NIS2 & DORA: Pflichten, Risiken und Maßnahmen – mit Nils Gröne & Feyzi Erdar

00:00:00: Das Allerwichtigste ist tatsächlich, dass die Geschäftsführung erst mal für sich selbst ein Bewusstsein schafft.

00:00:06: Für das Themenfeld Unternehmens-IT damit verbundene potenzielle Bedrohungs-Szenarien und die notwendige Sicherheitsmaßnahmen

00:00:14: dafür

00:00:14: geschaffen werden müssen.

00:00:33: Ja, heute tauchen wir etwas mehr in die NIST-Zweilwelt ein und haben dazu zwei Spezialisten aus unseren eigenen Reihen mitgebracht.

00:00:40: Nils Grüne der aktuell Bereichsleiter GSEO & IT Security bei Datagrupp ist seit über acht Jahren verschiedenen Sicherheits- und Auditrollen für uns tätig.

00:00:51: er ist Spezialist für Governance Risikomanagement Compliance und Informationssicherheit und verbindet Erfahrungen aus Beratung, Finanzdienstleistungen und Unternehmenspraxis.

00:01:01: Nils ist fokussiert auf die Umsetzung regulatorischer Anforderungen in modernen Sicherheitsstrategien und dementsprechend der richtige Partner, um unsere Kunden im Bereich Compliance zu unterstützen.

00:01:19: Informationssicherheit.

00:01:21: Außerdem ist er Kundeninformations-Sicherheitsbeauftragter bei Datagroup, Spezialist für Informationssicherheit und Datenschutz im Finanzsektor und mehrfach TÜV zertifiziert als Auditor und

00:01:31: Datenschutzexperte.".

00:01:33: Und vorweg vielleicht noch ein kleiner Hinweis.

00:01:35: Froni hat gerade schon gesagt, worum es heute gehen soll aber der Inhalt dieses Podcasts spiegelt vor allem unsere gelebte Praxis wieder und darf nicht als Rechtsberakturm verstanden werden.

00:01:44: Damit würde ich sagen können wir direkt in die Folge rein hören bis gleich!

00:01:48: Hallo Nils, hallo Fesi!

00:01:49: Schön dass ihr beide da seid.

00:01:51: Herzlich willkommen.

00:01:52: Ja, halo Danke für die Einladung.

00:01:54: Von mir auch danke.

00:01:55: Hallo Bruni, halla Melli.

00:01:57: Hi, hi ihr zwei ich würde mal direkt ins Thema reinspringen und die erste Frage auch nicht richten wo stehenden Unternehmen heute bei der Umsetzung von des Zweihomo besteht aktuell eigentlich der größte Handlungsbedarf?

00:02:08: also ihr beiden seid ja direkt am Kunden dran und könnt das aus der Praxis natürlich hier auch einmal darstellen.

00:02:14: Ja, vielleicht zunächst einmal für denjenigen Zuhörerinnen die Einstiegsfolge von Michael Tertil zu unserer Compliance-Staffel nicht mehr so ganz vor dem innerlichen Auge haben.

00:02:24: Vorweg noch kurz ein Wort!

00:02:25: Was ist NIST II denn eigentlich?

00:02:28: NISTII ist eine Abkürzung für eine EU-Richtlinie zur Regelung der Netzwerk und Informationssicherheit für viele Unternehmen im europäischen Markt Und in Deutschland wurde diese Richtlinie hauptsächlich über eine Anpassung des sogenannten BSI-Gesetzes in deutsches Recht überführt.

00:02:46: Die Abkürzung BSI ist auch noch mal relevant für diesen Podcast, denn BSI steht für das Bundesamt für Sicherheit in der Informationstechnik was die Umsetzung dieser Anforderungen später auch überwachen wird.

00:02:59: Das neue BSI-Gesetz trat jetzt im Dezember zwanzig, fünfundzwanzig in Kraft und seitdem gelten eine Reihe von verbindlichen Pflichten für viele Unternehmen.

00:03:09: Und das ohne weitere Übergangsfristen!

00:03:11: Warum gibt es denn jetzt nun NIST II und das BSI-Gesetz?

00:03:15: Also die neuen Pflichten ergeben sich grundsätzlich erst mal aus einer verschärften Sicherheitslage, in der immer mehr Cyberangriffe auf die Störung von Verfügbarkeit, Integrität und Vertraulichkeit vom Daten- und IT-System abziehen.

00:03:28: Also immer mehr Hacker-Angriffe geschehen – und das Ganze in Kombination mit viel zu vielen für die öffentliche Versorgungssicherheit relevanten Unternehmen die sich ja trotz des eigentlich gegebenen intrinsischen Interesses nicht in genügendem Maße selbst vor solchen Angriffen oder Ausfällen schützen, führt nun dazu dass der Gesetzgeber kommt und entsprechende Umsetzung von außen von diesen Unternehmen verlangt.

00:03:52: Das sind rund dreißigtausend Unternehmen allein in Deutschland, die von dieser Regelung betroffen sind – das ist also echt eine richtige Menge!

00:04:00: Und viele davon sind auch kleinere und mittelständische Unternehmen bis dann gar keine weitere Erfahrungen mit IT-Komplex, IT-Regulaturik haben und nun erstmalig in der Verantwortung sind auch gegenüber einer Aufsichtsbehörde von außen.

00:04:16: Und diese Unternehmen müssen jetzt eine ganze Reihe von Risikomanagementmaßnahmen einleiten um ihr Cyberniveau zu verbessern und um Ausfälle Kompromittierung ihrer IT Systeme usw.

00:04:25: zu vermeiden und die Auswirkung von eventuell vorkommenden Sicherheitsvorfällen ja mindestens geringzuhalten oder geradezu vermeiden.

00:04:33: Dabei ist immer die gesamte Organisation im Fokus.

00:04:35: Die Unternehmen können nicht sagen, sie sind teilweise außerhalb des Anwendungsbereichs vom BSI-Gesetz oder sofern die entsprechenden Dienstleistungen oder Produktionen, die sie erbringen.

00:04:48: Unternehmen können es sicherlich leicht machen und sagen, hier sind nur gewisse Anteile von unserer Organisation betroffen.

00:04:52: Sondern sie müssen ihre gesamte Organisation in der verbundenen IT-Sanschaft haben entsprechend schützen mit diesen Mindeststandards Und das Ganze ist ja eine Behörde.

00:05:01: Das führt auch dazu Eine behördliche Anforderung Dass man das was man tun muss auch tatsächlich nachweisbar haben muss also Dokumentationspflichten Prüfpflichten Nachweispflichten Kontrollen usw.

00:05:14: Die müssen durchgänglich vorhaltbar sein, wenn dann eine Behörde zum Audit kommt.

00:05:18: Dazu kommen auch übliche Meldepflichten gegenüber einer Behörd, wenn wir dann gewisse Störungen haben, erhebliche Sicherheitsvorfälle haben die dann gegenüber dem BSI kommuniziert werden müssen.

00:05:27: und es gibt allgemein erhöhten Handelungsdruck bezüglich der Aufsichtstätigkeit des BSI also Audits von außen und auch potenzielle Sanktionsstrafen bei nicht Einhaltung.

00:05:36: Man sieht schon an diesen Punkten den Nils aufgezählt hat, die Unternehmen haben echt viel zu beachten und umzusetzen.

00:05:42: Und das muss alles Revision sicher dokumentiert werden, gerade deshalb stehen viele Organisationen unbedarf da mit der Umsetzung von NIST-II weil sie bislang kein wirksames ISMS Betrieben haben sogenannten roten Faden überhaupt für die Umsetzung vollliegen haben.

00:05:58: hier muss von der Pieke auf neu aufgebaut bzw.

00:06:02: umstrukturiert werden.

00:06:04: Warum ist denn das zwei längst kein reines IT-Thema mehr?

00:06:07: und welche Verantwortung trägt das Management vor allem?

00:06:09: Also womit sollte man da alle erstes am besten beginnen.

00:06:13: Das Allerwichtigste, ist tatsächlich dass die Geschäftsführung erstmal für sich selbst ein Bewusstsein schafft für das Themenfeld UnternehmensIT damit verbundene potentielle Bedrohungs-Szenarien und die notwendigen Sicherheitsmaßnahmen, die dafür geschaffen werden müssen.

00:06:29: Die Geschäftsführung ist meist gar nicht besonders IT-affin, wenn sie eigentlich in einem ganz anderen Markt segmentätig ist.

00:06:35: Jetzt muss sie aber wissen, dass Sicherheit in der IT Chefsache geworden ist und ein allererster Schritt ist das sich die Geschäftsführung sozusagen erstmal selbst schulen muss.

00:06:44: insichtlich dennes zwei Anforderungen oder sie muss sich besser gesagt von dritten Schulen lassen.

00:06:48: Man muss auch ein Verständnis für das Thema IT unshalber Sicherheit entwickeln um anschließend dann auch gewisse Maßnahmen einleiten zu lassen.

00:06:55: Das Verständnis für diese Regulierung ist erst mal ganz entscheidend, denn die Compliance ist natürlich ein Thema und mögliche Haftung

00:07:03: usw.,

00:07:03: aber ganz entscheident ist ja das Vermeiden von möglichen Betriebsunterbrechungen.

00:07:07: Also Produktionsleistungs- Unterbrechung oder sogar Verzögerung uswe.

00:07:11: Das will man ja vermeiden – genau dazu kann es kommen wenn die IT nicht mehr richtig funktioniert oder Daten kompromitiert sind.

00:07:19: Und da diese Unterbreicherung auch eine Auswirkung auf die Versorgungssicherheit der Gesellschaft haben können… müssen diese Unternehmen entsprechende technische organisatorische Maßnahmeinleiten und die Bedeutung des Unternehmens für die Geschäftsführer verstehen und entsprechende Maßnahmen einleiten.

00:07:37: Im Kern geht es hier um das Erreichen eines übergreifenden Niveaus an organisatorischer Handlungsfähigkeit und Resilienz, dabei spielen drei Faktoren eine zentrale Rolle.

00:07:48: Zum einen die Technologie selbst zum zweiten die Organisationsstruktur z.B.

00:07:53: Automobil-Dokumentenlenkung

00:07:54: etc.,

00:07:55: und auch als entscheidender Faktor der Mensch als größte Schwachstelle immer noch, dann können selbst die besten technischen Maßnahmen vorherrschen oder den Faktoren Menschen sind aber die größten Schwachstellen und das spielt da auch mit ein.

00:08:09: Entscheiden Sie mir klar, digneere Prozesse und Verantwortlichkeiten blassbare Entscheidungswege und die Fähigkeit einen Sicherheitsvorfall vorzubäugen bzw.

00:08:17: wirksam darauf reagieren zu können?

00:08:20: Es geht hier nicht um zusätzliche bürokratische Bürden, dass man dann quasi was auferlegt und die Leute drunter leiden müssen.

00:08:27: Sondern viel mehr um das Schaffen von Informationssicherheit, Betriebsstabilität und organisatorische Resilienz.

00:08:34: Und diese nicht nur zu verwalten sondern auch zu leben ist wichtig.

00:08:38: Wenn diese Ziele erreicht sind, dann ist auch die NIS-II-Komplein sichergestellt solange sie nachweisbar ist.

00:08:45: Der größte Tugschluss Von Management liegt oft daran, dass die Umsetzung von Standards-, Gesetzen- und Verordnungen bequem vollständig zum Beispiel an die IT Abteilung ausgesorgen wird oder gar komplett an ein exterse Unternehmen.

00:09:01: Man muss sich dann bequeme zurücklehnen und nichts kümmern müssen.

00:09:04: Das ist aber wie gesagt ein Druckschuss.

00:09:07: NISZII hat die persönliche Haftung für der Unternehmensleitung für die ordnungsgemäße Umsetzung der IT Sicherheitsmaßnahmen verankert.

00:09:17: Die Geschäftsführung ist daher verpflichtet, die Sicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu bewachen und kontinuierlich fortzubilden.

00:09:24: Bei Verstößen drohen der Geschäftsführung und persönliche Konsequenzen – und somit dem Unternehmensbuskeller bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

00:09:35: Wenn eine Geschäftsleitung bewusst wird, dass Konsequenten den eigenen Geldbeutel belasten, dann ist natürlich die Handlungsbereitschaft viel höher.

00:09:42: Die Frage bleibt dennoch offen?

00:09:45: ob sie sich aus Überzeugung, Kommenten oder die es immer noch als lästige Pflicht empfinden.

00:09:52: Ich denke das ist auch schwierig abzuwägen, ob das eine Verpflichtung ist oder aus der persönlichen Interesse.

00:09:57: Eine Frage hätte ich trotzdem wenn jetzt ein Kunde bei uns morgen anrufen würde und sagen würde hey ich habe mich jetzt aufgrund der Meldepflicht denn ist zwei Status dass man ja letztes Jahr machen musste angemelt oder Anfang des Jahres angemeldet was wäre so wirklich der erste Schritt den Sie machen sollten?

00:10:14: Wir haben uns ein paar Sofortmaßnahmen überlegt, die dabei helfen können.

00:10:19: Die Umsetzung von NISZ-II zügig anzugehen und auch schnellstmöglichen akzeptables Sicherheits-, aber auch Komplexniveau zu erreichen.

00:10:26: Das ist einmal die Feststellung der Betroffenheit und Registrierung wie du gerade schon angesprochen hast.

00:10:32: das ist das allererste was man tun muss und dann muss das Unternehmen erst mal seine Risikosituation kennen und verstehen sogenannte Maßnahmenumsetzungsplan abgeleitet werden, der dann die identifizierten Risiken möglichst wirksam entgegenwirkt.

00:10:52: Dieser sollte auch nicht allzu unambitioniert sein und dann ist es ganz wichtig dass man sich auf ein Ernstfall vorbereitet also reaktionsfähig wird und entsprechende Notvermanagement Prozesse etabliert.

00:11:04: das ist dann der vierte Schritt und ein weiterer Schritt der letzte.

00:11:07: dann wäre das Thema Meldewege und Verantwortlichkeiten kehren, das heißt wenn wir einen solchen Vorfall haben.

00:11:14: Wie kann ich dann in den vorgesehenen Fristen die Behörden entsprechend informieren darüber dass ein solcher Vorfall aufgetreten ist?

00:11:21: Und wer es muss sich auch tun um die Behürde dann auch laufen zu informieren?

00:11:25: also zu Punkt eins zu allererst müssen Unternehmen abschließend kehren ob sie von der NIST zwei Regulierungen betroffen sind.

00:11:30: da gibt's verschiedene Schwellenwerte und Sektoren denen Unternehmen mit ihren Dienstleistung oder produzierenden Aufgaben unterliegen.

00:11:38: Und dann müssen sie sich über ein sogenanntes BSI-Portal melden und registrieren.

00:11:44: Das Ganze sollte bis Anfang März schon erfolgt sein, das haben aber bei weitem nicht alle Unternehmen geschafft.

00:11:50: Sie haben aber aktuell noch die Zeit dies rasch nachzuholen, dass BSI bitte da eindringlich drumherum.

00:11:55: Wenn man nicht weiß ob man darunter fällt kann man sich auch immer eine juristische Expertise hinzuziehen.

00:12:00: dieser Frage wird einem das BSI nicht direkt beantworten.

00:12:04: Zweifelsfall also einen externen Anwalt hinzuziehen, der das guter Teil sich dann bestätigt.

00:12:09: So und das Ganze natürlich was zur Entscheidung geführt hat ob man betroffen ist oder auch nicht muss in jedem Fall dokumentiert werden und dann am Ende die Registrierung vorgenommen werden.

00:12:19: das ganze in Verantwortung durch die Geschäftsseitung.

00:12:22: Was sind denn die größten Herausforderungen bei der Durchführung einer Risikoanalyse?

00:12:26: Ja für das gelingen einer guten Risiko-Analyse muss man sich jetzt erstmal Struktur und Prozesse der gesamten Organisation, beziehungsweise des Unternehmens anschauen.

00:12:37: Also erstmal erfasst man die Geschäftsprozesse und die IT-Anwendung, Applikationen, die diese Geschäfts Prozesse unterstützen.

00:12:45: Also viele Geschäfts-Prozesse laufen ja heutzutage meist mindestens in Teilen digitalisiert.

00:12:50: Und wenn sie digitalisiert sind dann läuft das auf einer Form von Appsikation oder irgendeiner IT Anwendung beispielsweise auf eine SAP-Applikation.

00:12:59: Und dann gibt es auch immer noch die nachgelagerten IT-Infrastrukturen, auf denen diese IT Anwendung betrieben wird.

00:13:04: Also das erst mal um diese Kaskade zu verstehen was man alles bedenken muss um am Ende einen Niveau von IT Sicherheit zu erzielen.

00:13:13: Die Geschäftsprozesse müssen identifiziert werden und dann muss bewertet werden wie relevant oder wie bedeutend so ein jeweiliger Geschäfts prozess beispielsweise ein Vertriebsprozess ist und welche Arten dabei verarbeitet werden.

00:13:26: Aus der Kritikalität eines solches Prozesses für das Unternehmen und den darin genutzten oder verarbeiteten Daten muss dann ein Schutzbedarf abgeleitet werden.

00:13:35: Für die besonders schützenswerten Prozesse und Daten sollte dann im erster Schritt die IT- und Cyberrisiken identifiziert und eingeschätzt werden, die dann für diese jeweilige Applikation oder für die IT Infrastruktur und damit sind dann zum Beispiel Serversysteme, Storage Systeme, Netzwerke

00:13:49: bemeint.".

00:13:50: Besonders schützenswert können zum Beispiel Produktionsnahesysteme in den Industrieunternehmen sein, da wo IT und die operative Technologie die Produktion zusammenlaufen.

00:13:59: Da Angriff wäre hier direkte Auswirkungen auf Auffertigungs- und Lieferfähigkeit haben.

00:14:04: Um die jeweiligen Schutzziele zu erfüllen müssen dann konkrete technische organisatorische Maßnahmen definiert werden und in einem Umsetzungsplan eingeleitet werden damit das Risikoniveau bestmöglich minimiert wird.

00:14:15: Am besten macht man das mit gezielten Sicherheitssystemen IT-Systeme durchgängig überwachend und die Ergebnisse auswerten.

00:14:23: Jetzt sind wir bei der Risikoanalyse schon ein bisschen weiter reingegangen, welche Maßnahmen bringt den Unternehmen der NIST II Compliance wirklich noch mal näher?

00:14:32: Ganz entscheidend ist dass man einen Set aus verschiedenen Sicherheitsmaßnahmen wählt.

00:14:37: ja also es gibt verschiedene Maßnahmen.

00:14:39: die sind preventiver, detektive oder reaktiver Art.

00:14:42: vorbeugend, preventiv, detektiverkennend, überwachend und reaktiv das Bewältigen am Ende von Sicherheitsvorfällen.

00:14:50: Das alles muss in eine sogenannte Sicherheitsarchitektur integriert werden?

00:14:54: Was kann jetzt Teil dieser Sicherheits-Architekturen sein, also beispielsweise ein wirksames Schwachstellenmanagement?

00:15:01: Ich muss meine IT Assets kennen aus der IT Infrastruktur und den IT Applikationen und ich muss sie regelmäßig hinsichtlich der eventuell vorhandenen Schwachstellenscannen und zügig dafür sorgen dass diese Schwachstellen gesetzt werden beispielsweise durch geeignete Patches.

00:15:16: Dann ganz wichtig, Netzwerksicherheitsmaßnahmen, ein Stichwort Firewall am besten verschiedene Firewalls die eingesetzt werden um die Organisation zu schützen, regelmäßige Authentifizierung der Administratoren aber auch der einfachen Mitarbeiter bei Nutzung von IT-Applikation, wirksames Berechtigungsmanagement zählt natürlich genauso dazu wie regelmäßiges Schulungen und Sensibilisierung.

00:15:39: Wir hatten ja schon das Thema Entschuldigung der Geschäftsführer, aber natürlich auch der Mitarbeiter.

00:15:42: Dass sie zum Beispiel wissen auf welche Mails die besser nicht klicken sollen und das zu erkennen was verdächtige Mails sind mit denen vielleicht Angreifer versuchen nach vergleichen mit Klickern eines Link sich in den Infrastrukturzugang zu verschaffen.

00:15:54: Aber ganz wichtig ist natürlich auch die IT-Lieferkette.

00:15:57: ich muss aufpassen dass die Verbindung die Schnittstellen zu meinen Geschäftspartnern abgesichert sind damit eben nicht auf diesem Wege in die Infrastruktur eines Unternehmens eingedrungen werden kann.

00:16:08: Und das Thema Vorbereiten auf den Ernstfall ist natürlich ganz, ganz wichtig.

00:16:13: Wie gehe ich vor?

00:16:14: Wenn ein solcher Angriff da ist – also wie habe ich Incident-Handlingprozesse und einen IT Notfallmanagement?

00:16:20: – aber dass Ganze auch auf Basis von vorhandenen Wegrups und Datensicherungen, auf die ich zurückgreifen kann wenn dann zum Beispiel Verschlüsselungsangriff erfolgt ist?

00:16:31: Also das sind jetzt hier verschiedene Themen aus der technisch-organisatorischen Umsetzung und auf der anderen Seite steht die Compliance, die das Ganze inhaltlich verlangt.

00:16:39: Und die dann auch dazu verlangst, das ganze zu dokumentieren oder auch regelmäßig wirksam zu steuern und überwachen.

00:16:49: Am besten integriert man das an einem übergreifenden Risikomanagementsystem in Kombination mit dem wirksamen Kontrollsystem, das alle relevanten Risikausnahmen durchgängig im Blick behält.

00:17:01: Jetzt wollen wir ja alle einen Ernstfall oder Notfall möglichst vermeiden.

00:17:04: Also wie können sich Unternehmen konkret darauf vorbereiten und wo scheitert es dann vor allem in der Praxis am häufigsten?

00:17:10: Vielleicht könnt ihr da noch mal drauf eingehen.

00:17:12: Gerne, das Notfallmanagement zieht darauf ab bei Cybervorfällen den Notbetrieb aufrecht zu erhalten so schnell wie möglich zum normalen Betrieb wieder zurückzukehren.

00:17:21: Das gilt natürlich auch für andere IT-Notwelle wie

00:17:24: z.B.,

00:17:25: wenn im rechten Zentrum die Internetneidung gekappt ist.

00:17:28: Dies erfordert all die Identifizierung kritischer Prozesse und alte Infrastrukturen sowie regelmäßige geschützte wie der Herr Spellbarger Backups, wie Nils es eben angesprochen hat sowie die Abstimmung von Geschäftsprozessen und Partnern.

00:17:40: Da er es in regelmäßige Tests von Angstszenarien unerlässlich und übrigens vorgeschrieben.

00:17:45: Im Ernstfall ist schnelle Reaktion entscheidend, Unternehmen sollen ein CSAT oder sieben auf vierundzwanzig Socken nutzen – was wir zum Beispiel selber an Hamburg haben – oder eine vertragliche Unterstützung durch Experten wie das DIRT, Deutsches Incident Response Team sicher um sofort handeln zu können um Zeitverluste zu vermeiden.

00:18:05: Rollen und Verantwortlichkeiten und Abläufe müssen vorher klar definiert

00:18:09: sein.".

00:18:10: Ich gehe nochmal auf den zweiten Teil der Frage ein.

00:18:12: Und wo scheitert es in der Praxis am häufigsten?

00:18:15: Das ist der fehlende rote Faden, wie zum Beispiel die ESO-Youtube-Sieben-Zwanzig-Null-Eins oder der BSI-Kunstschutz.

00:18:22: Wenn man jetzt nicht zwei oder auch die anderen Gesetze nimmt, die sind ja einfach vorgeschrieben und es gibt viele andere Standards, worum sich dann leicht den Überblick nicht mehr so behalten kann.

00:18:33: Deswegen sind gerade so Normen sehr guter Leitfaden, an dem man sich dann auch genau orientieren kann.

00:18:43: Und jetzt zum ersten Teil der Frage – wie können sich die Unternehmen auf den Ernstfall und Notfall vorbereiten?

00:18:48: Alles was zu einem effektiven Business-Continuity Management erworderlich ist gemäß EESO-Siebenfanzig….

00:18:54: ne, Zweiundzwanzig drei Null Eins und Notfallszenarien durchdenken!

00:18:59: Notfalltests durchführen, wo notwendig mit Geschäftspartnern abstimmen etc.

00:19:04: Dann gibt es wieder Anlaufpläne.

00:19:06: die werden erstellt und durchgetestet.

00:19:09: Dieser folgt am besten über ein IT-SCM also gemäß dem ITIL-Standard oder ISO XXX, über welches eine optimale Kommunikation zwischen Unternehmen und Geschäftspartnern bzw.

00:19:21: Lieferanten sichergestellt wird.

00:19:23: Gibt es neben den zwei noch weitere Regulatoriken, mit denen ihr euch beschäftigt?

00:19:29: Das sind insbesondere die Anforderungen aus Secretis und der DORA.

00:19:34: Die DORA setzt noch mal einen oben drauf.

00:19:36: zunächst zwei, insbesondere im Umfeld der Finanzdienstleister.

00:19:41: Und das ist die europäische Regelung der Nachfolger von der deutschen Rechtsprechung BAIT und VAIT für Banken und Versicherung und den vielen unserer Kunden unterliegen.

00:19:51: Da die Besonderheiten, es sind noch detaillierte und umfangreichere Anforderungen, Dora hat schärfere Anfordern beispielsweise an wöchentliche Schwachstellenscans.

00:20:01: Und auch an interne Audits beispielsweise durch die Revision realmäßige börtliche Prüfung, die auch beim nachgelagerten IT-Dienstleister stattfinden sollten.

00:20:11: Außerdem verlangt die Dora neben den üblichen Vorfallsmeldepflichten auch das proaktive Informieren und Austauschen über potenzielle Cyberbedrohungen.

00:20:20: Für ein hohes Niveau der Informationssicherheit und Resilienz ist es notwendig, die Bedrohungslage und IT-Risiken durchgängig proaktiv zu beobachten.

00:20:30: Zu identifizieren und mit geeigneten Maßnahmen entgegenzuwirken.

00:20:34: Wenn jetzt Unternehmen sowohl DORA als auch NIST II unterliegen?

00:20:38: Was ist die regulatorische Anforderung, die das andere übersticht?

00:20:43: Gute Frage!

00:20:45: Eigentlich beides.

00:20:46: Die NISTII betrifft ja alle Unternehmen, die den Anforderungen dementsprechend die Verossetzung unterliegen und sie hat ein gewisses Niveau erreicht.

00:20:56: Und die DORA setzt noch mal oben einen drauf weil es ja Finanzdienstleister sind wo es dann wirklich um sehr hohe Werte geht dass die das nochmal verschärft und verfeinert.

00:21:07: man kann's obwohl zwei unabhängige Gesetze sind als die DORA als Ergänzung zur NIS-II speziell für den Finanzdiensteisterbereich vorverstehen.

00:21:17: Und dazu kommt noch, es gibt Finanzbankengruppen.

00:21:21: Die haben sogar ihre eigenen Sicherheitsrichtlinien die sie seit acht Jahren dann auch vorlegen sich daran halten und auch in die Dauer angepasst habe.

00:21:30: Auch die müssen wir mit einem roten Faden In meinem Fall mache ich das immer mit der ISO-Sieben-Zwanzig Null Eins damit wir überhaupt ein Mapping haben was welche Anforderungen damit genau gemeint sind.

00:21:41: Manche sind nicht eindeutig und wenn man einen Mapping zu ISO-Seven-Zwarzig Null Eins hat Dann trifft man die Nagel auf den Kopf und kann diese Anforderung auch so umsetzen, wie es gewünscht wird.

00:21:51: Okay ihr beiden!

00:21:52: Dann würde ich sagen vielen vielen lieben Dank dass ihr die beiden Themen bzw das hier NIST zwei und jetzt auch Dora so eindrücklich für uns aufgeschlüsselt habt.

00:22:00: Ich glaube das war jetzt mehr wert für jeden Zuhörer jede Zuhöhrerin.

00:22:04: Danke dass ihr da wart und wir sagen bis zum nächsten Mal

00:22:07: Tschüss Danke dass wir dabei sein durften.

00:22:09: Vielen Dank Ciao.

00:22:10: Gerne danke

00:22:12: Tschüss.

00:22:15: Ja, heute sind wir richtig tief in das Zwei reingegangen.

00:22:18: Fürs nächste Mal haben wir Olaf Köster eingeladen um das Thema Informations-Sicherheit im Generell noch mal zu bespielen.

00:22:24: Deshalb würde ich sagen ihr schaltet in zwei Wochen auf jeden Fall wieder ein und ansonsten freuen wir uns natürlich wenn Ihr uns einen Abo da lasst!

00:22:30: Ihr findet uns auf allen gängigen Podcast-Playern... Und dann bis bald, bis zum nächsten Mal, tschüss Frohnie!

00:22:35: Bis

00:22:35: dann, midi ciao.