Reicht die ISO/IEC 27001 noch aus?

Neue Zeiten – neue Anforderungen

In der heutigen Zeit stoßen Mindeststandards an ihre Grenzen. Diese Entwicklung ist durch verschiedene Faktoren bedingt: Die Informationstechnologie wird heute dezentral betrieben und ist sehr dynamisch. Sowohl die Geschwindigkeit technologischer Innovationen als auch organisatorische Aspekte wie die Verantwortlichkeit für einen Service oder ein Lieferobjekt spielen eine entscheidende Rolle. Unter dem Druck dieser internen Dynamik gewinnt die Sicherstellung der Lieferketten immer mehr an Bedeutung.

ISO 27001 und NIS2-Compliance

Die ISO 27001-Zertifizierung wird als Referenzpunkt für die NIS2-Compliance hervorgehoben, da sie grundlegende Elemente der NIS2-Compliance abdeckt. Unternehmen, die sich frühzeitig an die NIS2-Anforderungen anpassen, können potenzielle Schäden durch Cyberangriffe minimieren.

Die NIS2-Richtlinie verlangt von Unternehmen unterschiedlicher Größe aus den Sektoren der kritischen Infrastrukturen, Maßnahmen zur Stärkung der Cybersicherheit umzusetzen. Die Anforderungen der NIS2-Compliance sind komplex und beinhalten unter anderem den Schutz kritischer Infrastrukturen, die Zusammenarbeit der EU-Mitgliedstaaten und die Meldung von Sicherheitsvorfällen.
Die ISO 27001 kann Ihrem Unternehmen helfen, den notwendigen Überblick zu erhalten. Eine ISO 27001-Zertifizierung erfüllt bereits einige der neuen Anforderungen in NIS2. NIS2 legt den Rahmen fest, was Ihr Unternehmen tun muss, während ISO 27001 die Tools und Prozesse bereitstellt, um die Anforderungen zu erfüllen.

Es ist jedoch wichtig zu beachten, dass die NIS2-Richtlinie spezifische zusätzliche Anforderungen enthält, die über die ISO 27001 hinausgehen. Daher reicht eine ISO 27001-Zertifizierung allein nicht aus, um eine vollständige Konformität mit NIS2 zu erreichen. Unternehmen sollten die spezifischen Anforderungen der NIS2-Richtlinie sorgfältig prüfen und zusätzliche Maßnahmen ergreifen, um die vollständige Konformität sicherzustellen.

Anforderungen der NIS2-Richtlinie

Jede NIS2-Richtlinie enthält spezifische zusätzliche Anforderungen, die über die ISO 27001 hinausgehen. Daher reicht die ISO 27001-Zertifizierung allein nicht aus, um die volle NIS2-Compliance zu erreichen. Unternehmen sollten die spezifischen Anforderungen der NIS2-Richtlinie sorgfältig prüfen und zusätzliche Maßnahmen ergreifen, um die vollständige Konformität sicherzustellen.

Die NIS2-Richtlinie legt zusätzliche Anforderungen fest, die über die ISO 27001 hinausgehen. Hier sind einige der wichtigen zusätzlichen Maßnahmen, die Unternehmen ergreifen sollten, um die volle NIS2-Compliance zu erreichen:

1. Identifizierung kritischer Dienste: Unternehmen müssen ihre kritischen Dienste identifizieren und bewerten, um sicherzustellen, dass sie angemessen geschützt sind.

2. Incident Response Plan: Ein detaillierter Plan zur Reaktion auf Sicherheitsvorfälle ist erforderlich. Dieser sollte die Meldung von Vorfällen, die Zusammenarbeit mit Behörden und die Wiederherstellung von Diensten abdecken.

3. Sicherheitsvorfälle melden: Unternehmen müssen Sicherheitsvorfälle an die zuständigen nationalen Behörden melden.

4. Zusammenarbeit mit anderen Unternehmen und Behörden: Die NIS2-Richtlinie betont die Zusammenarbeit zwischen Unternehmen und Behörden, um die Cybersicherheit zu stärken.

5. Schutz von Informationsaustausch und Kommunikationssystemen: Unternehmen sollten sicherstellen, dass ihre Kommunikationssysteme und Informationsaustauschmechanismen sicher sind.

6. Sicherheitsbewertung von Anbietern und Lieferanten: Unternehmen sollten die Sicherheitspraktiken ihrer Anbieter und Lieferanten überprüfen und sicherstellen, dass sie den NIS2-Anforderungen entsprechen.

7. Überwachung und Bewertung: Regelmäßige Überwachung und Bewertung der Sicherheitsmaßnahmen sind notwendig, um die Wirksamkeit sicherzustellen.

8. Schulung und Sensibilisierung: Mitarbeiter sollten für Cybersicherheitsrisiken sensibilisiert werden und regelmäßig geschult werden.

9. Technische Sicherheitsmaßnahmen: Unternehmen sollten technische Sicherheitskontrollen implementieren, um Angriffe zu verhindern und zu erkennen.

10. Kontinuitätsmanagement: Ein Business Continuity Management (BCM) sollte eingerichtet werden, um im Falle eines Sicherheitsvorfalls den Geschäftsbetrieb aufrechtzuerhalten.

 Gap Analyse zwischen ISO 27001 und NIS2 

Die Gap-Analyse zwischen ISO 27001 und NIS2 ist ein wichtiger Schritt, um die Unterschiede zwischen den beiden Rahmenwerken zu identifizieren und sicherzustellen, dass Ihr Unternehmen die zusätzlichen Anforderungen der NIS2-Compliance erfüllt. Hier sind einige Ansätze für die Gap-Analyse:

1. Identifizierung der Anforderungen: Vergleichen Sie die Anforderungen der ISO 27001 und der NIS2-Richtlinie. Stellen Sie fest, welche spezifischen Maßnahmen in NIS2 über die ISO 27001 hinausgehen.

2. Kontext und Anwendungsbereich: Berücksichtigen Sie den Kontext und den Anwendungsbereich Ihres Unternehmens. Die NIS2-Richtlinie gilt für Betreiber kritischer Infrastrukturen und digitale Diensteanbieter. Stellen Sie sicher, dass Sie die relevanten Bereiche abdecken.

3. Schwachstellenanalyse: Identifizieren Sie Lücken in Ihrer aktuellen Sicherheitsstruktur im Vergleich zu den NIS2-Anforderungen. Dies kann durch interne Audits, Interviews und Überprüfung von Dokumentationen erfolgen.

4. Priorisierung: Priorisieren Sie die identifizierten Lücken basierend auf ihrer Auswirkung auf die Cybersicherheit und die Geschäftskontinuität.

5. Maßnahmenplan: Erstellen Sie einen Maßnahmenplan, um die identifizierten Lücken zu schließen. Dies kann die Implementierung neuer Sicherheitskontrollen, die Aktualisierung von Richtlinien und Verfahren sowie die Schulung der Mitarbeiter umfassen.

6. Überwachung und Fortschrittsbewertung: Überwachen Sie die Umsetzung der Maßnahmen und bewerten Sie regelmäßig den Fortschritt. Passen Sie den Plan bei Bedarf an.

 Bernhard Gruber

Steht gerne für Fragen und Antworten zur Verfügung.

Eva von Rottkay: … Sie ist bei der Caramba Holding die erste Frau in der Rolle der Vorsitzenden der Geschäftsleitung, was deutliche Spuren hinterlassen hat. Über sie wird gesagt, dass sie eine starke Führungspersönlichkeit ist, der man sehr viel Vertrauen entgegenbringen kann und dass sie eine sehr gute Zuhörerin ist. Sie selbst sagt über sich, dass sie Verschwendung jeglicher Art hasst, gerne den Advocatus Diaboli spielt und ihre Mitarbeiter herausfordert. In ihrer Freizeit reist sie gerne mit ihrem Mann, genießt gutes Essen und vergisst dabei auch den Sport nicht. Herzlich willkommen noch einmal und wenn es okay ist, würden wir jetzt in die Fragen einsteigen. 

Ingrid Lohse: Auf jeden Fall, vielen Dank für die Einladung. Es ist klasse, dass wir über dieses Thema sprechen können. 

Eva von Rottkay: Wie bist du ins Interim Management gekommen? 

Ingrid Lohse: Der Einstieg war geplant. Ich hatte immer vor, mich im letzten Drittel meiner beruflichen Karriere selbstständig zu machen. Ich habe mich vorher über Interim Management informiert und mit mehreren Personen gesprochen. Jeder bestätigte mir, dass meine Erfahrungen im Mittelstand und in Konzernen und in verschiedenen Rollen national wie international mich dafür prädestinieren. Es ist für mich normal, Strategien zu entwickeln, aber ich kreiere nicht nur PowerPoints und Ideen, sondern setze diese auch um. Das macht den Interim Manager aus, und daher war es ein gutes Match. 

Eva von Rottkay: Arbeitest du denn anders als Männer im gleichen Feld? Oder siehst du da keine Unterschiede? 

Ingrid Lohse: Ich bin nicht für Geschlechterklischees, sondern wünsche mir, dass wir die Person sehen und nicht fragen: Frau oder Mann? Und gleichzeitig habe ich oft erlebt, dass sich die Atmosphäre ändert, wenn ich als einzige Frau in ein Team komme. Es wird oft konstruktiver und lösungsorientierter kommuniziert. In einem Mandat, in der ich Geschäftsführerin wurde, nahm mich irgendwann ein Vertriebsdirektor zur Seite und sagte, am Anfang wäre er nicht so überzeugt gewesen, eine Frau als Geschäftsführer zu holen. Aber es sei gut gewesen, da dies die Atmosphäre anders gemacht habe und da sie mich nicht als “Gegner” wahrgenommen hätten. Das zeigt schon, dass Frauen Strukturen anders beeinflussen und zu einer Win-Win-Situation beitragen können. 

Eva von Rottkay: Was tust du denn ganz konkret für Frauen und deren Entwicklung? 

Ingrid Lohse: Für mich geht es um Talentförderung, unabhängig vom Geschlecht. Ich liebe es, junge Menschen zu fördern, und gebe ihnen Verantwortung on the job. Ich hoffe, immer Manager und Auftraggeber zu finden, die bereit sind, jungen Talenten, besonders Frauen, viel Verantwortung zu geben, damit sie sich selbst beweisen können. Und ich stehe allen, die ich bisher unterstützt habe, auch danach weiterhin als Ansprechpartner zur Verfügung. 

Eva von Rottkay: Welche Situation, bei der Du spezifisch in Deiner Rolle als Frau herausgefordert wurdest und sie mit Bravour gelöst hast, ist Dir am stärksten in Erinnerung geblieben? 

Ingrid Lohse: Ich hatte immer Glück mit meinen Chefs und Teams. In meinem ersten Job bei Kimberley Clark Professional wurde mein Chef von einem Wettbewerber gefragt, wie er denn die Stelle mit einer Frau besetzen könne. Er antwortete einfach, dass ich es ihm schon zeigen würde. Wir sind nicht unbedingt die besten Freunde geworden, der Wettbewerber und ich. Aber das ist jetzt auch schon 25 Jahre her. Ich glaube, das gibt es aber auch heute noch immer wieder mit: Bist du sicher, dass eine Frau das schaffen kann? Und das ist so schade, denn man sollte ja den Menschen sehen und seine Fähigkeiten bewerten, statt Vorurteile zu haben. 

Eva von Rottkay: Was würdest du dir denn künftig für weibliche Managerinnen wünschen? 

Ingrid Lohse: Wir sollten uns als erstes von der Frage distanzieren, ob jemand eine Frau oder ein Mann ist, und stattdessen das tatsächliche Talent sehen. Es geht darum, das Talent für das Unternehmen zu nutzen und weiterzubringen. Und wir brauchen mehr Flexibilität in Arbeitsmodellen, um Talente bestmöglich einzusetzen. So bekommen wir mehr Managerinnen in den Pool – denn gerade auf höheren Ebenen ist der aktuell noch zu klein. 

Eva von Rottkay: Vielen Dank für deine Zeit und die interessanten Einblicke. 

Ingrid Lohse: Sehr gerne. 

In welchen Bereichen ist KI anwendbar?

Künstliche Intelligenz bietet zahlreiche Möglichkeiten, unternehmerische Herausforderungen zu bewältigen. Hier sind einige Bereiche, in denen KI förderlich sein kann:

• Effizienzsteigerung und Automatisierung: KI kann Geschäftsprozesse automatisieren und effizienter gestalten. Beispielsweise können lernfähige Roboter repetitive Aufgaben übernehmen und die Produktionsabläufe optimieren.
• Bessere Entscheidungsfindung: KI-Modelle können große Datenmengen analysieren und Muster erkennen, die für Menschen schwer zu identifizieren sind. Dies ermöglicht fundiertere Entscheidungen in Bereichen wie Finanzen, Marketing und Personalmanagement.
• Vorhersage von Wartungsbedarf: Durch Predictive Maintenance kann KI Maschinenausfälle vorhersagen, bevor sie auftreten. Dies reduziert Ausfallzeiten und senkt die Instandhaltungskosten.
• Qualitätskontrolle und Fehlererkennung: KI kann in der Produktion dazu beitragen, Qualitätsmängel frühzeitig zu erkennen und die Produktionsqualität zu verbessern.
• Personalentwicklung und Schulung: KI-basierte Lernsysteme können Mitarbeiter schulen und ihre Fähigkeiten verbessern.
• Kundenservice und Chatbots: KI-gestützte Chatbots können Kundenanfragen effizient bearbeiten und den Kundenservice verbessern.

Wie sollten KI-Projekte angegangen werden?

Die Durchführung von  KI-Projekten erfordert eine strukturierte Herangehensweise. Hier sind einige Schritte, die bei der Umsetzung berücksichtigt werden sollten:

1. Aufbau von KI-Kompetenzen:

• Zunächst sollten innerhalb des Unternehmens KI-Kompetenzen aufgebaut werden. Dies umfasst sowohl technisches Know-how als auch ein Verständnis für die Geschäftsanforderungen.

2.Identifikation von Use Cases:

• Nachdem eine unternehmensinterne Wissensbasis aufgebaut wurde, müssen konkrete Anwendungsfälle für KI identifiziert werden. Welche Probleme oder Herausforderungen sollen durch KI gelöst werden?

3.Datenbedarf klären:

• Die Qualität und Verfügbarkeit von Daten sind entscheidend für den Erfolg von KI-Projekten. Es ist wichtig zu klären, welche Daten benötigt werden und wie sie beschafft werden können.

Bei der Implementierung von KI sind drei Faktoren zu berücksichtigen: Menschen, Organisation und technische Systeme müssen in Einklang gebracht werden.

Interim Manager für die Umsetzung von KI-Strategien

Know-how und Erfahrung sind auch bei KI-Projekten von großer Bedeutung. KI-Projekte sind nicht nur technisch, sondern vor allem auch Geschäftsprojekte. Es geht um die Entwicklung neuer Geschäftsmodelle, die Optimierung von Abläufen und nicht zuletzt darum, alle Mitarbeiter und Kunden auf der KI-Reise mitzunehmen.

KI-Projekte erfordern erfahrene Fachleute für eine erfolgreiche Umsetzung. Hier sind einige Gründe, warum erfahrene Profis, wie Interim Manager, für KI-Projekte entscheidend sind:

1.Verständnis der Technologie:

• Erfahrene KI-Experten verstehen die zugrunde liegenden Technologien, Algorithmen und Modelle. Sie können die richtigen Ansätze wählen und die KI-Systeme optimal konfigurieren.

2.Datenmanagement und -verarbeitung:

• KI-Projekte erfordern umfangreiche Daten. Erfahrene Fachleute wissen, wie man Daten sammelt, bereinigt und für das Training von KI-Modellen verwendet.

3.Modellentwicklung und -training:

• Die Entwicklung von KI-Modellen erfordert Fachwissen. Erfahrene Experten können Modelle entwerfen, trainieren und optimieren, um die besten Ergebnisse zu erzielen.

4.Geschäftsverständnis:

• KI-Projekte sollten die Geschäftsziele unterstützen. Erfahrene Fachleute können die Anforderungen des Unternehmens verstehen und die KI-Lösungen entsprechend anpassen.

5.Ethik und Datenschutz:

• KI-Experten müssen ethische Fragen berücksichtigen und sicherstellen, dass Datenschutzrichtlinien eingehalten werden.

Insgesamt sind erfahrene KI-Profis unerlässlich, um die Potenziale von KI voll auszuschöpfen und erfolgreiche Projekte zu realisieren.

 Bernhard Gruber

Steht gerne für Fragen und Antworten zur Verfügung.

Ein Überblick:

1.Die Greenfield Migration repräsentiert eine umfassende Neueinführung, insbesondere wenn im Rahmen der ERP-Einführung neue Prozesse implementiert werden, um bestehende Eigenentwicklungen endgültig obsolet zu machen. Dieser Ansatz ist der Weg nach vorne.

2. Brownfield Migration: Bei dieser Methode werden die Prozesse und Daten des Altsystems grundsätzlich in das neue System übertragen. Wenn die Prozesse gut strukturiert sind und die Stammdaten präzise sind, kann dies eine durchaus erwägenswerte Alternative sein. Es sollte in Betracht gezogen werden, das Altsystem so zu bereinigen, dass ein Brownfield-Ansatz möglich ist.

3. Eine weitere Option ist die Bluefield Migration, die eine Kombination aus Greenfield (Implementierung neuer Prozesse) und Brownfield (Übernahme von Prozessen und Daten) darstellt. Dieser Ansatz wird in der Praxis am häufigsten genutzt.

Welche Betriebsmodelle stehen zur Verfügung?

In den vergangenen Jahren hat sich die SAP-Landschaft aufgrund der Einführung der Cloud und der neuen HANA-Datenbank zunehmend komplex gestaltet. Es stehen verschiedene Betriebsmodelle von SAP zur Auswahl:

SAP Public Cloud (GROW)

SAP Private Cloud (RISE)

Hybrid (Kern-ERP On Premises plus Cloud-Komponenten)

Private-Cloud/ Hosting beim Hyperscaler (ohne RISE/GROW)

On-Premises

Welche Möglichkeiten gibt es?

“GROW with SAP” (Public Cloud) ist ein kommerzielles Angebot, das gezielt für den Mittelstand entwickelt wurde. Dieses Programm ermöglicht es Unternehmen dieser Zielgruppe, in kurzer Zeit die Vorteile eines standardisierten Cloud-ERP-Systems zu nutzen.

“RISE with SAP” (Private Cloud) ist ein umfassendes Angebot von SAP, das sowohl neuen als auch bestehenden Kunden eine einfache und kosteneffiziente Migration in die Cloud ermöglicht. Dabei handelt es sich um einen gemanagten Cloud-Service, der es Unternehmen, die On-Premise-ERP-Software wie SAP ECC und SAP S/4HANA nutzen, ermöglicht, sicher und nahtlos in die Cloud zu wechseln. RISE with SAP ist ein flexibles Paket von SAP-Cloud-Services, das über ein Abonnementlizenzmodell bereitgestellt wird und somit keine Vorabinvestitionskosten erfordert

Die SAP S/4HANA Cloud, Private Edition, ist eine maßgeschneiderte Cloud-ERP-Lösung, die darauf ausgerichtet ist, die Transformation Ihres Unternehmens zu unterstützen. Ihr Fokus liegt darauf vorhandene Investitionen in SAP-ERP zu bewahren und gleichzeitig von erhöhter Flexibilität zu profitieren. Diese Software kann gemäß spezifischen Anforderungen konfiguriert werden, wobei unternehmensspezifische Einstellungen und Anpassungen aus Ihrem SAP-ERP-System beibehalten werden. Zugleich ermöglicht sie den Zugriff auf die neuesten Funktionen, die Unternehmen einen Wettbewerbsvorteil verschaffen können.

Die SAP S/4HANA On-Premise Edition hingegen ist eine interne Plattform, die sich auf eigenen Servern befindet und vom Unternehmen selbst gewartet wird. Jährliche SAP-Upgrades werden veröffentlicht, erfordern jedoch die Umsetzung und Prüfung durch interne Teams. Diese Lösung wurde entwickelt, um ebenfalls die bestehenden SAP-ERP-Investitionen zu schützen.

IT Interim Manager helfen Ihnen, die richtigen Entscheidungen zu treffen

IT Interim Manager haben mehrfach erfolgreich die Implementierung neuer SAP S/4-Systeme geleitet. Sie verfügen über die spezifische Erfahrung in Ihrer Branche, Unternehmensgröße und Situation, um fundierte Entscheidungen zu treffen.

Ein wesentlicher Vorteil besteht in ihrer Unabhängigkeit. Abseits von kommerziellen Eigeninteressen der Hersteller oder IT-Dienstleister bieten IT-Interimmanager Beratung beim geeigneten Migrationspfad. Als Projektleiter arbeiten sie dabei eng mit dem internen Team der Fachbereiche, der IT-Abteilung sowie den IT-Herstellern und Dienstleistern zusammen, um die Umsetzung gemeinsam zu realisieren.

Praxisnahe Erfahrungen aus der SAP S/4 Migration

Aus zahlreichen SAP S/4 Migrationsprojekten haben wir bei Atreus die folgenden zehn Punkte als praktische Erfahrungen identifiziert:

1. Ohne faktenbasierte Roadmap kein S/4 HANA-Projekt starten

2. Komplexe SAP-Systeme: Transparenz bekommen und konsolidieren

3. Change-Management Aufwände im Projekt nicht unterschätzen

4. SAP Signavio kann der Schlüssel für Prozessoptimierungen sein

5. Eigene Stammdatenqualität nicht überschätzen

6. Kostensensible Archivierungsstrategie verfolgen

7.Test-Aufwände nicht unterschätzen

8. Security und Berechtigungen gehören in initialen Projekt-Scope

9. Wissensaufbau zu neueren Technologien wie SAP BTP und SAP-Cloud

10. Kein S/4HANA-Projekt ohne Schulungen und Enablement

 Bernhard Gruber

Steht gerne für Fragen und Antworten zur Verfügung.

Schwacher Absatz von E-Fahrzeugen und Regierungszuschüsse

• Insbesondere der Absatz von E-Fahrzeugen läuft nicht befriedigend an.

• Die Bundesregierung hat mit ihrer abrupten Ansage zur Streichung des E-Zuschusses, quasi über Nacht, einen weiteren Pfeil in Richtung dieser wichtigen Industrie abgeschossen. Auch die Forschungsgelder für Batterien sollen zu 75 % gestrichen werden.

Flottenanbieter und das Problem mit E-Fahrzeugen

• Auch die Flottenanbieter werfen E-Fahrzeuge aus dem Programm. Dies trifft Hersteller ohne Buy-Back-Regelung wie z.B. Tesla. Die Buy-Back-Regelung ermöglicht den Vermietern, Fahrzeuge nach Gebrauch zu vorher festgelegten Konditionen zurück zu verkaufen.
• Ein weiterer Grund für den Abbau der E-Flotten liegt bei den Reparaturkosten. Diese sind im Schnitt 30 bis 35 % über den Preisen für vergleichbare Verbrenner-Modelle. 
• Die Hersteller reagieren mit Rabatten: Ein Model Y kostet plötzlich um 5.000 EUR weniger. Ein ID.4 wird um 7.735 EUR gesenkt. Ein BYD Atto liegt bis zu 7.015 EUR niedriger.

Kosteneffizienz und Gewinnmargen bei E-Auto

• Hersteller wie BMW beklagen insgesamt zu geringe E-Auto-Gewinne. Die Produktionskosten sind zu hoch, die Absätze zu gering.

Personalabbau in der Branche und seine Folgen

• Derweilen geht der Personalabbau weiter: VW hat sich wieder ein Sparprogramm zugelegt. Conti will tausende Stellen in 2024 streichen. Der ZF-Betriebsrat warnt bereits vor einem großen Stellenabbau: 12.000 Arbeitsplätze sind in Gefahr. Die Auftragslage sehe schlecht aus, die E-Komponenten sind teilweise zweistellig negativ.

Lieferkettenprobleme durch politische Unruhen

• Durch die Angriffe der Huthi-Rebellen fehlen Volvo und Tesla Bauteile.

Positive Nachrichten: Neue Entwicklungen und Partnerschaften in der Industrie

• Northvolt wird in Schleswig-Holstein ein Werk bauen.
• Die VW-Tochter PowerCo und ihr Partner Quantum Scape berichten von der erfolgreichen Entwicklung einer Batterie-Zelle vom Typ Feststoff, welche eine hohe Reichweite und geringe Alterung verspricht.

Unser Experte

steht Ihnen gerne Rede und Antwort.

Sind Sie von NIS2 betroffen? 

Die betroffenen Sektoren umfassen unter anderem Energie, Transport, Finanzen, öffentliche Verwaltung, Gesundheit, Raumfahrt, Wasser- und Abwasserversorgung, digitale Infrastruktur, Postdienste, Abfallwirtschaft, Chemie, Forschung, Lebensmittelherstellung, Herstellung von medizinischen Geräten, Computern und Elektronik, Maschinenbau, Kraftfahrzeuge und digitale Dienstleister wie soziale Netzwerke, Suchmaschinen und Online-Marktplätze.

Die NIS2-Richtlinie sieht Geldbußen für Verstöße gegen die Richtlinie vor. Die Höhe der Geldbußen hängt von der Art des Verstoßes und der Größe des betroffenen Unternehmens ab. Für wesentliche Einrichtungen können die Geldbußen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen können die Geldbußen bis zu 7 Millionen Euro oder 1,4% des weltweiten Jahresumsatzes betragen.

Letztendlich soll die NIS2-Richtlinie den Unternehmen einen höheren Schutz bieten. Die Vermeidung von Strafen sollte nicht die alleinige Motivation für die Implementierung von NIS2 sein. Die Vorschrift ist daher keine bloße Formalität, sondern muss auch in der Praxis umgesetzt werden.

So müssen sich Unternehmen und Organisationen unter anderem mit den Themen Cyber-Risikomanagement, Kontrolle und Überwachung sowie mit dem Umgang mit Zwischenfällen und Geschäftskontinuität befassen. 

Was ist für die Umsetzung von NIS2 zu beachten?

1. Bewusstsein schaffen: Stellen Sie sicher, dass alle Mitarbeiter über die NIS2-Richtlinie informiert sind und die Bedeutung der Cybersicherheit verstehen.

2. Risikobewertung durchführen: Identifizieren Sie die kritischen Systeme und Daten, die geschützt werden müssen, und bewerten Sie die Risiken, denen sie ausgesetzt sind.

3. Sicherheitsmaßnahmen implementieren: Implementieren Sie geeignete Sicherheitsmaßnahmen, um die identifizierten Risiken zu minimieren.

4. Incident-Response-Plan erstellen: Erstellen Sie einen Incident-Response-Plan, um sicherzustellen, dass Sie im Falle eines Sicherheitsvorfalls schnell und effektiv reagieren können.

5. Regelmäßige Überprüfung: Überprüfen Sie regelmäßig Ihre Sicherheitsmaßnahmen und Incident-Response-Pläne, um sicherzustellen, dass sie auf dem neuesten Stand sind.

Erfahrene Interim Manager unterstützen bei der Umsetzung von NIS2 

NIS2 muss implementiert werden, das Ziel ist es, den Schutzfaktor vor Cybersecurity-Vorfällen zu erhöhen. Auf die gelebte Praxis kommt es an, so ist die Umsetzung von NIS2 das perfekte Betätigungsfeld für umsetzungsstarke Interim Manager.

Die Umsetzung von NIS2 sollte in einem gut definierten Projekt erfolgen. Greifen Sie auf Umsetzungsexperten zurück, die genügend Erfahrung und Know-how in der praktikablen Umsetzung von NIS2 haben.

Erfahrene Cyber Security Experten analysieren den IST-Stand der Organisation, der Kultur und der technischen Implementierung gründlich, um daraus geeignete Maßnahmen abzuleiten. Im Vergleich zu klassischen Beratungsunternehmen erhalten Sie mit Interim Managern eine noch stärkere Praxisorientierung und vor allem Umsetzungskompetenz.

Bei der Auswahl der externen Experten ist folgendes zu beachten: 

1. Erfahrung: Suchen Sie nach einem Experten, der Erfahrung in der Umsetzung von Cybersicherheitsrichtlinien hat und über ein tiefes Verständnis der NIS2-Richtlinie verfügt. 

2. Branchenkenntnisse: Suchen Sie nach einem Experten, der Erfahrung in Ihrer Branche hat und die spezifischen Anforderungen Ihrer Organisation versteht. 

3. Zertifizierungen: Suchen Sie nach einem Experten, der über relevante Zertifizierungen wie CISSP, CISM oder CISA verfügt. 

4. Referenzen: Fragen Sie nach Referenzen und sprechen Sie mit anderen Kunden des Experten, um sicherzustellen, dass er oder sie in der Lage ist, die Anforderungen Ihrer Organisation zu erfüllen. 

 Bernhard Gruber

Steht gerne für Fragen und Antworten zur Verfügung.