Compliance-Anforderungen für kritische Infrastrukturen
Energieunternehmen und Versorgungsbetriebe werden gemäß der EU NIS2-Richtlinie als Betreiber wesentlicher Dienste (OES) eingestuft — wodurch sie verpflichtenden Anforderungen an Cybersicherheits-Risikomanagement, Vorfallmeldung und Lieferkettensicherheit unterliegen. Bei Nichteinhaltung drohen Verwaltungsbußgelder von bis zu 10 Millionen Euro oder 2% des globalen Umsatzes gemäß NIS2.
NIS2-Richtlinie — Wesentliche Pflichten
- Cybersicherheits-Risikomanagementmaßnahmen, die dem Risiko angemessen sind
- Vorfallmeldung: Erhebliche Vorfälle an das nationale CSIRT innerhalb von 24 Stunden, vollständiger Bericht innerhalb von 72 Stunden
- Lieferkettensicherheit — Bewertung der Sicherheitspraktiken von Lieferanten und Dienstleistern
- Business-Continuity-Maßnahmen — Backup-Management, Disaster Recovery, Krisenmanagement
- Verantwortung der Geschäftsleitung — NIS2 macht Leitungsorgane ausdrücklich persönlich verantwortlich
ISO 27001 und NIS2-Abgleich
ISO 27001:2022 bietet den umfassendsten Rahmen zur Erfüllung der Cybersicherheits-Risikomanagementanforderungen gemäß NIS2 Artikel 21. Das NIS2-Bereitschaftsprogramm von BALTUM bildet Ihre ISO 27001 ISMS-Kontrollen auf NIS2-Verpflichtungen ab — identifiziert Lücken und liefert einen priorisierten Remediation-Fahrplan, der auf die NIS2-Umsetzungsfrist Ihres Mitgliedstaats abgestimmt ist.
OT- und ICS-Sicherheit
Energie- und Versorgungsunternehmen stehen vor der zusätzlichen Herausforderung der Betriebstechnologie- (OT) und Industriesteuerungssystem- (ICS) Sicherheit — Bereiche, die von IT-orientierten Rahmenwerken nicht vollständig abgedeckt werden. BALTUM arbeitet mit OT-spezialisierten Auditoren zusammen, um den ISO 27001-Geltungsbereich auf SCADA-, DCS- und ICS-Umgebungen zu erweitern, mit Bezug auf IEC 62443-Standards, wo zutreffend.