Muss ich meine Cybersicherheitsreife gesetzlich nachweisen?

Unter der EU-NIS2-Richtlinie, bestimmte Organisationen, die als unentbehrlich und wichtig gesetzlich verpflichtet sind, Maßnahmen zum Cybersicherheitsrisikomanagement zu ergreifen. Wesentliche Einrichtungen müssen die Reife der Cybersicherheit nachweisen. Dazu gehören Sektoren wie Energie, Verkehr, Gesundheit, Finanzen, digitale Infrastruktur und öffentliche Verwaltung.
Nichteinhaltung kann zur Folge haben, dass Audits, Korrekturmaßnahmen und Bußgelder.

Das Zentrum für Cybersicherheit in Belgien hat ein Instrument entwickelt, um herauszufinden, ob Ihr Unternehmen unter das NIS2-Gesetz fällt oder nicht. Beziehen Sie sich auf dieses Verlinkung um das Werkzeug zu finden.

Pflichten wesentlicher und wichtiger Einrichtungen nach dem NIS2-Gesetz (Belgien)

Das belgische NIS2-Gesetz, mit dem die EU-Richtlinie 2022/2555 umgesetzt wird, sieht mehrere Cybersicherheitsverpflichtungen für Einrichtungen vor, die als unentbehrlich oder wichtig für das Funktionieren der Gesellschaft und der Wirtschaft.

1. Registrierung

Einrichtungen, die in den Anwendungsbereich des NIS2-Gesetzes fallen, müssen beim Centre for Cybersecurity Belgium (CCB) registrieren über die Plattform Safeonweb@work. Diese Registrierung ist obligatorisch und stellt sicher, dass die CCB diese Einrichtungen wirksam beaufsichtigen und unterstützen kann.

2. Maßnahmen zum Cybersicherheitsrisikomanagement

Sowohl wesentliche als auch wichtige Einrichtungen sind verpflichtet, geeignete technische, operative und organisatorische Maßnahmen Bewältigung von Cybersicherheitsrisiken. Diese Maßnahmen zielen darauf ab,

• Sichere Netzwerk- und Informationssysteme.
• Verhindern Sie Vorfälle.
• Minimieren Sie die Auswirkungen von Vorfällen auf Kunden und Dienstleistungen.

4. Sicherheit der Lieferkette

Wesentliche und wichtige Einrichtungen müssen in ihrer Lieferkette angemessene und verhältnismäßige Maßnahmen zum Cybersicherheitsrisikomanagement ergreifen. Aus diesem Grund setzen viele Unternehmen außerhalb des NIS2-Bereichs CyFun® ein, um Stärkung der Cybersicherheits-Governance oder weil a Kunde, Lieferant oder Partner benötigt Compliance-Nachweis.

5. Benachrichtigung über schwerwiegende Vorfälle

Die Unternehmen müssen alle erhebliche Vorfälle zu den nationales CSIRT, In Belgien ist die CCB. Dazu gehören:

• Vorfälle, die zu schweren Betriebsstörungen führen.
• Vorfälle mit potenziellen grenzüberschreitenden Auswirkungen.
• Finanzielle oder Reputationsschäden.

Der Berichterstattungsprozess umfasst:

• Erstanmeldung innerhalb von 24 Stunden.
• Detaillierter Vorfallbericht innerhalb von 72 Stunden.
• Abschlussbericht innerhalb eines Monats.

4. Pflichten des Managements

Die Leitungsorgane von NIS2-Einrichtungen sind zuständig für:

• Genehmigung von Maßnahmen zum Cybersicherheitsrisikomanagement und Überwachung ihrer Durchführung.
• Nach einer Schulung, um sicherzustellen, dass ihre Kenntnisse und Fähigkeiten für Identitätsrisiken und Behandlung ausreichen

Im Falle der Nichteinhaltung, Management kann haftbar gemacht werden.

5. Aufsicht

• Wesentliche Einrichtungen muss sich unterziehen Regelmäßige Konformitätsbewertungen, wobei eine der folgenden Optionen gewählt wird:
  • CyberFundamentals Zertifizierung oder Verifizierung.
  • ISO/IEC 27001 Zertifizierung.
  • Prüfung durch den Prüfungsdienst der CCB.
• Wichtige Einrichtungen darf keiner regelmäßigen Konformitätsbewertung unterzogen werden.

6. Sanktion

Wesentliche und wichtige Einrichtungen, die ihren Verpflichtungen nicht nachkommen, können einer Reihe von Verwaltungsmaßnahmen und Geldbußen unterworfen werden.