Szenario 1:
Das Unternehmen befasst sich mit Vorfällen, die zu erheblichen materiellen oder immateriellen Schäden führen könnten. Zur Identifizierung und Minderung von Risiken setzt das Unternehmen eine standardisierte Methodik ein. Es führt gründliche Risikoidentifizierungsprozesse auf allen operativen Ebenen durch, implementiert Mechanismen zur Früherkennung von Risiken und verwendet einen einheitlichen Rahmen, um eine konsistente und effektive Reaktion auf Vorfälle zu gewährleisten. Gemäß seinem Meldeplan für Vorfälle berichtet SecureTech sowohl über die Anfangsphase potenzieller Vorfälle als auch nach deren erfolgreicher Minderung oder Behebung.
SecureTech hat die Dynamik der Cybersicherheit erkannt und die rasante technologische Entwicklung miterlebt. Um den sich ständig weiterentwickelnden Bedrohungen zu begegnen und den eigenen Betrieb zu schützen, hat SecureTech proaktiv umfassende Richtlinien implementiert, die Best Practices beinhalten und Systeme, Netzwerke und Daten effektiv vor Bedrohungen schützen. Das Unternehmen hat stark in modernste Tools zur Bedrohungserkennung und -abwehr investiert, die kontinuierlich aktualisiert werden, um neu auftretende Schwachstellen zu beheben. Regelmäßige Sicherheitsaudits und Penetrationstests durch externe Experten gewährleisten die Robustheit gegenüber potenziellen Sicherheitsverletzungen. SecureTech legt zudem größten Wert auf die Sicherheit sensibler Kundendaten und setzt Verschlüsselungsprotokolle ein, führt regelmäßige Sicherheitsbewertungen durch und integriert die Multi-Faktor-Authentifizierung auf allen Plattformen.
Laut Szenario 1 legt SecureTech großen Wert auf einen proaktiven Ansatz in der Cybersicherheit, der sich primär auf die Prävention von Cyberbedrohungen konzentriert, bevor diese zu Vorfällen eskalieren, die erhebliche materielle oder immaterielle Schäden verursachen könnten. Steht dies im Einklang mit der NIS-2-Richtlinie?

• A. Nein, die NIS-2-Richtlinie betont nachdrücklich die Anwendung eines reaktiven Cybersicherheitsansatzes.
• B. Nein, diese NIS-2-Richtlinie konzentriert sich ausschließlich auf die Identifizierung und Eindämmung von Vorfällen und nicht auf Cyberbedrohungen.
• C. Ja, die NIS 2-Richtlinie priorisiert proaktive Cybersicherheit, um zu verhindern, dass Cyberbedrohungen erheblichen Schaden anrichten.

Szenario 7: CleanHydro ist ein zukunftsorientiertes Unternehmen der Abwasserbranche. Das in Stockholm, Schweden, ansässige Unternehmen hat sich zum Ziel gesetzt, Abwasserbehandlungsprozesse mithilfe fortschrittlicher Automatisierungstechnologie zu revolutionieren und so die Umweltbelastung zu reduzieren.
CleanHydro ist sich der herausragenden Bedeutung robuster Cybersicherheitsmaßnahmen zum Schutz seiner fortschrittlichen Technologien bewusst und verpflichtet sich zur Einhaltung der NIS-2-Richtlinie. Im Einklang mit dieser Verpflichtung hat das Unternehmen ein umfassendes Mitarbeiterschulungsprogramm initiiert. Dabei orientiert sich CleanHydro an der nationalen Cybersicherheitsstrategie Schwedens, die Ziele, Governance-Rahmenbedingungen zur Steuerung der Strategieumsetzung und zur Definition von Rollen und Verantwortlichkeiten auf nationaler Ebene, einen Risikobewertungsmechanismus, Maßnahmen zur Vorbereitung auf Sicherheitsvorfälle, eine Liste der beteiligten Behörden und Interessengruppen sowie Koordinierungsrichtlinien umfasst.
Darüber hinaus beauftragte CleanHydro GuardSecurity, ein externes Cybersicherheitsberatungsunternehmen, mit der Bewertung und potenziellen Verbesserung der Cybersicherheitsinfrastruktur des Unternehmens, um die Einhaltung der NIS-2-Richtlinie zu gewährleisten. GuardSecurity konzentrierte sich dabei auf die Stärkung des Risikomanagementprozesses des Unternehmens.
Das Unternehmen ermittelte den Bedarf an Kompetenzentwicklung, indem es die vorhandenen Kompetenzniveaus mit den erforderlichen verglich und anschließend auf Basis risikobasierter Überlegungen Maßnahmen zur Schließung der festgestellten Kompetenzlücken priorisierte. Darauf aufbauend plante das Unternehmen die Aktivitäten zur Kompetenzentwicklung und definierte Art und Struktur des entsprechenden Programms. Für die Durchführung der Schulungs- und Sensibilisierungsprogramme beauftragte das Unternehmen CyberSafe, einen renommierten Schulungsanbieter, mit der Bereitstellung der notwendigen Ressourcen, wie z. B. relevanter Dokumentation und Tools für eine effektive Schulungsdurchführung. Die Geschäftsleitung berief eine Sitzung ein, um eine umfassende Richtlinie für Cybersicherheitsschulungen zu erarbeiten. Es wurde beschlossen, Cybersicherheitsschulungen zweimal durchzuführen: einmal während des Onboarding-Prozesses für neue Mitarbeiter, einmal nach einem Cybersicherheitsvorfall, um von Anfang an eine Kultur der Cybersicherheit zu verankern.
Im Einklang mit den NIS-2-Konformitätsanforderungen erkennt CleanHydro die Bedeutung der Kommunikation mit anderen wichtigen Akteuren an. Diese Akteure bilden sich aus Branchen, kritischen Infrastrukturen oder anderen relevanten Kategorien. Das Unternehmen ist sich bewusst, dass diese Kommunikation unerlässlich ist, um wichtige Informationen zur Cybersicherheit auszutauschen und so zur allgemeinen Sicherheit der Abwasserentsorgung beizutragen.
Bei der Entwicklung seiner Cybersicherheits-Kommunikationsstrategie und der Festlegung seiner Ziele bezog CleanHydto alle relevanten Interessengruppen, darunter Mitarbeiter, Lieferanten und Dienstleister, mit ein, um deren Anliegen zu verstehen und wertvolle Erkenntnisse zu gewinnen. Darüber hinaus identifizierte das Unternehmen potenzielle Stakeholder, die Interesse an seinen Aktivitäten, Produkten und Dienstleistungen bekundet hatten. Diese Aktivitäten trugen dazu bei, die übergeordneten Ziele der Cybersicherheits-Kommunikationsstrategie zu erreichen und sicherzustellen, dass die Bedürfnisse aller relevanten Parteien effektiv berücksichtigt wurden.
Ausgehend von Szenario 7: Warum hat das Unternehmen die genannten Aktivitäten bei der Entwicklung seiner Cybersicherheitskommunikationsstrategie durchgeführt?

• A. Um Wissen zu erweitern, Meinungen und Wahrnehmungen zu beeinflussen und Kommunikationsziele zu erreichen.
• B. Um einen unidirektionalen Kommunikationskanal für Cybersicherheitsupdates einzurichten
• C. Zur Optimierung der organisationsübergreifenden Kommunikation und zum Abbau von Redundanzen

In welcher Phase des Schlüsselverwaltungs-Lebenszyklus können Schlüssel manuell angepasst werden, um alternative Algorithmen zu implementieren?

• A. Tastenrotation
• B. Schlüsselgenerierung
• C. Schlüsselsicherung oder -wiederherstellung

Szenario 2:
Das 2005 in Metropolis gegründete MHospital hat sich mit über 2.000 engagierten Mitarbeitern zu einem führenden Unternehmen im Gesundheitswesen entwickelt und ist bekannt für sein Engagement für qualitativ hochwertige medizinische Leistungen und innovative Patientenversorgung. Angesichts der zunehmenden Cyberangriffe auf Gesundheitseinrichtungen erkannte das MHospital die Notwendigkeit einer umfassenden Cybersicherheitsstrategie, um Risiken effektiv zu minimieren und die Sicherheit von Patienten und Daten zu gewährleisten. Daher beschloss das Unternehmen, die Anforderungen der NIS-2-Richtlinie umzusetzen. Um die Schaffung zusätzlicher, nicht zum Unternehmenskontext und zur Unternehmenskultur passender Prozesse zu vermeiden, entschied sich das MHospital, die Anforderungen der Richtlinie in seine bestehenden Abläufe zu integrieren. Zur Einleitung der Umsetzung führte das Unternehmen eine Gap-Analyse durch, um den aktuellen Stand der Cybersicherheitsmaßnahmen mit den Anforderungen der NIS-2-Richtlinie abzugleichen und Verbesserungspotenziale zu identifizieren.
MHospital ist sich der unverzichtbaren Rolle eines IT-Sicherheitsvorfall-Reaktionsteams (CSIRT) für die Aufrechterhaltung einer sicheren Netzwerkumgebung bewusst und befähigt sein CSIRT daher, umfassende Penetrationstests der Unternehmensnetzwerke durchzuführen. Diese rigorosen Tests helfen, Schwachstellen mit potenziell erheblichen Auswirkungen zu identifizieren und die Implementierung robuster Sicherheitsmaßnahmen zu ermöglichen. Das CSIRT überwacht Bedrohungen und Schwachstellen auf nationaler Ebene und unterstützt MHospital bei der Echtzeitüberwachung seiner Netzwerk- und Informationssysteme. Darüber hinaus führt MHospital kooperative Bewertungen von Sicherheitsrisiken in wichtigen Lieferketten für kritische ITK-Dienstleistungen und -Systeme durch. In Zusammenarbeit mit relevanten Partnern beteiligt sich MHospital an der Bewertung von Sicherheitsrisiken und trägt so zu einem gemeinsamen Bemühen bei, die Widerstandsfähigkeit des Gesundheitswesens gegenüber Cyberbedrohungen zu stärken.
Um die Meldepflichten der NIS-2-Richtlinie zu erfüllen, hat MHospital seinen Prozess zur Meldung von Sicherheitsvorfällen optimiert. Im Falle eines Sicherheitsvorfalls verpflichtet sich das Unternehmen, innerhalb von vier Tagen nach dessen Feststellung eine offizielle Benachrichtigung zu versenden. So wird sichergestellt, dass umgehend Maßnahmen ergriffen werden, um die Auswirkungen von Vorfällen zu minimieren und die Integrität der Patientendaten sowie des Klinikbetriebs zu gewährleisten. MHospitals Engagement für die Umsetzung der NIS-2-Richtlinie erstreckt sich auch auf die Cybersicherheitsstrategie und -governance. Das Unternehmen hat robuste Protokolle für das Cybersicherheitsrisikomanagement und die Einhaltung von Vorschriften etabliert und seine Cybersicherheitsinitiativen an seinen übergeordneten Geschäftszielen ausgerichtet.
Ausgehend von Szenario 2 entschied sich MHospital, die Anforderungen der Richtlinie in seine bestehenden Prozesse zu integrieren, um die Schaffung zusätzlicher Prozesse zu vermeiden, die nicht zum Kontext und zur Kultur des Unternehmens passen. Entspricht dies den Best Practices?

• A. Ja, Organisationen sollten die NIS-2-Richtlinie in ihre bestehenden Prozesse integrieren.
• B. Nein, Organisationen sollten zusätzlich zu den bestehenden Prozessen weitere Prozesse erstellen, um die vollständige Einhaltung der NIS-2-Richtlinie zu gewährleisten.
• C. Nein, Organisationen sollten bestehende Prozesse vollständig ignorieren und neue Prozesse erstellen, um die vollständige Einhaltung der NIS-2-Richtlinie zu gewährleisten.

Szenario 7: CleanHydro ist ein zukunftsorientiertes Unternehmen der Abwasserbranche. Das in Stockholm, Schweden, ansässige Unternehmen hat sich zum Ziel gesetzt, Abwasserbehandlungsprozesse mithilfe fortschrittlicher Automatisierungstechnologie zu revolutionieren und so die Umweltbelastung zu reduzieren.
CleanHydro ist sich der herausragenden Bedeutung robuster Cybersicherheitsmaßnahmen zum Schutz seiner fortschrittlichen Technologien bewusst und verpflichtet sich zur Einhaltung der NIS-2-Richtlinie. Im Einklang mit dieser Verpflichtung hat das Unternehmen ein umfassendes Mitarbeiterschulungsprogramm initiiert. Dabei orientiert sich CleanHydro an der nationalen Cybersicherheitsstrategie Schwedens, die Ziele, Governance-Rahmenbedingungen zur Steuerung der Strategieumsetzung und zur Definition von Rollen und Verantwortlichkeiten auf nationaler Ebene, einen Risikobewertungsmechanismus, Maßnahmen zur Vorbereitung auf Sicherheitsvorfälle, eine Liste der beteiligten Behörden und Interessengruppen sowie Koordinierungsrichtlinien umfasst.
Darüber hinaus beauftragte CleanHydro GuardSecurity, ein externes Cybersicherheitsberatungsunternehmen, mit der Bewertung und potenziellen Verbesserung der Cybersicherheitsinfrastruktur des Unternehmens, um die Einhaltung der NIS-2-Richtlinie zu gewährleisten. GuardSecurity konzentrierte sich dabei auf die Stärkung des Risikomanagementprozesses des Unternehmens.
Das Unternehmen ermittelte den Bedarf an Kompetenzentwicklung, indem es die vorhandenen Kompetenzniveaus mit den erforderlichen verglich und anschließend auf Basis risikobasierter Überlegungen Maßnahmen zur Schließung der festgestellten Kompetenzlücken priorisierte. Darauf aufbauend plante das Unternehmen die Aktivitäten zur Kompetenzentwicklung und definierte Art und Struktur des entsprechenden Programms. Für die Durchführung der Schulungs- und Sensibilisierungsprogramme beauftragte das Unternehmen CyberSafe, einen renommierten Schulungsanbieter, mit der Bereitstellung der notwendigen Ressourcen, wie z. B. relevanter Dokumentation und Tools für eine effektive Schulungsdurchführung. Die Geschäftsleitung berief eine Sitzung ein, um eine umfassende Richtlinie für Cybersicherheitsschulungen zu erarbeiten. Es wurde beschlossen, Cybersicherheitsschulungen zweimal durchzuführen: einmal während des Onboarding-Prozesses für neue Mitarbeiter, einmal nach einem Cybersicherheitsvorfall, um von Anfang an eine Kultur der Cybersicherheit zu verankern.
Im Einklang mit den NIS-2-Konformitätsanforderungen erkennt CleanHydro die Bedeutung der Kommunikation mit anderen wichtigen Akteuren an. Diese Akteure bilden sich aus Branchen, kritischen Infrastrukturen oder anderen relevanten Kategorien. Das Unternehmen ist sich bewusst, dass diese Kommunikation unerlässlich ist, um wichtige Informationen zur Cybersicherheit auszutauschen und so zur allgemeinen Sicherheit der Abwasserentsorgung beizutragen.
Bei der Entwicklung seiner Cybersicherheits-Kommunikationsstrategie und der Festlegung seiner Ziele bezog CleanHydto alle relevanten Interessengruppen, darunter Mitarbeiter, Lieferanten und Dienstleister, mit ein, um deren Anliegen zu verstehen und wertvolle Erkenntnisse zu gewinnen. Darüber hinaus identifizierte das Unternehmen potenzielle Stakeholder, die Interesse an seinen Aktivitäten, Produkten und Dienstleistungen bekundet hatten. Diese Aktivitäten trugen dazu bei, die übergeordneten Ziele der Cybersicherheits-Kommunikationsstrategie zu erreichen und sicherzustellen, dass die Bedürfnisse aller relevanten Parteien effektiv berücksichtigt wurden.
Wie lässt sich CleanHydro gemäß Szenario 7 mit den Bestimmungen von Artikel 29 der NIS-2-Richtlinie (Vereinbarungen zum Austausch von Cybersicherheitsinformationen) vereinbaren?

• A. Durch die Einführung einer Schulungsrichtlinie zur Sensibilisierung für Cybersicherheit soll eine Cybersicherheitskultur aufgebaut werden
• B. Durch die Einbeziehung von Mitarbeitern, Lieferanten und Dienstleistern in den Prozess der Entwicklung von Kommunikationsstrategien und -zielen im Bereich Cybersicherheit.
• C. Durch die Kommunikation mit Gemeinschaften, die sich aus anderen wichtigen und wesentlichen Akteuren zusammensetzen, in Bezug auf Informationen zur Cybersicherheit.