Mobile-Menu

Unternehmen brauchen eine Sicherheitsstrategie NIS2 macht Cybersecurity zur Pflicht

Ein Gastbeitrag von Daniel Graßer 4 min Lesedauer

Anbieter zum Thema

plusserver gmbh
sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Tägliche Angriffe auf Unternehmen zeigen die Notwendigkeit einer wirksamen Cybersecurity-Strategie. Mit der NIS2-Richtlinie fordert die EU von Unternehmen in kritischen Branchen wirkungsvolle Security-Maß­nahmen und macht Cybersicherheit somit für viele Unternehmen zur Pflicht.

Auch wenn das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie noch immer auf sich warten lässt: Betroffene Unternehmen sollten dennoch keine Zeit verlieren und sich eingehend mit den Vorgaben der EU-Richtlinie auseinandersetzen.(Bild: noah9000 - stock.adobe.com)
Auch wenn das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie noch immer auf sich warten lässt: Betroffene Unternehmen sollten dennoch keine Zeit verlieren und sich eingehend mit den Vorgaben der EU-Richtlinie auseinandersetzen.
(Bild: noah9000 - stock.adobe.com)

Unternehmen sind beliebte Angriffsziele von Cyberkriminellen. Zwei Beispiele: Sicherheitssoftware blockiert täglich Angriffe auf rund ein Drittel aller Industriesteuerungen. Da es sich hier nur um erkannte Angriffe handelt, dürfte die Dunkelziffer recht hoch sein. Laut Erkenntnissen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind etwa zwölf Prozent aller frei im Internet erreichbaren Exchange-Server veraltet und werden von Microsoft nicht mehr aktualisiert – ein offenes Scheunentor für Hacker.

Unternehmen benötigen eine wirksame Sicherheitsstrategie

Da sich die Angriffe in erster Linie gegen Unternehmen richten, benötigt jedes eine effektive Cybersicherheitsstrategie. Sicherheitsexperten stellen darüber hinaus eine Häufung von Angriffen auf die sogenannten KRITIS-Unternehmen fest. Sie gehören zu den kritischen Infrastrukturen und erbringen wichtige Dienstleistungen für die Versorgung der Allgemeinheit. Ihr Ausfall bewirkt unter Umständen erhebliche Versorgungsengpässe und gefährdet die öffentliche Sicherheit.

Deshalb gelten für sie besondere Kriterien für die zuverlässige Abwehr von Cyber-Angriffen. Diese sind bisher im BSI-Gesetz festgelegt und betreffen rund 1.700 Unternehmen. Der Kreis dieser Unternehmen wird sich voraussichtlich im Herbst 2024 auf etwa 29.000 Unternehmen erweitern, da dann die NIS2-Richtlinie (Network and Information Security Directive 2) der Europäischen Union auf nationaler Ebene in Kraft treten soll. Sie definiert Unternehmen, die zur kritischen Infrastruktur gehören und für die deshalb besonders hohe Cybersicherheitsstandards gelten.

Damit verbunden ist eine relativ komplexe Definition der betroffenen Unternehmen. Dazu gehört unter anderem die Unterscheidung zwischen wesentlichen und wichtigen Unternehmen sowie Unternehmen mit kritischen Anlagen. Die Richtlinie definiert in zwei Anhängen die genaue Branchenzugehörigkeit. Von besonderer Bedeutung sind Unternehmen aus den Bereichen Energie, Versorgung, Transport, Banken und Finanzen, Gesundheit sowie digitale Dienstleistungen.

Das fordert die Richtlinie von Unternehmen

Generell haben Unternehmen und öffentliche Verwaltungen die Pflicht, angemessene technische und organisatorische Maßnahmen zur Cybersicherheit zu treffen, und zwar nach dem Stand der Technik. Die Unternehmen müssen daher ihre Sicherheitsmaßnahmen regelmäßig überprüfen und den Anforderungen anpassen.

Ein zentraler Punkt der NIS2-Richtlinie ist die Meldepflicht: Der Gesetzgeber verlangt von Unternehmen, schwerwiegende Vorfälle innerhalb von 72 Stunden an die nationalen Behörden zu melden. So können sie schnell auf Bedrohungen reagieren und deren Auswirkungen so gering wie möglich halten.

Unter einem erheblichen Vorfall versteht die EU-Kommission dabei alles, was den Betrieb oder die Nutzung eines IT-Systems stark beeinträchtigt und zu erheblichen materiellen oder immateriellen Schäden führt. Die Umsetzung der Richtlinie NIS2 erfordert von den betroffenen Unternehmen eine sorgfältige Planung. Die Verantwortung dafür liegt bei der Geschäftsleitung.

Informationssicherheitsmanagement einführen

Großunternehmen sollten sich mit der Implementierung eines Information Security Management Systems (ISMS) nach ISO 27001 und den entsprechenden Nachfolgern beschäftigen. Kleinere Unternehmen können auf den Grundschutzkatalog des BSI zurückgreifen, der mit dem ISO-Standard kompatibel ist. Darüber hinaus gibt es mittlerweile eine Vielzahl von branchenspezifischen Sicherheitsnormen (B3S). Sie definieren die Sicherheitsmaßnahmen für Unternehmen und schaffen Rechtssicherheit.

Zu den grundlegenden Vorkehrungen gehört die Einführung eines Incident Managements, das sich mit der Vorbeugung, Erkennung und Bewältigung von Security-Vorfällen befasst. Alle Systeme sollten durch ein Identity- & Access Management geschützt werden, das den Einsatz von Multi-Faktor-Authentifizierung und sicherem Single-Sign-On einschließt. Die Kommunikation erfolgt dabei mittels Transportverschlüsselung.

Ein wesentliches Element für Unternehmen der Kritischen Infrastruktur ist ein Business Continuity Management, das nicht nur Backups und Disaster Recovery vorsieht, sondern auch Vorkehrungen für ein Krisenmanagement. Denn wenn ein schwerwiegender Sicherheitsvorfall eintritt, muss ein Notfallplan greifen, der Datenverluste vermeidet. Dazu gehört auch die Vorbereitung der Notfallkommunikation, also zum Beispiel gesicherte und von der übrigen Infrastruktur getrennte Systeme, die auch bei einem schweren Cyberangriff funktionieren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die Richtlinie nicht allein umsetzen

Viele Unternehmen werden den Aufwand für die Umsetzung der NIS2-Richtlinie nicht alleine stemmen können. Deshalb ist es sinnvoll, externe Berater und Lösungsanbieter einzubinden. So kann auch sichergestellt werden, dass alle Anforderungen erfüllt werden. Dienste wie Penetrationstests, Security Operations Center (SOC) oder Advanced Threat Protection helfen, die Abwehr zu verbessern sowie potenzielle Schwachstellen schneller zu identifizieren und zu schließen.

Ein SOC geht über die rein technischen Maßnahmen von NIS2 hinaus. Security-Experten helfen im Notfall, sicherheitsrelevante Ereignisse zu bewältigen. Ein SOC überwacht zentral Hard- und Softwarekomponenten sowie Prozesse. Es analysiert und bewertet Sicherheitsrisiken, schafft damit Transparenz und erkennt Ransomware oder Malware – rund um die Uhr.

Für viele Unternehmen ist der Aufbau und Betrieb eines eigenen SOC mit den vorhandenen Ressourcen jedoch nicht möglich. Daher ist „SOC as a Service“ eine sinnvolle Dienstleistung von Cloud-Providern und von Anbietern von Security Managed Services. Dabei übernimmt der Provider das Monitoring der Infrastruktur im Rahmen eines Security-as-a-Service-Angebots. Dazu setzt er ein eigenes Team und eine Plattform für SIEM (Security Information and Event Management) sowie z.B. EDR (Endpoint Detection & Response) ein. Diese Form der Angriffserkennung schützt Unternehmen und unterstützt die Einhaltung der NIS2-Richtlinie.

Über den Autor: Daniel Graßer ist Senior Director of Security Services bei plusserver.

(ID:50035816)

Weiterführende Inhalte