Worin besteht der Hauptunterschied zwischen Tier-2- und Tier-3-Disaster-Recovery-Strategien?

• A. Tier 2 nutzt Kuriere für den Datentransport zwischen den Zentren, während Tier 3 die elektronische Speicherung kritischer Daten verwendet.
• B. Stufe 2 schreibt zwei Standorte mit Peer-to-Peer-Verbindungen vor, während Stufe 3 den Fokus auf die Verbesserung des Datentransfers legt.
• C. Stufe 2 umfasst die elektronische Speicherung kritischer Daten, während Stufe 3 auf externe Datenspeicher setzt.

Ein Finanzinstitut veröffentlichte eine Erklärung, in der es einen schwerwiegenden Sicherheitsverstoß einräumte. Dabei verwendete es jedoch komplexe Fachsprache und branchenspezifische Terminologie, die für die breite Öffentlichkeit schwer verständlich waren. Welches Prinzip effektiver Kommunikationsstrategie hat das Institut nicht angewendet?

• A. Glaubwürdigkeit
• B. Transparenz
• C. Klarheit

Szenario 6: Solicure ist ein führendes Pharmaunternehmen, das sich der Herstellung und dem Vertrieb von lebenswichtigen Medikamenten widmet. In einer Branche mit strengen Regulierungen und hohen Qualitätsstandards hat Solicure proaktiv Maßnahmen ergriffen, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Dieser proaktive Ansatz stärkt die digitale Resilienz und sichert die kontinuierliche Exzellenz des Produktangebots.
Im vergangenen Jahr legte ein Cyberangriff die Forschungs- und Entwicklungsaktivitäten von Solicure lahm und weckte Besorgnis über die mögliche Gefährdung sensibler Informationen zur Arzneimittelformulierung. Solicure leitete umgehend eine Untersuchung unter der Leitung seines Cybersicherheitsteams ein, um technische Daten zu sammeln, die Methoden der Angreifer zu verstehen, den Schaden zu bewerten und die Quelle des Angriffs schnell zu identifizieren. Darüber hinaus implementierte das Unternehmen Maßnahmen, um kompromittierte Systeme zu isolieren und die Angreifer aus dem Netzwerk zu entfernen. Schließlich erkannte Solicure die Notwendigkeit langfristiger Sicherheitsverbesserungen und implementierte ein umfassendes Sicherheitspaket, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Dieses umfasst unter anderem Aspekte wie Cybersicherheits-Risikomanagement, Lieferkettensicherheit, Vorfallsmanagement, Krisenmanagement und die Planung von Maßnahmen zur Reaktion auf Cybersicherheitskrisen.
Im Einklang mit ihrer Krisenmanagementstrategie leitete Sarah, Chief Information Security Officer von Solicure, die Initiative zur Entwicklung eines umfassenden Übungsplans zur Stärkung der Cyberresilienz. Dieser Plan wurde flexibel und umfassend gestaltet, um sicherzustellen, dass die Entscheidungsträger im Unternehmen über das notwendige Wissen und die erforderlichen Fähigkeiten zur effektiven Abwehr von Cyberbedrohungen verfügen. Um die Effektivität ihrer Krisenmanagementplanung weiter zu steigern, verfolgte Solicure zudem einen Ansatz, der der Strukturierung der Krisenreaktion Priorität einräumt.
Ein zentraler Aspekt des Cybersicherheits-Risikomanagements von Solicure war der Schutz der Mitarbeiter. Angesichts der Sensibilität der pharmazeutischen Produkte legte das Unternehmen größten Wert auf die Hintergrundprüfung der Mitarbeiter. Daher führte Solicure ein strenges Auswahlverfahren für neue Mitarbeiter ein, das unter anderem die Überprüfung des Strafregisters, die Recherche zu früheren Tätigkeiten, die Einholung von Referenzen und Drogentests vor der Einstellung umfasste.
Um die Anforderungen von NIS 2 zu erfüllen, integrierte Solicure eine Strategie zur Geschäftskontinuität in seine Betriebsabläufe. Als führender Anbieter lebensrettender Medikamente und kritischer Gesundheitsprodukte stand Solicure vor großen Herausforderungen, da potenzielle Produktions- und Vertriebsunterbrechungen lebensbedrohliche Folgen für Patienten haben konnten. Nach eingehender Recherche und Beratung mit Experten für Unternehmensführung entschied sich das Unternehmen, einen Ausweichstandort zu nutzen, um die kritischen Abläufe am Hauptstandort zu verstärken. Parallel zur Strategie für das Geschäftskontinuitätsmanagement entwickelte Solicure Verfahren zur Wiederherstellung und zum Schutz seiner IT-Infrastruktur im Katastrophenfall und zur Sicherstellung der kontinuierlichen Verfügbarkeit seiner Medikamente.
Welche der folgenden Vorgehensweisen hat Solicure im Rahmen seiner Geschäftskontinuitätsstrategie gemäß Szenario 6 umgesetzt?

• A. Backup-Anordnung
• B. Standby-Vereinbarung
• C. Betrieb an mehreren Standorten

Szenario 7: CleanHydro ist ein zukunftsorientiertes Unternehmen der Abwasserbranche. Das in Stockholm, Schweden, ansässige Unternehmen hat sich zum Ziel gesetzt, Abwasserbehandlungsprozesse mithilfe fortschrittlicher Automatisierungstechnologie zu revolutionieren und so die Umweltbelastung zu reduzieren.
CleanHydro ist sich der herausragenden Bedeutung robuster Cybersicherheitsmaßnahmen zum Schutz seiner fortschrittlichen Technologien bewusst und verpflichtet sich zur Einhaltung der NIS-2-Richtlinie. Im Einklang mit dieser Verpflichtung hat das Unternehmen ein umfassendes Mitarbeiterschulungsprogramm initiiert. Dabei orientiert sich CleanHydro an der nationalen Cybersicherheitsstrategie Schwedens, die Ziele, Governance-Rahmenbedingungen zur Steuerung der Strategieumsetzung und zur Definition von Rollen und Verantwortlichkeiten auf nationaler Ebene, einen Risikobewertungsmechanismus, Maßnahmen zur Vorbereitung auf Sicherheitsvorfälle, eine Liste der beteiligten Behörden und Interessengruppen sowie Koordinierungsrichtlinien umfasst.
Darüber hinaus beauftragte CleanHydro GuardSecurity, ein externes Cybersicherheitsberatungsunternehmen, mit der Bewertung und potenziellen Verbesserung der Cybersicherheitsinfrastruktur des Unternehmens, um die Einhaltung der NIS-2-Richtlinie zu gewährleisten. GuardSecurity konzentrierte sich dabei auf die Stärkung des Risikomanagementprozesses des Unternehmens.
Das Unternehmen ermittelte den Bedarf an Kompetenzentwicklung, indem es die vorhandenen Kompetenzniveaus mit den erforderlichen verglich und anschließend auf Basis risikobasierter Überlegungen Maßnahmen zur Schließung der festgestellten Kompetenzlücken priorisierte. Darauf aufbauend plante das Unternehmen die Aktivitäten zur Kompetenzentwicklung und definierte Art und Struktur des entsprechenden Programms. Für die Durchführung der Schulungs- und Sensibilisierungsprogramme beauftragte das Unternehmen CyberSafe, einen renommierten Schulungsanbieter, mit der Bereitstellung der notwendigen Ressourcen, wie z. B. relevanter Dokumentation und Tools für eine effektive Schulungsdurchführung. Die Geschäftsleitung berief eine Sitzung ein, um eine umfassende Richtlinie für Cybersicherheitsschulungen zu erarbeiten. Es wurde beschlossen, Cybersicherheitsschulungen zweimal durchzuführen: einmal während des Onboarding-Prozesses für neue Mitarbeiter, einmal nach einem Cybersicherheitsvorfall, um von Anfang an eine Kultur der Cybersicherheit zu verankern.
Im Einklang mit den NIS-2-Konformitätsanforderungen erkennt CleanHydro die Bedeutung der Kommunikation mit anderen wichtigen Akteuren an. Diese Akteure bilden sich aus Branchen, kritischen Infrastrukturen oder anderen relevanten Kategorien. Das Unternehmen ist sich bewusst, dass diese Kommunikation unerlässlich ist, um wichtige Informationen zur Cybersicherheit auszutauschen und so zur allgemeinen Sicherheit der Abwasserentsorgung beizutragen.
Bei der Entwicklung seiner Cybersicherheits-Kommunikationsstrategie und der Festlegung seiner Ziele bezog CleanHydto alle relevanten Interessengruppen, darunter Mitarbeiter, Lieferanten und Dienstleister, mit ein, um deren Anliegen zu verstehen und wertvolle Erkenntnisse zu gewinnen. Darüber hinaus identifizierte das Unternehmen potenzielle Stakeholder, die Interesse an seinen Aktivitäten, Produkten und Dienstleistungen bekundet hatten. Diese Aktivitäten trugen dazu bei, die übergeordneten Ziele der Cybersicherheits-Kommunikationsstrategie zu erreichen und sicherzustellen, dass die Bedürfnisse aller relevanten Parteien effektiv berücksichtigt wurden.
Entspricht CleanHydros Vorgehen bei der Durchführung von Schulungen zur Sensibilisierung für Cybersicherheit zu festgelegten Zeiten den Best Practices? Siehe Szenario 7.

• A. Nein, gemäß bewährten Verfahren gibt es drei entscheidende Momente für die Durchführung von Schulungen zur Sensibilisierung für Cybersicherheit: Einarbeitung, Nachsorge nach einem Vorfall und kontinuierliche Schulung.
• B. Ja, die Schulungen zum Onboarding und zur Sensibilisierung nach Vorfällen entsprechen den Best Practices.
• C. Nein, gemäß bewährten Verfahren sollte eine Schulung zur Sensibilisierung für Cybersicherheit nur jährlich für alle Mitarbeiter durchgeführt werden.

Welche der folgenden Einrichtungen sind vom Anwendungsbereich der NIS-2-Richtlinie ausgenommen?

• A. Einrichtungen, die nur von geringer Relevanz für die Bereiche nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung sind.
• B. Öffentliche Verwaltungseinrichtungen, die an Strafverfolgungsmaßnahmen beteiligt sind
• C. Regulierungsbehörden