Sind Sie ein Internetdienstanbieter (ISP)? Dann fallen Sie als kritisches Unternehmen unter die NIS2-Richtlinie.

Formelle Sicherheitsrichtlinien, Risikoanalyse der Netzwerkinfrastruktur und der IT-Systeme, ein der Aufsichtsbehörde zugängliches Verzeichnis der Cyberrisiken. Das Risikomanagement muss ein kontinuierlicher Prozess sein und darf keine einmalige Maßnahme darstellen.

Verfahren zur Reaktion auf Vorfälle mit vorgeschriebenen Fristen: Erstmeldung von Vorfällen an das CSIRT innerhalb von 24 Stunden, detaillierter Bericht innerhalb von 72 Stunden. Ohne ein rund um die Uhr besetztes SOC ist die Einhaltung dieser Fristen aus operativer Sicht nicht möglich.

Ein Plan zur Aufrechterhaltung des Betriebs, der Szenarien für Ausfälle der ISP-Infrastruktur umfasst, sowie ein regelmäßig getesteter Notfallwiederherstellungsplan. Das Krisenmanagement muss dokumentiert und geübt werden und darf nicht nur auf dem Papier stehen.

Die Netzwerksicherheitsarchitektur umfasst Segmentierung, Firewalls, Verkehrsüberwachung, DDoS-Schutz sowie Systeme zur Erkennung von Eindringlingen (IDS/IPS). Die Sicherheit der für die Infrastrukturverwaltung genutzten Informationssysteme muss dokumentiert werden.

Die Richtlinie zur Zugriffskontrolle auf die Netzwerk- und Infrastrukturmanagementsysteme wird unter Anwendung von MFA, dem Prinzip der geringsten Berechtigungen und einer lückenlosen Protokollierung umgesetzt. Jeder administrative Zugriff muss mindestens 12 Monate lang protokolliert werden.

Überprüfung und Dokumentation der Sicherheitsstandards von Geschäftspartnern und Subunternehmern: Anbieter von Hardware, Software und Colocation-Betreibern. DNS-Dienstleister und externe Partner erfordern eine formelle Risikobewertung.

Regelmäßige Schulungen der Mitarbeiter im Bereich Cybersicherheit sowie Schulungen der Führungskräfte zu den aus der NIS2-Richtlinie resultierenden Verantwortlichkeiten. Das Bewusstsein der Mitarbeiter ist eine Voraussetzung für ein wirksames System und eine formale Anforderung der Richtlinie.

Richtlinien zur Verschlüsselung von Daten während der Übertragung und im Ruhezustand in der Infrastruktur des Internetdienstanbieters. Das Informationssicherheitsmanagement umfasst Kundendaten, Protokolldaten, Konfigurationen von Netzwerkgeräten sowie Abrechnungsdaten.

Systematische Sicherheitsüberprüfung von IT-Systemen, Verwaltung der Patches für Netzwerkgeräte, Dokumentation von Sicherheitslücken. Potenzielle Gefahren müssen identifiziert werden, bevor sie zu einer tatsächlichen Bedrohung für das Netzwerk werden.

Ja – die NIS2-Richtlinie (EU 2022/2555) stuft Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste ausdrücklich als kritische Akteure im Bereich der digitalen Infrastruktur ein. Wenn Sie Internetzugang, Sprachdienste oder Datenübertragung für externe Kunden bereitstellen und mehr als 50 Mitarbeiter beschäftigen oder einen Umsatz von mehr als 10 Mio. EUR erzielen, gelten Sie ausnahmslos als kritisches Unternehmen. Kleinere Internetdienstanbieter können auf Beschluss der nationalen Regulierungsbehörde einbezogen werden, sofern sie Dienste von kritischer Bedeutung erbringen. Kontaktieren Sie uns – wir führen eine kostenlose Überprüfung durch.

Schlüsselakteure (zu denen auch Internetdienstanbieter gehören) unterliegen strengeren Aufsichtsvorschriften als wichtige Akteure. Die Unterschiede sind erheblich: höhere Obergrenzen für Geldbußen (10 Mio. € gegenüber 7 Mio. €), eine aktive und proaktive Aufsicht durch die Behörden (nicht nur reaktiv nach einem Vorfall) sowie die Verpflichtung zur Registrierung und regelmäßigen Berichterstattung. Bei Schlüsselakteuren können die Aufsichtsbehörden unangekündigte Kontrollen durchführen, externe Prüfungen verlangen und Anordnungen zur sofortigen Einstellung der Geschäftstätigkeit erlassen. Bei wichtigen Akteuren erfolgt die Aufsicht reaktiv – sie findet hauptsächlich nach einem Vorfall statt.

Das Business-Continuity-Management bei einem Internetdienstanbieter (ISP) ist ein formelles, dokumentiertes System, das sicherstellt, dass der Betreiber in der Lage ist, seine Dienste nach einem Ausfall oder Angriff aufrechtzuerhalten oder schnell wiederherzustellen. NIS2 schreibt konkret Folgendes vor: einen Business-Continuity-Plan (BCP), der die Verfahren zur Aufrechterhaltung der Dienste bei verschiedenen Ausfallszenarien beschreibt, einen Disaster-Recovery-Plan (DRP) mit messbaren RTO- und RPO-Zielen sowie die regelmäßige Überprüfung beider Pläne (mindestens einmal jährlich) sowie die Dokumentation der Testergebnisse. ITH erstellt und testet beide Pläne im Rahmen der NIS2-Implementierung für den ISP.

NIS2 erlegt den Internetdienstanbietern (ISP) als Schlüsselakteuren eine dreistufige Meldepflicht für schwerwiegende Vorfälle auf: (1) Frühwarnung innerhalb von 24 Stunden nach Feststellung – grundlegende Informationen zur Art des Vorfalls, (2) vollständige Meldung des Vorfalls innerhalb von 72 Stunden – detaillierte Bewertung, Ausmaß und potenzielle Auswirkungen, (3) Abschlussbericht innerhalb von 30 Tagen – Beschreibung der ergriffenen Abhilfemaßnahmen und der gezogenen Schlussfolgerungen. CSIRT Polska ist die zentrale Stelle für die Entgegennahme von Meldungen. Unser rund um die Uhr besetztes SOC automatisiert diesen gesamten Prozess – von der Erkennung über die Einstufung bis hin zum Versand des erforderlichen Berichts im Namen Ihres Internetdienstanbieters.

Die Haftung der Führungskräfte ist einer der wichtigsten Bestandteile von NIS2 und ist durchaus konkret. Die Richtlinie verpflichtet die Behörden der Mitgliedstaaten, Mechanismen zur persönlichen Haftung von Personen in Führungspositionen einzuführen. In Polen bedeutet dies die Möglichkeit, eine Geldstrafe in Höhe von bis zu 300 % des Monatsgehalts zu verhängen und in extremen Fällen ein Verbot der Ausübung von Führungsaufgaben zu erlassen. Die Haftung ist aufsichtsrechtlicher Natur – die Geschäftsführung ist für die Einführung und Aufrechterhaltung des Sicherheitssystems verantwortlich, auch wenn sie nicht am täglichen technischen Betrieb beteiligt ist. Daher sind Schulungen für die Führungskräfte ein obligatorischer Bestandteil unserer Umsetzung.

Ja – ITH führt die Umsetzung von NIS2 als externes Expertenteam durch und reduziert so den Aufwand für die interne IT-Abteilung auf ein Minimum. Den gesamten administrativen, dokumentarischen und rechtlichen Aufwand übernehmen wir. Dies umfasst: das Audit, die Erstellung von Richtlinien und Verfahren, Schulungen, die technische Umsetzung der Sicherheitskontrollen sowie die kontinuierliche SOC-Überwachung rund um die Uhr (24/7). Für Internetdienstanbieter ohne eigenes Sicherheitsteam ist dies das effektivste und schnellste Implementierungsmodell.