NIS2 Risikobewertung für KRITIS: 7 Steps zur NIS2-konformen Risikobewertung

Stellen Sie sich vor, in Ihrer Stadt fällt für 24 Stunden der Strom aus. Keine Lichter, kein Internet, keine Heizung. Krankenhäuser schalten auf Notstrom, aber die Wasserversorgung kämpft. Das ist kein Szenario aus einem Katastrophenfilm, sondern die reale Konsequenz, wenn eine kritische Infrastruktur (KRITIS) ausfällt. Und genau hier setzt die NIS2-Richtlinie an.

Für Betreiber von KRITIS geht es bei NIS2 nicht nur um das Abhaken einer weiteren gesetzlichen Anforderung. Es geht um eine doppelte Verantwortung: die gesetzliche Pflicht, die eigene Organisation zu schützen, und die gesellschaftliche Pflicht, lebenswichtige Dienste am Laufen zu halten. Die Geschäftsleitung haftet dabei persönlich. Die Frage ist also nicht ob, sondern wie Sie diese Verantwortung in einen umsetzbaren Plan verwandeln. Der Kern dieses Plans? Eine durchdachte und spezifische Risikobewertung.

Dieser Leitfaden übersetzt die oft abstrakten Vorgaben in die Praxis. Wir zeigen Ihnen, wie Sie eine NIS2-konforme Risikobewertung speziell für die komplexen Anforderungen von KRITIS durchführen – und dabei die typischen Fallstricke vermeiden.

Fundament: NIS2 & KRITIS-Betroffenheit verstehen

Bevor wir in die Tiefe der Risikobewertung eintauchen, müssen wir das Spielfeld klären. Viele Unternehmen sind unsicher, ob sie überhaupt betroffen sind. Die Logik von NIS2 ist dabei recht klar.

• Was ist NIS2? Die "Network and Information Security 2"-Richtlinie ist eine EU-weite Gesetzgebung zur Stärkung der Cybersicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert deren Anwendungsbereich erheblich. Ihr Ziel ist es, die Resilienz kritischer Sektoren gegenüber Cyberbedrohungen zu erhöhen.
• Was bedeutet KRITIS? KRITIS steht für "Kritische Infrastrukturen". Das sind Organisationen und Einrichtungen von wesentlicher Bedeutung für das Gemeinwesen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen für die öffentliche Sicherheit führen würde.
• "Wesentlich" oder "wichtig"? NIS2 unterscheidet zwischen zwei Kategorien von betroffenen Einrichtungen. Wesentliche Einrichtungen (z.B. große Energieversorger, zentrale Krankenhäuser) unterliegen strengeren Aufsichts- und Sanktionsmaßnahmen als wichtige Einrichtungen (z.B. Postdienste, Hersteller medizinischer Geräte). Die Risikomanagement-Pflichten sind jedoch für beide nahezu identisch.

Die entscheidende erste Frage lautet also: Fällt Ihr Unternehmen unter die NIS2-Richtlinie? Die Kriterien umfassen den Sektor, die Unternehmensgröße und den Umsatz.

Sobald die Betroffenheit klar ist, wird die Risikobewertung zur zentralen Aufgabe, um die konkreten NIS2-Anforderungen zu erfüllen.

Aufbau: Der 7-Schritte-Prozess zur NIS2-konformen Risikobewertung

Eine NIS2-konforme Risikobewertung ist kein einmaliges Projekt, sondern ein kontinuierlicher Zyklus. Sie können diesen Prozess jedoch in sieben überschaubare Schritte unterteilen, die Ihnen als Fahrplan dienen.

Schritt 1: Anwendungsbereich festlegen

‍

Definieren Sie klar, welche Teile Ihres Unternehmens betrachtet werden. Bei KRITIS reicht es nicht, nur die Büro-IT zu betrachten. Sie müssen zwingend die Operational Technology (OT) – also industrielle Steuerungssysteme (SPS), Sensoren und Aktoren – sowie alle relevanten physischen Prozesse und Standorte einbeziehen.

Schritt 2: Schutzbedarfsfeststellung

‍

Was ist bei Ihnen wirklich kritisch? Identifizieren Sie die "Kronjuwelen" – jene Systeme, Prozesse und Daten, deren Ausfall den größten Schaden für die Gesellschaft und Ihr Unternehmen verursachen würde. Klassifizieren Sie diese nach Vertraulichkeit, Integrität und Verfügbarkeit.

Schritt 3: Bedrohungen modellieren

‍

Denken Sie wie ein Angreifer. Welche Bedrohungen sind für Ihren Sektor relevant? Das können technische Angriffe (Ransomware, DDoS), menschliches Versagen (Fehlkonfiguration), organisatorische Mängel (fehlende Prozesse) oder höhere Gewalt (Naturkatastrophen) sein.

Schritt 4: Schwachstellen identifizieren

‍

Wo ist Ihr Unternehmen verwundbar? Analysieren Sie Ihre Systeme, Prozesse und auch Ihre Mitarbeiter auf potenzielle Schwachstellen. Das kann eine veraltete Software, ein ungesichertes Netzwerksegment in der Produktionshalle oder mangelndes Sicherheitsbewusstsein im Team sein.

Schritt 5: Risiken bewerten

‍

Hier bringen Sie alles zusammen. Bewerten Sie jedes identifizierte Risiko anhand seiner Eintrittswahrscheinlichkeit und der potenziellen Auswirkung (Schadenshöhe). Die Auswirkung muss bei KRITIS immer auch den gesellschaftlichen Schaden berücksichtigen. Das Ergebnis ist eine priorisierte Liste Ihrer größten Risiken.

Schritt 6: Risiken behandeln

‍

Entscheiden Sie für jedes Risiko, wie Sie damit umgehen:

•  Vermeiden: Die risikobehaftete Aktivität einstellen.
•  Mindern: Sicherheitsmaßnahmen implementieren, um Wahrscheinlichkeit oder Auswirkung zu reduzieren (z.B. Firewalls, Schulungen). Dies ist der häufigste Weg.
•  Übertragen: Das Risiko an Dritte auslagern (z.B. durch eine Cyber-Versicherung).
•  Akzeptieren: Das Risiko bewusst in Kauf nehmen, wenn die Kosten der Maßnahme den potenziellen Schaden übersteigen.

Schritt 7: Überwachen und berichten

‍

Risikomanagement ist keine Einbahnstraße. Die Bedrohungslandschaft ändert sich ständig. Überwachen Sie Ihre Risiken und die Wirksamkeit Ihrer Maßnahmen kontinuierlich. Ein effizientes Risikomanagement-System ist hier entscheidend, um den Überblick zu behalten und der Geschäftsleitung sowie den Behörden regelmäßig zu berichten.

Die KRITIS-spezifischen Herausforderungen meistern

Eine generische IT-Risikoanalyse greift bei KRITIS zu kurz. Drei Bereiche erfordern besondere Aufmerksamkeit, um wirklich NIS2-konform zu sein. Stellen Sie sich Ihre Organisation wie eine Festung vor: Es reicht nicht, nur die Mauern (IT) zu sichern. Sie müssen auch die Lieferwege (Lieferkette) und das Herz der Burg (OT) schützen.

‍

Deep Dive 1: Das Lieferantenrisiko – Die unsichtbare Front

‍

NIS2 macht unmissverständlich klar: Sie sind für die Sicherheit Ihrer gesamten Lieferkette verantwortlich. Ein Angriff auf einen kleinen, ungesicherten Dienstleister kann Ihre gesamte Infrastruktur lahmlegen.

•  Herausforderung: Viele Lieferanten sind selbst nicht NIS2-pflichtig, stellen aber ein kritisches Glied in Ihrer Kette dar.
•  Lösungsansatz:
•  Inventarisierung: Erfassen Sie alle kritischen Lieferanten und Dienstleister.
•  Bewertung: Führen Sie eine Risikobewertung für jeden Lieferanten durch. Nutzen Sie standardisierte Fragebögen zur Selbstauskunft.
•  Vertragliche Absicherung: Integrieren Sie konkrete Sicherheitsanforderungen und Audit-Rechte in Ihre Verträge.
•  Überwachung: Prüfen Sie die Einhaltung regelmäßig.

‍

Deep Dive 2: IT vs. OT – Zwei Welten, ein Sicherheitskonzept

‍

Die IT (Information Technology) und die OT (Operational Technology) sprechen unterschiedliche Sprachen und haben unterschiedliche Prioritäten. In der IT ist Vertraulichkeit oft König, in der OT ist es die Verfügbarkeit. Ein Neustart eines Servers ist ärgerlich; der Neustart einer Turbinensteuerung kann katastrophal sein.

‍

Herausforderung:‍

OT-Systeme sind oft alt, haben lange Lebenszyklen und wurden nicht für die Vernetzung mit dem Internet konzipiert. Sicherheitsupdates sind selten oder unmöglich.

‍Lösungsansatz:

• Netzwerksegmentierung: Trennen Sie Ihre IT- und OT-Netzwerke strikt voneinander. Jeder Übergang muss streng kontrolliert werden.
• Angepasste Überwachung: Nutzen Sie Monitoring-Tools, die die speziellen Protokolle der OT-Welt verstehen (z.B. Modbus, Profinet).
• Spezifische Notfallpläne: Entwickeln Sie Notfallpläne, die auf den Ausfall von Steuerungssystemen ausgelegt sind.

‍

Deep Dive 3: Der Fokus auf gesellschaftliche Auswirkungen

‍

Das ist der größte "Aha-Moment" für viele, die von der klassischen IT-Sicherheit kommen. Bei einer NIS2-Risikobewertung für KRITIS fragen Sie nicht nur: "Welchen finanziellen Schaden verursacht ein Ausfall?" Sie müssen fragen: "Welche Auswirkungen hat ein Ausfall auf die Bevölkerung und andere kritische Sektoren?"

•  Herausforderung: Die Bewertung gesellschaftlicher Auswirkungen ist nicht leicht in Euro zu beziffern.
•  Lösungsansatz:
•  Szenario-Analyse: Spielen Sie konkrete Ausfallszenarien durch. "Was passiert, wenn unsere Wasseraufbereitung für 12 Stunden ausfällt?" Betrachten Sie die Kaskadeneffekte auf Krankenhäuser, Feuerwehr und die Lebensmittelversorgung.
•  Priorisierung anpassen: Ein Risiko mit geringem finanziellem, aber hohem gesellschaftlichem Schaden muss in Ihrer Prioritätenliste ganz nach oben rücken.

‍

FAQ - Ihre wichtigsten Fragen zur NIS2-Risikobewertung

‍

Was ist der Hauptunterschied zwischen NIS1 und NIS2?

NIS2 erweitert den Anwendungsbereich drastisch auf mehr Sektoren, verschärft die Sanktionen erheblich und führt eine persönliche Haftung für die Geschäftsleitung ein. Die Anforderungen an das Risikomanagement sind konkreter und die Sicherheit der Lieferkette wird explizit gefordert.

‍

Was bedeutet "Verhältnismäßigkeit" bei den Maßnahmen?

Sie müssen nicht jede erdenkliche Sicherheitsmaßnahme umsetzen. Die Maßnahmen müssen in einem angemessenen Verhältnis zum bewerteten Risiko, zur Unternehmensgröße und zu den potenziellen Auswirkungen eines Vorfalls stehen. Ein lokaler Wasserversorger hat andere Anforderungen als ein nationaler Übertragungsnetzbetreiber.

‍

Welche Methoden kann ich für die Risikobewertung nutzen?

Sie müssen das Rad nicht neu erfinden. Etablierte Standards wie der BSI IT-Grundschutz (insbesondere BSI 200-3) oder die ISO/IEC 27005 bieten bewährte Rahmenwerke, die Sie als Grundlage für Ihren NIS2-Prozess adaptieren können.

‍

Bin ich als Geschäftsführer persönlich haftbar?

Ja. NIS2 sieht vor, dass die Geschäftsleitung die Risikomanagementmaßnahmen nicht nur billigen, sondern auch deren Umsetzung überwachen muss. Bei grober Fahrlässigkeit können Geschäftsführer persönlich haftbar gemacht und sogar temporär von ihren Aufgaben entbunden werden.

‍

Ihr Weg zur resilienten Infrastruktur

‍

Die NIS2-Risikobewertung für KRITIS-Betreiber ist mehr als eine bürokratische Hürde – sie ist eine strategische Notwendigkeit zur Sicherung unserer Lebensgrundlagen. Der Weg dorthin mag komplex erscheinen, aber mit einem strukturierten Vorgehen ist er absolut machbar.

Beginnen Sie damit, die spezifischen Herausforderungen Ihres Sektors – insbesondere in der Lieferkette und bei der OT-Sicherheit – zu verstehen. Nutzen Sie den hier skizzierten 7-Schritte-Prozess als Ihren Kompass. Denken Sie immer daran, dass der entscheidende Maßstab der potenziellen gesellschaftlichen Auswirkung ist.

Diese Aufgabe müssen Sie nicht allein bewältigen. Moderne Werkzeuge können den Prozess der Risikobewertung, Maßnahmenverfolgung und Berichterstattung erheblich vereinfachen. Erfahren Sie, wie eine automatisierte Compliance-Plattform wie das Digital Compliance Office von SECJUR Ihnen helfen kann, Ihr Risikomanagement effizient aufzubauen und Ihre Organisation resilienter zu machen.

‍