NIS-2-Richtlinie Foundation

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 Grundbegriffe und Definitionen der NIS-2-Richtlinie

   Eine Ransomware-Nutzlast gelangt auf den Dateiserver eines Unternehmens, wird jedoch vom Endgeräteschutz blockiert, bevor eine Datei verschlüsselt oder ein Dienst nicht mehr verfügbar wird. Wie ist dieses Ereignis nach der Terminologie der Richtlinie einzuordnen?

   1. Als Sicherheitsvorfall, weil Schadcode einen Produktionsserver erreicht hat.
   2. Als Beinahe-Vorfall, weil der Angriff vor seiner Verwirklichung gestoppt wurde.
   3. Als erheblicher Sicherheitsvorfall, weil Ransomware schwere Betriebsstörungen verursacht.
   4. Als Schwachstelle, weil der Server aus dem Netz erreichbar geblieben ist.

2. D2 Planung der Umsetzung von NIS-2-Anforderungen

   Die Leitungsorgane einer der Richtlinie unterliegenden Einrichtung genehmigen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und überlassen anschließend die gesamte Umsetzung ohne weitere Mitwirkung der IT-Abteilung. Welche Pflicht der Leitungsorgane bleibt unerfüllt?

   1. Vor der Einführung jeder Maßnahme deren technische Spezifikationen auszuarbeiten.
   2. Die rechtliche Verantwortung auf die Leitung der Abteilung zu übertragen, die die Arbeiten tatsächlich ausführt.
   3. Die Einrichtung nach einer internationalen Managementsystemnorm zertifizieren zu lassen.
   4. Die Umsetzung der von ihnen genehmigten Maßnahmen fortlaufend zu überwachen.

3. D1 Grundbegriffe und Definitionen der NIS-2-Richtlinie

   Welche Änderung führte die geltende Richtlinie gegenüber der Richtlinie von 2016 über die Sicherheit von Netz- und Informationssystemen ein?

   1. Die Pflicht, ein Ereignis den Behörden mitzuteilen, entsteht erst, wenn bereits ein messbarer Schaden eingetreten ist.
   2. Das Meldeverfahren beginnt mit einer Frühwarnung, die der förmlichen Meldung vorausgeht.
   3. Die Rückmeldung der Behörden an die meldende Einrichtung wurde zugunsten höherer Geschwindigkeit abgeschafft.
   4. Der sektorale Anwendungsbereich wurde auf die bereits 2016 aufgeführten Betreiber kritischer Infrastrukturen beschränkt.

4. D2 Planung der Umsetzung von NIS-2-Anforderungen

   Ein regionaler Postbetreiber soll nach Vorgabe seiner Aufsichtsbehörde die eigene Exposition bestimmen, eigene Ziele festlegen und das daraus entstehende Dokument zur Prüfung vorlegen, statt einer vorgeschriebenen Technologieliste zu folgen. Welcher Regulierungsansatz wird angewandt?

   1. Ein managementbasierter Ansatz, weil die Einrichtung sich selbst reguliert und die Regulierungsbehörde die Planung beurteilt.
   2. Ein leistungsbasierter Ansatz, weil das Ziel festgelegt wird, nicht aber der Weg dorthin.
   3. Ein Command-and-Control-Ansatz, weil eine öffentliche Stelle Einsicht in die Tätigkeit des Betreibers erhält.
   4. Koregulierung durch verbindliche Anweisung, weil die Aufsichtsbehörde den Plan prüft und sich das letzte Wort vorbehält.

5. D1 Grundbegriffe und Definitionen der NIS-2-Richtlinie

   Ein Eisenbahnunternehmen erbringt in einem Mitgliedstaat Güterverkehrsdienste, beschäftigt 620 Personen und erzielt einen Jahresumsatz von 95 Millionen EUR. Wie wird es eingestuft?

   1. Als wesentliche Einrichtung, weil es in einem Sektor hoher Kritikalität die Schwellenwerte für mittlere Unternehmen überschreitet.
   2. Als wichtige Einrichtung, weil der Eisenbahnverkehr im Anhang über sonstige kritische Sektoren aufgeführt ist.
   3. Als wichtige Einrichtung, weil es nicht beide Schwellenwerte für mittlere Unternehmen gleichzeitig überschreitet.
   4. Als wesentliche Einrichtung, weil jedes im Verkehrssektor tätige Unternehmen unabhängig von seiner Größe stets diese Eigenschaft besitzt.

6. D2 Planung der Umsetzung von NIS-2-Anforderungen

   Ein Projektteam soll ermitteln, wie Cybersicherheit gegenwärtig in einer Organisation gesteuert wird, deren Beschäftigte behaupten, es sei überhaupt nichts eingerichtet. Welche Maßnahmenkombination wird in dieser Phase empfohlen?

   1. Jede Datenerhebung verschieben, zunächst den Abschluss der Risikobeurteilung abwarten, dann die Hauptrisiken ermitteln und erst anschließend das Personal befragen.
   2. Einen externen Penetrationstest und eine Schwachstellenanalyse beauftragen, den technischen Bericht entgegennehmen und ihn als vollständiges Lagebild verwenden.
   3. Maßnahmen vor Ort beobachten, Verantwortliche befragen, dokumentierte Informationen untersuchen und interne Audits auswerten.
   4. Die Aussage des Personals übernehmen, wegen dessen täglicher Systemarbeit auf ihre Richtigkeit vertrauen und das vollständige Fehlen von Maßnahmen dokumentieren.

7. D1 Grundbegriffe und Definitionen der NIS-2-Richtlinie

   Welcher Teil des Rechtstextes liefert Hintergrund und Auslegungshinweise zum Verständnis der verbindlichen Anforderungen, ohne selbst Anforderungen aufzuerlegen?

   1. Der verfügende Teil, dessen Bestimmungen in Kapitel gegliedert sind.
   2. Die Erwägungsgründe, also die nummerierten Absätze vor dem verfügenden Teil des Rechtstextes.
   3. Die Anhänge, deren Gliederung den Sektoren folgt.
   4. Die Entsprechungstabelle, welche die Bestimmungen von 2016 mit den geltenden Bestimmungen verbindet.

8. D2 Planung der Umsetzung von NIS-2-Anforderungen

   Wer muss die Cybersicherheitsziele eines Compliance-Programms validieren, und dürfen diese Ziele nach Beginn der Arbeiten noch geändert werden?

   1. Die Projektleitung validiert sie; bis zum Abschluss des Programms bleiben sie unverändert.
   2. Die Sicherheitsleitung validiert sie; eine Überprüfung ist nur auf deren Verlangen zulässig.
   3. Das interne Audit validiert sie; nach jedem Auditzyklus werden sie überprüft.
   4. Die oberste Ebene der Organisation validiert sie stets; mit fortschreitender Arbeit können sie überprüft werden.

9. D1 Grundbegriffe und Definitionen der NIS-2-Richtlinie

   Eine bereits nach der Norm für Informationssicherheitsmanagementsysteme zertifizierte Einrichtung fragt, welches Dokument einen Referenzsatz allgemeiner Maßnahmen samt Umsetzungsempfehlungen bereitstellt. Auf welches Dokument ist sie zu verweisen?

   1. ISO/IEC 27002, die innerhalb eines Managementsystems als Grundlage anerkannter bewährter Verfahren anwendbar ist.
   2. ISO/IEC 27005, die zur Erfüllung der Anforderungen an die Risikobehandlung anwendbar ist.
   3. ISO/IEC 27701, die als Erweiterung für das Management datenschutzbezogener Informationen anwendbar ist.
   4. ISO 22301, die zur Vorsorge gegen erhebliche Störungen und zur Wiederherstellung anwendbar ist.

10. D2 Planung der Umsetzung von NIS-2-Anforderungen

    Ein Team bereitet die Kontextanalyse einer Organisation vor und sucht ein einziges Werkzeug, das interne Faktoren von Einflüssen aus dem Umfeld trennt. Welches Werkzeug ist genau dafür aufgebaut?

    1. Porters Fünf-Kräfte-Modell, das Branchenrivalität und Umfelddruck gewichtet.
    2. Die Reifegradskala, die jeden Prozess von nicht vorhanden bis optimiert bewertet.
    3. Die PEST-Analyse, die das politische Umfeld und weitere Marktkräfte der Organisation untersucht.
    4. Die SWOT-Analyse, deren erste beiden Quadranten die Organisation und deren übrige Quadranten das Umfeld beschreiben.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.