowohl interne Reaktionen als auch externe Meldepflichten abdecken.

1. Generieren Sie die Richtlinie zur Vorfallreaktion:

   "Erstellen Sie eine Richtlinie zur Vorfallreaktion, die mit NIS2 Artikel 21(2)(b) und den Meldeanforderungen nach Artikel 23 für unsere Organisation im [Sektor] übereinstimmt. Enthalten sein sollen: Definition und Klassifizierungskriterien für Vorfälle, abgestimmt auf die Schwellenwerte für die Signifikanz nach NIS2, Anforderungen an die Erkennung und Überwachung von Vorfällen, Phasen der Vorfallreaktion (Vorbereitung, Identifikation, Eindämmung, Beseitigung, Wiederherstellung, Lessons Learned), Meldepflichten nach NIS2 -- 24-Stunden-Vorwarnung an das CSIRT, 72-Stunden-Vorfallmeldung mit Indikatoren für Kompromittierung, Monatsbericht mit Ursachenanalyse, Eskalationsmatrix vom operativen Team zum Leitungsorgan, Rollen und Verantwortlichkeiten (Vorfallmanager, Reaktionsteam, CSIRT-Verbindungsperson, Recht, Kommunikation), Beweissicherung und Chain of Custody, freiwillige Meldung von Beinahe-Vorfällen und Bedrohungen sowie Prozess zur Überprüfung nach dem Vorfall."

2. Generieren Sie das Verfahren zur Vorfallklassifizierung:

   "Erstellen Sie ein detailliertes Verfahren zur Vorfallklassifizierung für die NIS2-Compliance. Enthalten sein sollen: Klassifizierungskriterien zur Bestimmung, ob ein Vorfall gemäß NIS2 Artikel 23(3) als „signifikant“ einzustufen ist -- unter Berücksichtigung von (a) schwerwiegenden Betriebsstörungen oder finanziellen Verlusten, (b) Auswirkungen auf andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden. Stellen Sie eine Klassifizierungsmatrix mit Schweregraden, Kriterien zur Bewertung der Auswirkungen und klare Entscheidungsbäume bereit, wann die 24-Stunden-Vorwarnung ausgelöst werden soll. Fügen Sie Beispiele hinzu, die spezifisch für unseren [Sektor] sind."

Schritt 3: Generieren der Richtlinien zur Geschäftskontinuität und Notfallwiederherstellung

Artikel 21(2)(c) -- Geschäftskontinuität, Backup-Management, Notfallwiederherstellung, Krisenmanagement

Dieser Maßnahmenbereich erfordert eine umfassende Sammlung von Dokumenten, die darlegen, wie Ihre Organisation Dienstleistungen während und nach Störungen aufrechterhält und wiederherstellt.

1. Generieren Sie die Richtlinie zur Geschäftskontinuität:

   "Erstellen Sie eine Richtlinie zur Geschäftskontinuität, die mit NIS2 Artikel 21(2)(c) für eine [wesentliche/wichtige] Einrichtung im [Sektor] übereinstimmt. Enthalten sein sollen: Methodik und Anforderungen der Business-Impact-Analyse, Wiederherstellungszeitziele (RTO) und Wiederherstellungspunktziele (RPO) für wesentliche/wichtige Dienstleistungen, Kriterien und Verfahren zur Aktivierung des Business-Continuity-Plans, Krisenmanagement-Governance und Eskalation, Kommunikationsprotokolle während Störungen (intern, extern, Behörden, Medien), Integration mit der NIS2-Vorfallmeldung (Auslösen der 24-Stunden-Vorwarnung bei größeren Störungen), Anforderungen an Tests und Übungen (mindestens jährlich), Überlegungen zur Kontinuität der Lieferkette sowie Aufsichtspflichten des Leitungsorgans."

2. Generieren Sie den Notfallwiederherstellungsplan:

   "Erstellen Sie eine Vorlage für einen Notfallwiederherstellungsplan, der mit NIS2 Artikel 21(2)(c) für unsere IT-Infrastruktur übereinstimmt. Abgedeckt werden sollen: Notfallszenarien, die spezifisch für unseren [Sektor] sind (Ransomware, Ausfall des Rechenzentrums, Ausfall des Cloud-Anbieters, Naturkatastrophe), Wiederherstellungsstrategie nach Kritikalitätsstufe der Systeme, detaillierte Wiederherstellungsverfahren für kritische Systeme (Schritt-für-Schritt), Failover- und Fallback-Verfahren, Datenwiederherstellung aus Backups, Kommunikations- und Koordinationsprotokolle, Zeitplan für Wiederherstellungstests und Dokumentationsanforderungen sowie Abhängigkeiten von Lieferanten und Drittanbietern."

3. Generieren Sie die Backup-Management-Richtlinie:

   "Erstellen Sie eine Backup-Management-Richtlinie, die mit NIS2 Artikel 21(2)(c) übereinstimmt. Abgedeckt werden sollen: Backup-Umfang (alle kritischen Systeme, Daten und Konfigurationen), Backup-Häufigkeit nach Datenklassifizierung und RPO-Anforderungen, Backup-Methoden (vollständig, inkrementell, differenziell), Anforderungen an Offline- und Air-Gap-Backups (Resilienz gegen Ransomware), Verschlüsselung und Zugriffskontrolle von Backups, Backup-Speicherorte (vor Ort, extern, Cloud) mit geografischen Überlegungen, Zeitplan für Wiederherstellungstests und Erfolgskriterien, Backup-Überwachung und Alarmierung, Aufbewahrungsfristen sowie Rollen und Verantwortlichkeiten."

4. Generieren Sie den Krisenmanagementplan:

   "Erstellen Sie einen Krisenmanagementplan, der mit NIS2 Artikel 21(2)(c) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Definition einer Krise und Aktivierungskriterien, Zusammensetzung des Krisenmanagementteams und Kontaktdaten, Entscheidungsbefugnis während einer Krise, interne und externe Kommunikationsprotokolle, Koordination mit dem nationalen CSIRT und der zuständigen Behörde, Richtlinien für Medien- und Öffentlichkeitsarbeit, Eskalations- und Deeskalationsverfahren, Prozess zur Überprüfung nach der Krise und Lessons Learned sowie Integration mit den NIS2-Vorfallmeldefristen."

Schritt 4: Generieren der Richtlinie zur Sicherheit der Lieferkette

Artikel 21(2)(d) -- Sicherheit der Lieferkette

NIS2 legt großen Wert auf die Sicherheit der Lieferkette. Ihre Richtlinie muss sicherheitsrelevante Aspekte der Beziehungen zu direkten Lieferanten und Dienstleistern behandeln.

1. Generieren Sie die Richtlinie zur Sicherheit der Lieferkette:

   "Erstellen Sie eine Richtlinie zur Sicherheit der Lieferkette, die mit NIS2 Artikel 21(2)(d) für unsere Organisation im [Sektor] übereinstimmt. Enthalten sein sollen: Methodik und Kriterien zur Bewertung des Lieferantenrisikos, Sicherheitsanforderungen für verschiedene Risikostufen von Lieferanten, Anforderungen an die Sicherheits-Due-Diligence vor Vertragsabschluss, verbindliche Sicherheitsklauseln für Verträge (Audit-Rechte, Vorfallmeldung, Sicherheitsstandards, Kontrollen von Subunternehmern), Zeitplan für die laufende Überwachung und Überprüfung von Lieferanten, Schwachstellenmanagement in der Lieferkette, Verfahren zur Reaktion auf lieferantenbezogene Vorfälle, Anforderungen an den Ausstieg und die Übergabe von Lieferanten sowie Koordination mit sektorspezifischen Risikobewertungen der Lieferkette. Verweisen Sie auf die ENISA-Leitlinien zur Sicherheit der Lieferkette."

Schritt 5: Generieren der Richtlinien für Netzwerksicherheit und Schwachstellenmanagement

Artikel 21(2)(e) -- Sicherheit bei Beschaffung, Entwicklung und Wartung; Umgang mit Schwachstellen

Dieser Maßnahmenbereich umfasst die Sicherheit Ihrer Netz- und Informationssysteme während ihres gesamten Lebenszyklus sowie das Schwachstellenmanagement und die Offenlegung.

1. Generieren Sie die Richtlinie für sichere Entwicklung und Beschaffung:

   "Erstellen Sie eine Richtlinie für sichere Entwicklung und Beschaffung, die mit NIS2 Artikel 21(2)(e) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Sicherheitsanforderungen in Ausschreibungsspezifikationen, Sicherheitsbewertung von Anbietern vor der Beschaffung, Anforderungen an den sicheren Softwareentwicklungslebenszyklus (SDLC), Sicherheitstests vor der Bereitstellung (Code-Review, SAST, DAST, Penetrationstests), Change-Management und Sicherheitsfolgenabschätzung, Patch-Management und Update-Verfahren, Standards für sichere Konfiguration und Härtung, Verfahren zur Außerbetriebnahme und sicheren Entsorgung sowie Management der Sicherheit von Open-Source-Software."

2. Generieren Sie die Richtlinie zum Schwachstellenmanagement:

   "Erstellen Sie eine Richtlinie zum Schwachstellenmanagement, die mit NIS2 Artikel 21(2)(e) für unsere Organisation im [Sektor] übereinstimmt. Abgedeckt werden sollen: Quellen zur Identifizierung von Schwachstellen (Scanning, Bedrohungsinformationen, Herstellerhinweise, CERT-Warnungen), Umfang und Häufigkeit des Schwachstellenscannings (wöchentlich für kritische Systeme, monatlich für andere), Klassifizierung und Priorisierung von Schwachstellen (CVSS-Bewertung, Ausnutzbarkeit, Geschäftskontext), Behebungsfristen nach Schweregrad (kritisch: 24-72 Stunden, hoch: 7 Tage, mittel: 30 Tage, niedrig: 90 Tage), Ausnahme- und Risikoakzeptanzprozess für verzögerte Patches, Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD), Meldung von Schwachstellen durch Mitarbeiter und externe Forscher, Notfall-Patch-Verfahren sowie OT/ICS-spezifische Überlegungen zum Schwachstellenmanagement für den [Sektor]."

Schritt 6: Generieren der Richtlinie zur Wirksamkeitsbewertung

Artikel 21(2)(f) -- Richtlinien und Verfahren zur Bewertung der Wirksamkeit

NIS2 verlangt, dass Sie regelmäßig bewerten, ob Ihre Cybersicherheitsmaßnahmen tatsächlich wirksam sind. Dies geht über das bloße Vorhandensein von Kontrollen hinaus -- Sie müssen deren Wirksamkeit testen und überprüfen.

1. Generieren Sie die Richtlinie für Sicherheitstests und Bewertung:

   "Erstellen Sie eine Richtlinie für Sicherheitstests und Wirksamkeitsbewertung, die mit NIS2 Artikel 21(2)(f) für unsere [wesentliche/wichtige] Einrichtung übereinstimmt. Abgedeckt werden sollen: Arten von Wirksamkeitsbewertungen (Schwachstellenbewertungen, Penetrationstests, Red-Team-Übungen, Tabletop-Übungen, Kontrolltests), Umfang und Häufigkeit der Bewertungen (jährlich mindestens für umfassende Tests, vierteljährlich für Hochrisikobereiche), Anforderungen an interne vs. externe Tests, Testmethodik und Standards (OWASP, PTES, NIST SP 800-115), Metriken und KPIs zur Messung der Cybersicherheitswirksamkeit, Berichterstattung der Bewertungsergebnisse an das Leitungsorgan, Nachverfolgung von Korrekturmaßnahmen und Überprüfung der Behebung, Integration mit Aktualisierungen der Risikobewertung sowie Anforderungen an die kontinuierliche Überwachung."

2. Generieren Sie das Verfahren zur internen Cybersicherheitsrevision:

   "Erstellen Sie ein Verfahren zur internen Cybersicherheitsrevision für die NIS2-Compliance. Abgedeckt werden sollen: Revisionsumfang, der alle zehn Maßnahmenbereiche nach Artikel 21(2) umfasst, Revisionsplanung und -zeitplan (jährlicher Zyklus), Anforderungen an die Unabhängigkeit und Kompetenz der Prüfer, Revisionsmethodik (Dokumentenprüfung, Interviews, technische Tests, Stichprobenprüfung), Format des Revisionsberichts mit nach Schweregrad kategorisierten Feststellungen, Anforderungen an die Managementreaktion und Korrekturmaßnahmen, Nachverfolgung der Umsetzung von Korrekturmaßnahmen sowie Berichterstattung der Revisionsergebnisse an das Leitungsorgan."

Schritt 7: Generieren der Richtlinie zur Cybersicherheitshygiene und Schulung

Artikel 21(2)(g) -- Grundlegende Cybersicherheitshygiene und Schulungen zur Cybersicherheit

NIS2 Artikel 20 verlangt ausdrücklich, dass Mitglieder des Leitungsorgans an Cybersicherheitsschulungen teilnehmen und dass Einrichtungen alle Mitarbeiter zur regelmäßigen Teilnahme an Schulungen ermutigen. Artikel 21(2)(g) erweitert dies auf grundlegende Cybersicherheitshygienepraktiken.

1. Generieren Sie die Richtlinie zur Cybersicherheitshygiene und Sensibilisierung:

   "Erstellen Sie eine Richtlinie zur Cybersicherheitshygiene und Sensibilisierungsschulung, die mit NIS2 Artikel 21(2)(g) und den Schulungsanforderungen nach Artikel 20 übereinstimmt. Abgedeckt werden sollen: verpflichtende Cybersicherheitsschulungen für Mitglieder des Leitungsorgans (Inhalte, Häufigkeit, Nachweise), rollenbasierte Schulungen für alle Mitarbeiter (IT/Sicherheit, allgemeines Personal, Auftragnehmer), Anforderungen an die Sicherheitseinführung für neue Mitarbeiter, grundlegende Cybersicherheitshygienepraktiken, die organisationsweit umgesetzt werden sollen (Passwortmanagement, Phishing-Bewusstsein, Clean Desk, Gerätesicherheit, sicheres Surfen, Wechselmedien), Phishing-Simulationen und Tests auf Social Engineering, Messung und Bewertung der Schulungseffektivität, laufende Sensibilisierungsmaßnahmen (Newsletter, Warnungen, Sicherheitsbotschafter), sektorspezifische Sicherheitsbewusstseinsmaßnahmen für [Sektor]-Betriebe, Dokumentation von Schulungsunterlagen und Nachweisen sowie jährlicher Schulungsplan mit Zeitplan."

Schritt 8: Generieren der Richtlinie zu Kryptographie und Verschlüsselung

Artikel 21(2)(h) -- Kryptographie und Verschlüsselung

NIS2 verlangt Richtlinien zur Nutzung von Kryptographie und, wo angemessen, Verschlüsselung, um die Vertraulichkeit und Integrität von Daten zu schützen.

1. Generieren Sie die Richtlinie zu Kryptographie und Verschlüsselung:

   "Erstellen Sie eine Richtlinie zu Kryptographie und Verschlüsselung, die mit NIS2 Artikel 21(2)(h) für unsere Organisation im [Sektor] übereinstimmt. Abgedeckt werden sollen: zugelassene kryptographische Algorithmen und Schlüssellängen (abgestimmt auf ENISA- und nationale Empfehlungen), Anforderungen an die Datenverschlüsselung nach Klassifizierung (Daten im Ruhezustand, Daten während der Übertragung, Daten während der Verarbeitung), TLS/SSL-Konfigurationsstandards (mindestens TLS 1.2, bevorzugt TLS 1.3), E-Mail-Verschlüsselung und digitale Signaturen, Anforderungen an die Vollverschlüsselung von Endgeräten und mobilen Geräten, Datenbankverschlüsselungsstandards, Lebenszyklusmanagement kryptographischer Schlüssel (Erzeugung, Verteilung, Speicherung, Rotation, Widerruf, Vernichtung), Nutzung von Hardware-Sicherheitsmodulen (HSM), wo zutreffend, Zertifikatsmanagement und PKI-Governance, Bewusstsein für Post-Quantum-Kryptographie und Übergangsplanung, sektorspezifische Kryptographieanforderungen für [Sektor] sowie verbotene Algorithmen und Protokolle (MD5, SHA-1, DES, SSL 3.0, TLS 1.0/1.1)."

Schritt 9: Generieren der Richtlinien zu Personal-Sicherheit, Zugriffskontrolle und Asset-Management

Artikel 21(2)(i) -- Sicherheit im Personalwesen, Zugriffskontrollrichtlinien und Asset-Management

Dieser kombinierte Maßnahmenbereich umfasst drei miteinander verbundene Bereiche. Sie sollten für jeden Bereich separate Richtlinien erstellen, um Klarheit und Handhabbarkeit zu gewährleisten.

1. Generieren Sie die Richtlinie zur Personal-Sicherheit:

   "Erstellen Sie eine Richtlinie zur Personal-Sicherheit, die mit NIS2 Artikel 21(2)(i) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Sicherheitsüberprüfungen vor der Einstellung (Hintergrundchecks, Referenzprüfung), Sicherheitsklauseln in Arbeitsverträgen, Sicherheitsbewusstsein während der Einarbeitung, Sicherheitsverantwortlichkeiten während des Beschäftigungsverhältnisses, Disziplinarverfahren bei Sicherheitsverstößen, Verfahren bei Beendigung und Rollenwechsel (Zugriffsentzug, Rückgabe von Assets, Wissensübertragung), Sicherheitsanforderungen für Auftragnehmer und Drittpersonal sowie Vertraulichkeits- und Geheimhaltungsvereinbarungen."

2. Generieren Sie die Zugriffskontrollrichtlinie:

   "Erstellen Sie eine Zugriffskontrollrichtlinie, die mit NIS2 Artikel 21(2)(i) für unsere Organisation im [Sektor] übereinstimmt. Abgedeckt werden sollen: Zugriffskontrollprinzipien (Prinzip der geringsten Rechte, Need-to-Know, Funktionstrennung), Verfahren zur Bereitstellung und Entziehung von Benutzerzugriffen, Zeitplan für die Überprüfung und Rezertifizierung von Zugriffen (vierteljährlich für privilegierte Zugriffe, halbjährlich für Standardzugriffe), Anforderungen an das Privileged Access Management (PAM), Sicherheitsanforderungen für Remote-Zugriffe, Zugriffskontrollen für Dritte und Auftragnehmer, Anforderungen an die Protokollierung und Überwachung von Zugriffen, Verwaltung von Dienstkonten, Implementierung von rollenbasierter Zugriffskontrolle (RBAC) sowie Notfallzugriffsverfahren."

3. Generieren Sie die Asset-Management-Richtlinie:

   "Erstellen Sie eine Asset-Management-Richtlinie, die mit NIS2 Artikel 21(2)(i) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Anforderungen an die Asset-Inventarisierung (Hardware, Software, Informationen, Dienstleistungen, Personen), Kriterien für die Asset-Klassifizierung und Handhabungsregeln, Zuweisung von Asset-Eigentümern und -Verantwortlichen, Lebenszyklusmanagement von Assets (Beschaffung, Bereitstellung, Wartung, Entsorgung), akzeptable Nutzung von Assets, BYOD-Richtlinie (Bring Your Own Device), Kontrollen für Wechselmedien sowie Verfahren zur sicheren Entsorgung und Vernichtung."

Schritt 10: Generieren der Richtlinie zu Authentifizierung und sicherer Kommunikation

Artikel 21(2)(j) -- MFA, kontinuierliche Authentifizierung und gesicherte Kommunikation

NIS2 nennt ausdrücklich Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierungslösungen, gesicherte Sprach-/Video-/Textkommunikation und gesicherte Notfallkommunikationssysteme.

1. Generieren Sie die Authentifizierungsrichtlinie:

   "Erstellen Sie eine Authentifizierungsrichtlinie, die mit NIS2 Artikel 21(2)(j) für unsere [wesentliche/wichtige] Einrichtung übereinstimmt. Abgedeckt werden sollen: Anforderungen an die Multi-Faktor-Authentifizierung (MFA) -- verpflichtend für alle Remote-Zugriffe, privilegierte Konten, kritische Systeme und Cloud-Dienste, zugelassene MFA-Methoden (Hardware-Tokens, Authenticator-Apps, FIDO2) mit bevorzugten phishing-resistenten Methoden, Überlegungen zu kontinuierlicher Authentifizierung und adaptivem Zugriff, Passwortrichtlinie (Mindestlänge, Komplexität, Rotation, Verbot der Wiederverwendung), Leitlinien zur Implementierung von Single Sign-On (SSO), Authentifizierung zwischen Diensten (API-Schlüssel, Zertifikate, Dienstkonten), Governance für biometrische Authentifizierung, Authentifizierung in OT/ICS-Umgebungen, wo zutreffend, sowie Protokollierung und Anomalieerkennung bei der Authentifizierung."

2. Generieren Sie die Richtlinie für sichere Kommunikation:

   "Erstellen Sie eine Richtlinie für sichere Kommunikation, die mit NIS2 Artikel 21(2)(j) für unsere Organisation übereinstimmt. Abgedeckt werden sollen: Anforderungen an gesicherte Sprachkommunikation (verschlüsselte VoIP, sichere mobile Kommunikation), Standards für sichere Videokonferenzen (zugelassene Plattformen, Verschlüsselungsanforderungen), gesicherte Text- und Nachrichtenübermittlung (zugelassene Unternehmens-Messaging-Plattformen, Verbot von Consumer-Messaging für sensible Daten), E-Mail-Sicherheit (TLS-Erzwingung, S/MIME oder PGP für sensible Kommunikation), gesicherte Notfallkommunikationssysteme (Out-of-Band-Kommunikationskanäle für die Vorfallreaktion, Krisenkommunikationstools, die funktionieren, wenn primäre Systeme kompromittiert sind) sowie Data-Loss-Prevention-Kontrollen für Kommunikationskanäle."

Schritt 11: Überprüfen, abstimmen und genehmigen Sie Ihren Richtliniensatz

Sicherstellung der Konsistenz aller Richtlinien

Nachdem alle zehn Maßnahmenbereiche abgedeckt sind, überprüfen Sie den vollständigen Richtliniensatz auf Konsistenz, Querverweise und Vollständigkeit.

1. Führen Sie eine Konsistenzprüfung durch:

   "Überprüfen Sie die folgenden NIS2-Richtliniendokumente auf Konsistenz. Prüfen Sie: (1) ob die Terminologie in allen Richtlinien einheitlich verwendet wird, (2) ob Rollen und Verantwortlichkeiten nicht im Widerspruch zueinander stehen, (3) ob Querverweise zwischen den Richtlinien korrekt sind, (4) ob alle zehn Maßnahmenbereiche nach Artikel 21(2) vollständig abgedeckt sind, (5) ob alle Richtlinien auf die übergeordnete Informationssicherheitsrichtlinie verweisen, (6) ob Überprüfungszyklen und Genehmigungsprozesse konsistent sind, (7) ob keine Lücken zwischen den Richtlinien bestehen, durch die eine Anforderung fallen könnte."

2. Erstellen Sie ein Richtlinienrahmenverzeichnis:

   "Erstellen Sie ein Verzeichnis des NIS2-Cybersicherheitsrichtlinienrahmens, das Folgendes abbildet: jeden Maßnahmenbereich nach Artikel 21(2) zu dem/den Richtliniendokument(en), das/die ihn behandelt/en, den Dokumenteneigentümer, die Genehmigungsbefugnis (Leitungsorgan vs. CISO), die Überprüfungshäufigkeit, die aktuelle Version, das Datum der letzten Überprüfung und das nächste Überprüfungsdatum. Formatieren Sie dies als Tabelle, die sich als Prüfungsnachweis eignet."

3. Bereiten Sie das Genehmigungspaket für das Leitungsorgan vor:

   "Erstellen Sie ein Genehmigungspaket für das Leitungsorgan zu unserem NIS2-Cybersicherheitsrichtliniensatz. Enthalten sein sollen: eine Zusammenfassung aller erstellten Richtlinien, wie sie gemeinsam die Anforderungen nach Artikel 21(2) erfüllen, eine einseitige Zusammenfassung der wichtigsten Bestimmungen jeder Richtlinie, die spezifischen Genehmigungs- und Aufsichtspflichten des Leitungsorgans nach Artikel 20, der vorgeschlagene Zeitplan für Überprüfung und Aktualisierung sowie eine Vorlage für einen Vorstandsbeschluss zur formalen Richtlinienverabschiedung."

Pflege und Aktualisierung Ihrer Richtlinien

Richtlinien-Lebenszyklusmanagement

NIS2-Richtlinien sind lebende Dokumente, die aktualisiert werden müssen, wenn:

• sich die Ergebnisse der Risikobewertung ändern
• Vorfälle Richtlinienlücken aufdecken
• neue Bedrohungen auftreten, die aktualisierte Kontrollen erfordern
• organisatorische Änderungen den Geltungsbereich oder die Verantwortlichkeiten beeinflussen
• nationale Umsetzungsgesetze aktualisiert werden
• technologische Änderungen aktualisierte technische Kontrollen erfordern
• Wirksamkeitsbewertungen Verbesserungsbereiche identifizieren

"Erstellen Sie ein Verfahren zur Überprüfung und Aktualisierung unseres NIS2-Richtliniensatzes. Enthalten sein sollen: geplanter Überprüfungszyklus (mindestens jährlich für alle Richtlinien), Auslöser für außerplanmäßige Überprüfungen, Überprüfungsprozess (Inhaltsprüfung, Konsultation der Stakeholder, Genehmigung durch das Leitungsorgan), Verfahren zur Versionskontrolle und Änderungsverfolgung, Kommunikation von Richtlinienaktualisierungen an betroffene Mitarbeiter sowie Archivierungsanforderungen für ersetzte Versionen."

Nächste Schritte

Mit Ihrem vollständigen, genehmigten NIS2-Richtliniensatz haben Sie die dokumentarische Grundlage für die Compliance geschaffen.

Fahren Sie mit den nächsten Leitfäden dieser Reihe fort:

• Vorfallmeldung: Siehe Wie Sie NIS2-Vorfallmeldungen mit KI umsetzen, um die operativen Workflows, Vorlagen und Playbooks zu erstellen, die Ihre Richtlinie zur Vorfallreaktion operationalisieren
• Sicherheit der Lieferkette: Siehe Wie Sie die NIS2-Lieferkettensicherheit mit KI verwalten, um die Lieferantenbewertungen und Fragebögen umzusetzen, die in Ihrer Richtlinie zur Sicherheit der Lieferkette beschrieben sind

Falls Sie die Risikobewertung noch nicht abgeschlossen haben, siehe Wie Sie eine NIS2-Risikobewertung mit KI durchführen -- Ihre Richtlinien sollten auf den Ergebnissen Ihrer Risikobewertung basieren. Für die initiale Einrichtung und Abgrenzung beginnen Sie mit Wie Sie mit der NIS2-Umsetzung mithilfe von KI beginnen.

Für gebrauchsfertige Prompts zur Richtlinienerstellung erkunden Sie die NIS2 Directive Prompt Library. Für einen umfassenden Überblick über alle NIS2-Anforderungen siehe den NIS2 Compliance Guide for In-Scope Companies.

Hilfe erhalten

Für zusätzliche Unterstützung bei der Erstellung von NIS2-Richtlinien:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren NIS2-Arbeitsbereich für laufende Fragen zu Richtlinien, Anpassungen und Aktualisierungen
• Laden Sie bestehende Richtlinien hoch: Erhalten Sie eine KI-gestützte Gap-Analyse, um zu identifizieren, was erstellt, aktualisiert oder gestärkt werden muss
• Sektorspezifische Anpassungen: Fragen Sie nach sektorspezifischen Bestimmungen, die zu generischen Richtlinienvorlagen hinzugefügt werden sollen (besonders wichtig für die Sektoren Energie, Gesundheit, Verkehr und digitale Infrastruktur)
• Ausrichtung auf nationale Umsetzung: Fragen Sie nach zusätzlichen Anforderungen, die Ihr Mitgliedstaat möglicherweise über die Mindestanforderungen der Richtlinie hinaus auferlegt hat