Asset Management: Mehr Durchblick für die Reise zu NIS2

Wer den Koffer oder Rucksack für den Sommerurlaub packt, sollte darauf achten, nichts Wichtiges zu vergessen. Reisepass? Ist da. Badetasche? Ebenfalls. Taucherbrille? Hm. Irgendwo im Keller muss sie sein. Sie wird sich schon noch rechtzeitig auffinden lassen. Ganz ähnlich geht es manch einem IT-Team, wenn die Geschäftsleitung fordert, den IT-Bestand zu inventarisieren.

Natürlich hat das IT-Team die Windows-Server und -Clients längst im Griff, ebenso die Netzwerkgeräte und Softwarelizenzen. Aber wenn es um iPhones und Android-Geräte geht, wird die Luft oft schon dünner.
 
Gleiches gilt für den einen Linux-Server, auf dem die Verwaltungssoftware für die Überwachungskameras läuft. Und angeblich setzen die Kolleginnen und Kollegen drüben in der Produktionshalle völlig veraltete Windows-Systeme als Steuerungsrechner ein. Aber industrielle Betriebstechnik (Operational Technology, OT) ist aus Sicht der IT-Administration eben eine ganz andere Welt, abgelegener als Sri Lanka oder die Malediven.

Ein derart bruchstückhaftes Bild der IT- und OT-Assets kann sich für Unternehmen bald als ebenso problematisch erweisen wie für Flugreisende ein Handgepäck mit zwei Kilo Übergewicht. Denn im Oktober soll – genauer: muss NIS2 – das deutsche Umsetzungsgesetz für die erweiterte EU-Richtlinie für Netz- und Informationssicherheit fertiggestellt sein, und ab diesem Stichtag gilt das Gesetz dann auch.
 
Der Hintergrund: Seit Jahren eskaliert die Bedrohungslage. Deshalb legt NIS2 nun strengere Maßstäbe an die Cybersicherheit an. Speziell in Deutschland dehnt die Richtlinie zugleich den Einzugsbereich von KRITIS-Betreibern auf Unternehmen in wesentlichen oder zumindest wichtigen Branchen mit mindestens 250 bzw. 50 Beschäftigten oder mindestens 50 bzw. 10 Mio. Euro Jahresumsatz aus. Das Feld der Branchen, die NIS2 aufführt, reicht von der Abfallwirtschaft über die chemische Industrie bis zu den Anbietern digitaler Dienste.
 
Auf einen Satz gebracht: NIS2 fordert von betroffenen Organisationen ein Cyberrisikomanagement. Viele übersehen dabei, dass dies auch die Absicherung der Lieferketten umfasst. Unternehmen mit NIS2-relevanten Organisationen unter ihrer Kundschaft werden also ebenfalls nachweisen müssen, NIS2-konform zu agieren. Dadurch betrifft NIS2 auch zahlreiche Firmen außerhalb der Branchen, die die Richtlinie namentlich aufführt.