Artikel 21 ist der Artikel der Richtlinie (EU) 2022/2555, der sagt, was eine wesentliche oder wichtige Einrichtung zu tun hat, und er tut es in einer Liste. Absatz 1 setzt den Maßstab: „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen, auf einem Niveau, das den bestehenden Risiken angemessen ist, unter Berücksichtigung des Stands der Technik, gegebenenfalls einschlägiger europäischer und internationaler Normen sowie der Umsetzungskosten, wobei die Verhältnismäßigkeit nach Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere beurteilt wird. Absatz 2 sagt dann, die Maßnahmen müssten auf einem gefahrenübergreifenden Ansatz beruhen und „zumindest Folgendes“ umfassen, zehn Dinge. Dieser Artikel ist diese zehn als Checkliste, mit den zwei Dokumenten, die jedem seine Einzelheiten geben.

Woher die Einzelheiten kommen

Für die digitalen Anbieter, Cloud-, Rechenzentrums-, CDN-, Managed-Service-, Managed-Security-Service-, Marktplatz-, Suchmaschinen-, Social-Networking-, DNS-, TLD- und Vertrauensdienste, sind die Einzelheiten nicht national. Artikel 21(5) trug der Kommission auf, „die technischen und methodischen Anforderungen“ der zehn Maßnahmen für sie bis zum 17. Oktober 2024 zu erlassen, und die Durchführungsverordnung (EU) 2024/2690 tat es, in einem Anhang mit 13 Abschnitten, jeder überschrieben mit dem Buchstaben des Artikels 21(2), den er umsetzt. Erwägungsgrund 3 der Verordnung sagt, die Abschnitte beruhten auf europäischen und internationalen Normen wie ISO/IEC 27001, ISO/IEC 27002 und ETSI EN 319401. Für jede andere Einrichtung trägt der Rechtsakt des Mitgliedstaats die Einzelheiten, und die meisten Staaten haben ihn aus denselben Normen geschrieben.

Die Checkliste hat also neben dem Buchstaben drei Spalten: die eigenen Worte der Richtlinie, die Abschnitte der Verordnung, die ihn ausführen, und die ISO-27001-Kapitel und Anhang-A-Maßnahmen, die die Nachweise hervorbringen. Die Zuordnung ist unsere, nicht die der ENISA, und die Zuordnungsseite führt sie Abschnitt für Abschnitt mit dem, was jeder Abschnitt verlangt.

Die zehn Buchstaben

Buchstabe Die Maßnahme, wie Artikel 21(2) sie formuliert Abschnitte der Verordnung ISO 27001
(a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme 1, 2 5.1, 5.2, 6.1.2, 6.1.3, 8.2, 8.3, A.5.1, A.5.2, A.5.4, A.5.7, A.5.35, A.5.36
(b) Bewältigung von Sicherheitsvorfällen 3 A.5.5, A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8, A.8.17
(c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement 4 A.5.29, A.5.30, A.8.13, A.8.14
(d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern 5 A.5.19, A.5.20, A.5.21, A.5.22, A.5.23
(e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen 6 A.8.8, A.8.20, A.8.21, A.8.22, A.8.25, A.8.26, A.8.27, A.8.28, A.8.29, A.8.31, A.8.32
(f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit 7 9.1, 9.2, 9.3, 10.1, 10.2
(g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit 8 7.2, 7.3, A.6.3, A.8.7, A.8.19
(h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung 9 A.5.33, A.8.24
(i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen 10 A.5.3, A.6.1, A.6.2, A.6.4, A.6.5, A.6.6
(j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung 11, 12, 13 A.5.9, A.5.10, A.5.11, A.5.12, A.5.13, A.5.14, A.5.15, A.5.16, A.5.17, A.5.18, A.7.1, A.7.2, A.7.3, A.7.4, A.7.5, A.7.8, A.7.10, A.7.11, A.7.12, A.7.14, A.8.2, A.8.3, A.8.5, A.8.10, A.8.18

Die Abschnitte 11 bis 13 der Verordnung nennen in ihren Überschriften Buchstabe (j), obwohl Buchstabe (i) derjenige ist, der Zugriffskontrolle und Anlagenmanagement nennt; die Tabelle gibt den Anhang wieder, wie er veröffentlicht ist.

Die zwei Stellen, an denen ein ISMS aufhört

Acht der zehn Buchstaben bringt ein konformes ISO-27001-Managementsystem vollständig hervor, und die Tabelle zeigt, welches Kapitel oder welche Maßnahme jeden hervorbringt. Zwei nicht.

Buchstabe (b), Bewältigung von Sicherheitsvorfällen, wird vom ISO-27001-Vorfallsprozess für alles erfüllt außer der gesetzlichen Uhr: Artikel 23 der Richtlinie verlangt eine Frühwarnung, eine Meldung und einen Abschlussbericht zu festen Fristen, an ein CSIRT oder eine zuständige Behörde, und einen Erheblichkeitstest, und für die digitalen Anbieter machen die Artikel 3 bis 14 der Verordnung diesen Test mechanisch. Ein ISMS hat ein Vorfallsregister; es hat keine Regel, dass ein mehr als eine halbe Stunde nicht verfügbarer Cloud-Dienst ein meldepflichtiger Vorfall ist, und keinen Melder mit EU-Login. Die Uhren und die Schwellenwerte sind ein eigener Artikel.

Buchstabe (g), Cyberhygiene und Schulung, wird für die Beschäftigten erfüllt und für die Leitung verfehlt. Artikel 20(2) verlangt, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen selbst Schulungen absolvieren, und Artikel 20(1) lässt diese Organe die Maßnahmen billigen, ihre Umsetzung überwachen und für Verstöße haften. ISO 27001 verlangt Führungsengagement und Kompetenz; sie setzt die Geschäftsleitung nicht in das Schulungsregister und knüpft keine Haftung an ihre Unterschrift. Der Nachweis, den eine Aufsicht hier verlangt, ist eine Schulungsaufzeichnung mit den Namen der Leitung und ein Protokoll der Billigung.

Wie die Tabelle zu verwenden ist

Bei jedem Buchstaben ist die Frage nicht, ob ein Konzept existiert, sondern ob die Aufzeichnungen, die die rechte Spalte nennt, existieren und aktuell sind: die Risikobeurteilung, der Behandlungsplan und die Erklärung zur Anwendbarkeit für (a); das Vorfallsregister, der Kontakt zur Behörde und die synchronisierten Uhren für (b); der getestete Kontinuitätsplan und die Sicherungen für (c); das Lieferantenregister mit den Sicherheitsklauseln und den Überprüfungen für (d); das Verfahren für sichere Entwicklung und der Prozess für Umgang mit und Offenlegung von Schwachstellen für (e); das interne Audit, die Managementbewertung und die Messungen für (f); die Schulungsaufzeichnungen und die Hygiene-Grundlinie für (g); das Kryptografiekonzept und das Schlüsselmanagement für (h); die Überprüfung, der Eintritts-, Wechsel- und Austrittsprozess und das Anlageninventar für (i); und das Authentifizierungskonzept, die Zugriffskontrollen und die physischen Kontrollen für (j). Artikel 21(4) ist die Regel für das, was die Tabelle zutage fördert: Eine Einrichtung, die feststellt, dass sie die Maßnahmen nach Absatz 2 nicht einhält, ergreift unverzüglich alle erforderlichen, geeigneten und verhältnismäßigen Abhilfemaßnahmen.

Ob die Richtlinie Sie überhaupt erreicht, und als welche Art Einrichtung, ist die Feststellung des Anwendungsbereichs; welches Staats Rechtsakt die Einzelheiten trägt, wenn Sie kein digitaler Anbieter sind, steht auf der Registerseite. StandardOS führt die Aufzeichnungen der rechten Spalte als lebende Aufzeichnungen, den Abschnitten zugeordnet, sodass die Checkliste eine Sicht auf das System ist und kein Dokument, das daneben zu pflegen wäre.

Quellen

  • Richtlinie (EU) 2022/2555 (NIS2), Artikel 20(1) und (2), Artikel 21(1) bis (5), Artikel 23(4), gelesen auf EUR-Lex in sechs Sprachen.
  • Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgrund 3, Artikel 1, Artikel 3 bis 14, Anhang, Abschnitte 1 bis 13.
  • ISO/IEC 27001:2022, Kapitel 4 bis 10 und Anhang A, für die Verweise in der Tabelle.

Dies ist keine Rechtsberatung, und die Zuordnung zu ISO 27001 ist die Lesart von StandardOS der beiden Texte, an beiden nachprüfbar.