NIS-2-Richtlinie Lead Implementer

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 Grundbegriffe der NIS-2-Richtlinie

   Warum kann die Umsetzung der NIS-2-Richtlinie in den Mitgliedstaaten unterschiedliche nationale Vorschriften hervorbringen?

   1. Da es sich um eine Verordnung handelt, galt die NIS-2-Richtlinie ab ihrem Inkrafttreten unmittelbar in jedem Mitgliedstaat, sodass eine Abweichung nicht möglich war.
   2. Als Richtlinie wäre sie nach dieser Aussage lediglich eine unverbindliche Orientierungshilfe; die Mitgliedstaaten hätten sie daher ignorieren dürfen, was zu unterschiedlichen Ergebnissen geführt hätte.
   3. Eine Richtlinie setzt verbindliche Ziele und überlässt deren Umsetzung dem nationalen Recht.
   4. Da es sich um eine Richtlinie handelt, gilt sie einheitlich und unmittelbar wie die DSGVO und lässt den Mitgliedstaaten keinen Ermessensspielraum.

2. D2 Planung der NIS-2-Umsetzung

   Welche Aussage charakterisiert innerhalb der Planungsmethodik für die NIS-2-Umsetzung den Command-and-Control-Regulierungsansatz am besten?

   1. Die Regulierungsbehörde legt nur die gewünschten Sicherheitsergebnisse fest und überlässt es jeder Einrichtung, die Mittel zur Erreichung dieser Ziele frei zu wählen.
   2. Eine Einrichtung steuert sich selbst durch eine fundierte Bewertung und Planung, um die Ziele festzulegen, die sie verfolgen wird.
   3. Die Einrichtung und die Regulierungsbehörde verhandeln gemeinsam freiwillige Ziele, die keine verbindlichen Verpflichtungen beinhalten und jährlich überprüft werden.
   4. Die Regulierungsbehörde schreibt die genauen Methoden, Materialien und Prozesse vor, die Einrichtungen verwenden müssen, um die Vorschriften einzuhalten.

3. D3 Rollen, Verantwortung und Risikomanagement

   HealthFirst setzte Sicherheitsmaßnahmen um, doch das Leitungsorgan billigte und überwachte sie nicht. Welche Abhilfe verlangt Artikel 20?

   1. Das Leitungsorgan muss die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen und deren Umsetzung überwachen.
   2. HealthFirst muss das CSIRT innerhalb von 24 Stunden nach Kenntniserlangung über jeden erheblichen Sicherheitsvorfall informieren.
   3. Das Leitungsorgan muss die technischen Sicherheitsmaßnahmen in den Netz- und Informationssystemen persönlich konfigurieren.
   4. Das Leitungsorgan muss gemeinsam mit der zuständigen Behörde die nationale Cybersicherheitsstrategie entwerfen.

4. D4 Maßnahmen, Vorfälle und Krisenmanagement

   Welche Arten von Risikomanagementmaßnahmen im Bereich der Cybersicherheit müssen gemäß Artikel 21 Absatz 1 der NIS-2-Richtlinie wesentliche und wichtige Einrichtungen ergreifen, um ihre Netz- und Informationssysteme zu schützen?

   1. Geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen.
   2. Nur die von der zuständigen Behörde im Voraus einzeln vorgeschriebenen Maßnahmen eines strikten Command-and-Control-Regulierungsmodells.
   3. Rein technische Schutzmaßnahmen wie Firewalls und Verschlüsselung, da organisatorische und verfahrenstechnische Kontrollen nicht in den Zuständigkeitsbereich der Richtlinie fallen.
   4. Finanzielle Reserven und Versicherungsschutz, die ausreichen, um etwaige später von einer zuständigen Behörde verhängte Bußgelder zu bezahlen.

5. D5 Kommunikation und Sensibilisierung

   HealthFirst will Cyberhygiene und Cybersicherheitsschulungen aus Spargründen streichen. Wie ist dies nach NIS 2 zu bewerten?

   1. Als optionale Erweiterung, die nur für wesentliche Einrichtungen im Energiesektor empfohlen wird.
   2. Er ist abzulehnen: Cyberhygiene und Schulungen sind Mindestmaßnahmen nach Artikel 21 Absatz 2 Buchstabe g.
   3. Cyberhygiene und Cybersicherheitsschulungen nur für externe Lieferanten vorsehen und dies als Aufsichtsmaßnahme nach Artikel 32 behandeln.
   4. Als Meldepflicht, die erst nach einem erheblichen Vorfall gemäß Artikel 23 entsteht.

6. D6 Prüfung und Überwachung des Programms

   Der Qualitätssicherungsplan von NordEnergy sieht regelmäßige Tests, Messungen und Überprüfungen der eingeführten Maßnahmen vor. Welche Bestimmung der NIS-2-Richtlinie muss der Lead Implementer als unmittelbare Rechtsgrundlage für diese Nachweise dokumentieren?

   1. Artikel 23 über Pflichten zur Meldung von Vorfällen
   2. Artikel 21 Absatz 2 Buchstabe f zur Wirksamkeitsbewertung
   3. Artikel 21 Absatz 2 Buchstabe b über Maßnahmen zur Bewältigung von Vorfällen
   4. Artikel 20 über die Führung und Aufsicht des Leitungsorgans

7. D1 Grundbegriffe der NIS-2-Richtlinie

   Ein Lead Implementer erläutert der Leitung von FoodLine, welche EU-Rechtsakte unmittelbar gelten und welche in nationales Recht umgesetzt werden müssen. Welche Aussage ist richtig?

   1. DORA (Verordnung (EU) 2022/2554) ist unmittelbar anwendbar; die NIS-2-Richtlinie ist in nationales Recht umzusetzen.
   2. Die NIS-2-Richtlinie gilt unmittelbar in der gesamten Union, während DORA von jedem Mitgliedstaat umgesetzt werden muss.
   3. Sowohl die NIS-2-Richtlinie als auch die DSGVO sind Verordnungen mit unmittelbarer Wirkung in der gesamten Union.
   4. Die NIS-2-Richtlinie und DORA sind beides Richtlinien, die jeder Mitgliedstaat in nationales Recht umsetzen muss.

8. D2 Planung der NIS-2-Umsetzung

   CloudNova entscheidet über seine Cybersicherheitsmaßnahmen überwiegend in Irland, betreibt sein größtes Rechenzentrum aber in Deutschland. Welcher Mitgliedstaat ist nach Artikel 26 zuständig?

   1. Deutschland wegen des größten Rechenzentrumsbetriebs.
   2. Irland als Ort der maßgeblichen strategischen Steuerung dieser Maßnahmen.
   3. Frankreich wegen der höchsten Beschäftigtenzahl.
   4. Alle drei Staaten wegen der jeweiligen Niederlassung.

9. D3 Rollen, Verantwortung und Risikomanagement

   NordEnergy lagert einen Teil seines Sicherheitsbetriebs aus; das Leitungsorgan will seine Governance-Rolle dennoch eindeutig nachweisen. Welche Entscheidung entspricht Artikel 20?

   1. Die Verantwortung für die Maßnahmen vollständig auf externe Lieferanten der Einrichtung übertragen.
   2. Die vollständige Verantwortung für die Maßnahmen auf die zuständige Behörde übertragen.
   3. Die Governance-Rolle im Leitungsorgan auf Kenntnisnahme, Genehmigung und Kontrolle externer Entscheidungen beschränken.
   4. Die gesetzliche Governanceentscheidung und ihre Kontrolle im Leitungsorgan belassen.

10. D4 Maßnahmen, Vorfälle und Krisenmanagement

    NordEnergy will den Maßnahmenkatalog einer kleineren, weniger kritischen Einrichtung übernehmen. Welche Faktoren bestimmen nach Artikel 21 die erforderliche Tiefe?

    1. Der Marktanteil der Einrichtung im Vergleich zu ihren direkten Konkurrenten innerhalb desselben Sektors.
    2. Angemessenheit der Maßnahmen nach dem Risikoprofil: Risikoexposition samt Einrichtungsgröße, Eintrittswahrscheinlichkeit samt möglicher Vorfallsschwere von gesellschaftlich-wirtschaftlicher Tragweite.
    3. Ausschließlich die Gesamtzahl der Beschäftigten, die zum Ende des vorangegangenen Geschäftsjahres auf der Lohn- und Gehaltsliste der Einrichtung verzeichnet waren.
    4. Nur die Menge der von der Einrichtung verarbeiteten personenbezogenen Daten, entsprechend den Risikokriterien, die gemäß der DSGVO (Verordnung (EU) 2016/679) gelten.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.