Wie Protinus dem schwedischen Energiesektor bei der Bekämpfung von NIS2 hilft

Anders Åhlgren ist nicht der typische Berater. Mit jahrzehntelanger Erfahrung im Informationssicherheitsmanagement und der Beratung der Europäischen Kommission zum Netzkodex für Cybersicherheit für den europäischen Stromsektor parallel zur NIS2-Richtlinie sowie als Mitglied der Smart Grid Task Force der EU-Kommission bringt er sowohl politisches Fachwissen als auch praktischen Pragmatismus in jeden Auftrag ein.

Heute ist er über sein Beratungsunternehmen Protinus als Chief Information Security Officer (CISO) für 12 Energieunternehmen in Schweden tätig. Die meisten dieser Unternehmen sind klein, oft mit weniger als 40 Mitarbeitern, aber sie sind mit den gleichen Compliance-Auflagen konfrontiert wie viel größere Unternehmen.

Um diese Anforderungen zu erfüllen, ohne die Kosten oder die Komplexität in die Höhe zu treiben, setzt Anders auf Cyberday.

"Cyberday ist ein Teil meines Angebots. Ich sage den Kunden: Ja, ihr könnt das auch ohne machen, aber es wird eine Menge Arbeit sein.

Geringes Bewusstsein, hohe Einsätze

Wenn Anders die Arbeit mit einem neuen Kunden beginnt, stößt er möglicherweise auf eine Reihe vertrauter Herausforderungen: geringer Reifegrad der Cybersicherheit, begrenzte interne Fachkenntnisse und Führungsteams, die die Bedeutung und den Umfang der Anforderungen unterschätzen.

"Der Wissensstand kann gering sein", sagt er. "Die Führungsebene ist vielleicht nicht sehr interessiert. Und es gibt keine Regeln. Es gibt nur wenige Richtlinien, und es fehlt an Eigenverantwortung.

Doch der Druck der Regulierungsbehörden wächst. Während Schweden seine nationale Version der NIS2-Richtlinie noch nicht veröffentlicht hat, sind die Verpflichtungen auf EU-Ebene bereits auf dem Radar von Anders und seinen Kunden.

Leider fällt es vielen Unternehmen schwer, ohne einen klaren Rahmen oder Arbeitsablauf überhaupt anzufangen. "Ein Kunde hat es ohne mich versucht, und am Ende gab es keine Fortschritte", erinnert sich Anders.

Cyberday als Rückgrat von Protinus

Cyberday wurde fast zufällig Teil von Anders' Beratungstoolkit. Einer seiner ersten freiberuflichen Kunden hatte es bereits eingeführt, und von ihm wurde erwartet, dass er es zum Laufen bringt.

"Am Anfang war es eine furchtbare Zeit", lacht er. "Aber dann begann ich es zu lieben. Ich erkannte, dass sich damit viele Probleme im Energiesektor lösen lassen."

Heute ist Cyberday ein fester Bestandteil seiner Beratungspraxis. Jeder Auftrag eines Protinus-Kunden beginnt auf dieselbe Weise: sich mit dem Tool vertraut machen, das NIS2-Framework aktivieren und schrittweise das Informationssicherheitsmanagementsystem (ISMS) aufbauen.

Anders arbeitet mit seinen Kunden aus der Ferne und trifft sich in der Regel einmal pro Woche für ein paar Stunden online. Dazwischen bleibt er per E-Mail erreichbar und kann ihre Cyberday direkt unterstützen.

Wie es funktioniert: Das NIS2-Reifegradmodell von Anders

Anders folgt einem schrittweisen Reifegradmodell, das Unternehmen dabei hilft, schrittweise ein funktionierendes, auf die NIS2 abgestimmtes ISMS aufzubauen. Der Prozess erstreckt sich über fünf Stufen, von der anfänglichen Einrichtung bis zur vollständigen Optimierung. Hier erfahren Sie, wie er seine Kunden anhand von Cyberday durch den Prozess führt:

1. Erste Schritte

" Cyberday in Teams einrichten"
Kunden erhalten zunächst Zugang zu Cyberday und beginnen, es in ihrer Microsoft Teams-Umgebung zu erkunden. Dies hilft ihnen, sich mit dem Tool in ihrem täglichen Arbeitsablauf vertraut zu machen.

2. Verwaltet

"Arbeiten Sie die 104 Aufgaben für NIS2 durch."
Der nächste Schritt ist die Aktivierung des NIS2-Rahmens in Cyberday. Die Kunden beginnen mit der Bearbeitung der 104 zugehörigen Aufgaben, die sie mit dem Umfang der Compliance-Anforderungen vertraut machen und dazu beitragen, die Dynamik zu steigern.

3. Definiert

"Weisen Sie Themenverantwortliche zu und führen Sie ein internes Audit durch."
Im weiteren Verlauf ermutigt Anders seine Kunden, die Verantwortung zu delegieren, indem sie Themenverantwortliche für die Personalabteilung, Lieferanten, Pläne usw. zuweisen. Auf diese Weise wird die Arbeit verteilt und eine gemeinsame Verantwortlichkeit aufgebaut. In diesem Stadium führen sie auch ein grundlegendes internes Audit durch.

4. Quantitativ verwaltet

"Adressieren Sie die Ergebnisse des Audits und starten Sie den Leitfaden für die Mitarbeiter.
Hier beginnt das Team damit, festgestellte Lücken zu schließen. Es geht auf alle Nichtkonformitäten aus dem Audit ein und erstellt einen Leitfaden in Cyberday , um die laufende Schulung der Mitarbeiter zu unterstützen.

5. Optimierung von

"Das ISMS ist jetzt etabliert."
In dieser letzten Phase ist das ISMS einsatzbereit und in die tägliche Arbeit eingebettet. Die Organisationen verwalten es:

• Abweichungen und Zwischenfälle
• Kontinuierliche Verbesserungen
• Ausbildung des Personals
• Lieferantenkontrollen
• Interne Audits
• Managementprüfungen