Umsetzung der NIS-2 Richtlinie: Wie erstelle ich die Risikoanalyse?

"Besonders wichtige" und "wichtige" Unternehmen verpflichtet die NIS-2 Richtlinie zur Durchführung einer Risikoanalyse ihrer Geschäftsabläufe. Die Risiken müssen bewertet und geeignete Schutzmaßnahmen ergriffen werden, um diesen Risiken entgegenzuwirken. Die Maßnahmen müssen geeignet, wirksam und verhältnismäßig sein.

Bei der Wahl der Risikoanalysemethodik sind die Einrichtungen frei. Eine Orientierung an bestehenden Standards (z. B.BSI-Standard 200-3) wird jedoch empfohlen.

Bestandteile einer Risikoanalyse im Sinne der NIS-2 Richtlinie sind:

• Identifikation von Bedrohungen und Schwachstellen
• Bewertung der Risiken
• Bewertung der Sicherheitsmaßnahmen
• Dokumentation und Compliance
• Integration in das Sicherheitsmanagement

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine kurze Übersicht mit Schaubild veröffentlicht, die für den Einstieg in die Risikoanalyse hilfreich sein kann.

BSI - #nis2know: NIS-2 Risikoanalyse