Hat das Unternehmen eine Politik für Risikoanalyse und Sicherung von Informationssystemen?

Risikoanalyserichtlinie ist die Grundlage für die anderen neun Maßnahmen

Ja, in den meisten Fällen gibt es hier etwas zu sagen, denn Risikoanalyse wird als erste Maßnahme in Artikel 21 Absatz 2 der NIS2 genannt und bildet damit das Fundament, auf dem die übrige Richtlinie ruht. Die Frage prüft nicht nur, ob ein Dokument "Risikorichtlinie" existiert, sondern ob das Unternehmen systematisch überprüft, welche Informationssysteme und Prozesse anfällig sind, und welche Maßnahmen dagegen getroffen werden. Ein Kunde, der dies fragt, möchte eigentlich wissen, ob die Sicherheit auf der Grundlage einer Risikobewertung eingerichtet ist oder ad hoc.

In der Praxis ist dieses Feld oft schwierig mit einem einfachen Ja zu beantworten, weil Risikoanalyse normalerweise kein eigenständiges Richtliniendokument ist, sondern in andere Bereiche verflochten ist: ist die Zugangsrichtlinie dokumentiert, einschließlich der Verwaltung von Vermögenswerten, gibt es einen Prozess zur Erkennung und Behebung von Schwachstellen, und wird die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüft. Ohne ein zugrunde liegendes Dokument, das die Risikobewertung beschreibt — selbst wenn es ein einfacher interner Überblick ist — ist ein "Ja" hier nicht zu begründen. Fehlt dieses Dokument, ist "Nein" oder "Teilweise" die ehrliche Antwort, möglicherweise mit einer Erläuterung darüber, welche Teile bereits vorhanden sind.

Wo dies genau aus Artikel 21 Absatz 2 folgt

Artikel 21 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2555 nennt "Richtlinie für Risikoanalyse und den Schutz von Informationssystemen" als erste der zehn erforderlichen Maßnahmen und ist daher die direkteste Fundstelle für diese Frage. Die Richtlinie selbst legt nicht fest, wie eine Risikoanalyse aufgebaut werden muss — diese Details werden den nationalen Durchführungsvorschriften oder Normen wie ISO 27001 überlassen, die allerdings etwas anderes sind als diese Richtlinienfrage: siehe ist das Unternehmen ISO 27001-zertifiziert. Wer überprüfen möchte, ob das Unternehmen selbst bereits unter die Richtlinie fällt, findet das bei unterliegt das Unternehmen selbst der NIS2-Richtlinie oder deren nationale Umsetzung.