Pirkanmaan Jätehuolto ist ein kommunales Abfallwirtschaftsunternehmen, das in der Region Pirkanmaa in Finnland tätig ist. Als Teil des Sektors für kritische Infrastrukturen sah sich das Unternehmen mit der Einführung der NIS2-Richtlinie der EU einem zunehmenden regulatorischen Druck ausgesetzt. Antti Pessinen, Leiter der IT-Abteilung, leitete die Bemühungen, die Einhaltung der Vorschriften zu gewährleisten.
Sie brauchten ein Tool, das ihnen helfen würde, ihre Reaktion zu strukturieren, internes Know-how aufzubauen und die Auslagerung kritischer Erkenntnisse zu vermeiden. Das führte sie zu Cyberday.
Das Ziel war nicht nur die Einhaltung der Vorschriften
Als bekannt wurde, dass die NIS2-Richtlinie auch für ihre Branche gelten würde, erkannte Pirkanmaan Jätehuolto, dass sie einen besseren Weg brauchten, um die Anforderungen an die Cybersicherheit zu erfüllen. Das Unternehmen war es gewohnt, mit Rahmenwerken wie ISO 14001 zu arbeiten, aber die Cybervorschriften stellten neue Anforderungen.
Antti erinnert sich, dass das Team zunächst mehrere Tools und sogar die Möglichkeit in Betracht zog, einen Berater hinzuzuziehen:
"Wir haben uns vier oder fünf Lösungen angeschaut. Einige boten nur eine leere Leinwand und eine Liste von Anforderungen. Das war nicht gut genug."
Das Hauptproblem bestand nicht nur darin, die Einhaltung der Vorschriften zu dokumentieren, sondern sie auch zu verstehen und dieses Wissen im Laufe der Zeit zu erhalten.
Stattdessen suchte das Team nach einer Lösung, die ihre Arbeit lenken, internes Fachwissen aufbauen und die Integration der Cybersicherheit in die täglichen Prozesse unterstützen sollte.
Anforderungen in echte Verantwortung umwandeln
Nach der Bewertung der Optionen entschied sich das Team für Cyberday vor allem wegen seiner Struktur und Klarheit.
"Was uns gefiel, war die Art und Weise, wie Cyberday den Prozess anleitete. Es setzt nicht voraus, dass man bereits weiß, was zu tun ist, sondern hilft einem, durch Handeln zu lernen.
Anstatt die Arbeit auszulagern, beschloss Pirkanmaan Jätehuolto, das Projekt intern zu leiten. Das Unternehmen strukturierte die Implementierung als formelles Projekt mit einer internen Lenkungsgruppe, der auch leitende Angestellte angehörten. Dies trug dazu bei, die unternehmensweite Akzeptanz zu gewährleisten und die Bemühungen abteilungsübergreifend sichtbar zu machen.
Jedem Abschnitt des Rahmens wurde ein Verantwortlicher zugewiesen. Das Team bemühte sich bewusst darum, nicht alles auf die Schultern einer einzelnen Person zu legen:
"Das ist nicht die Aufgabe einer einzelnen Person. Jeder muss seine Verantwortung kennen. Auf diese Weise wird die Cybersicherheit zu einem normalen Teil unserer Arbeit".
Die in Cyberdayintegrierte Anleitung und die klare Hierarchie halfen dem Team bei der schrittweisen Einführung. Es war auch einfacher, andere Mitarbeiter an Bord zu holen, da die Anweisungen verständlich und zugänglich waren.
"Wir haben nur sehr wenige negative Rückmeldungen erhalten. Die Leute finden die Anweisungen einfach zu befolgen und die Inhalte sind in einfacher Sprache.
Von der Planung zur Praxis
Pirkanmaan Jätehuolto begann im Frühjahr 2024 mit der Umsetzung des Cyberday , um die NIS2-Frist bis zum 18. Oktober 2024 einzuhalten - das Datum, bis zu dem die EU-Mitgliedstaaten die Richtlinie in nationales Recht umsetzen mussten.
"Bis zum Oktober waren wir im Grunde fertig und haben nur noch die letzten Dinge erledigt.
Pirkanmaan Jätehuolto beschloss, nicht zu warten. Sie übernahmen proaktiv den NIS2-Rahmen von Cyberdayund bereiteten sich frühzeitig auf die kommenden Anforderungen vor. Damit waren sie anderen einen Schritt voraus.
Als der Rahmen für das nationale Cybersicherheitsgesetz am Cyberday zur Verfügung stand, hat das Team es sofort übernommen. Die übrigen Aktualisierungen, die sich hauptsächlich auf die physische Sicherheit beziehen, wurden Anfang 2025 abgeschlossen. Laut Antti:
"Wir sind jetzt an einem Punkt, an dem wir sagen können, dass die Arbeit getan ist. Bis zum Hochsommer werden wir vollständig ausgerichtet sein und uns keine Sorgen über das machen, was auf uns zukommt.
Cyberday ist seitdem zu ihrem zentralen Werkzeug geworden, nicht nur für NIS2, sondern auch für die GDPR und die Dokumentation der Informationssicherheit im Allgemeinen. Das Unternehmen plant nun, auch die Datenschutzdokumentation in Cyberday zu migrieren und ältere Systeme zu ersetzen.
Sie haben auch damit begonnen, die Inhalte von Cyberdayals Grundlage für Mitarbeiterschulungen zu nutzen, indem sie Richtlinien und Verantwortlichkeiten mit einer Lernplattform verknüpfen.
"Unsere aktualisierten Sicherheits- und Datenschutzrichtlinien basieren auf der Arbeit, die wir am Cyberday geleistet haben. Das hat uns geholfen, in der gesamten Organisation Klarheit zu schaffen.
.svg)
.svg)
