NIS2 ist kein Dokumentenprojekt. Es ist ein Betriebsmodell für Cyber-Risiko.
Das aktuelle BSIG verpflichtet betroffene besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen. Geschäftsleitungen müssen die Maßnahmen umsetzen und überwachen.
Microsoft Tenant
7 Findings
Was Oxygenn aus NIS2 operationalisiert
§30 BSIG adressiert unter anderem Risikomanagement, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitsbewertung, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentisierung.
Governance
Rollen, Verantwortlichkeiten, Risikoentscheidungen, Management-Überwachung und Schulungsnachweise.
Technical Controls
Identity, Privileged Access, Geräte, Logging, Backup, Security Configuration und Erkennung.
Evidence & Remediation
Nachweise, Findings, Ausnahmen, Maßnahmen, Owner, Fristen und kontinuierlicher Status.
Der Unterschied zwischen „wir haben eine Policy“ und „wir können es beweisen“
Ein Policy-Dokument kann sagen, dass privilegierter Zugriff regelmäßig geprüft wird. Oxygenn soll zeigen, welche privilegierten Rollen tatsächlich existieren, ob Kontrollen greifen, wann der Status zuletzt geprüft wurde und welche Ausnahme offen ist.
Offizielle Grundlagen
BSIG §30 – Risikomanagementmaßnahmen
BSIG §38 – Geschäftsleitungs-Pflichten
Externe Links dienen als Primärquellen. Oxygenn ist keine Rechtsanwaltskanzlei.