Neue EU-Sicherheitsrichtlinie für KRITIS Der Countdown für NIS2 läuft!

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Hornetsecurity GmbH

Mit der neuen Richtlinie NIS2 reagiert die EU nun erneut und verschärft die Anforderungen an die Cybersicherheit Kritischer Infrastrukturen (KRITIS) – und schließt deutlich mehr Sektoren als bei NIS1 ein. Dr. Yvonne Bernard, CTO bei Hornetsecurity, erklärt, warum KRITIS-Betriebe jetzt damit beginnen sollten, die erforderlichen Maßnahmen der NIS2 umzusetzen.

Die Gefahr von Cyberangriffen wächst seit Jahren stetig an. Bereits 2016 reagierte die Europäische Kommission auf die Bedrohungslage und die fortschreitende Digitalisierung und verabschiedete die NIS1-Richtlinie (Network and Information Security). Danach wurden KRITIS-Betreiber, wie beispielsweise Betriebe der Strom- und Wasserversorgung, die Finanzbranche sowie das Gesundheitswesen, aber auch Anbieter von digitalen Diensten innerhalb der EU dazu verpflichtet, geeignete technische, operative und organisatorische Sicherheitsmaßnahmen nach dem neuesten Stand der Technik zu implementieren, um sich angemessen gegen Cyberattacken zu schützen. Mit der neuen Richtlinie NIS2 reagiert die EU nun erneut und verschärft die Anforderungen an die Cybersicherheit Kritischer Infrastrukturen (KRITIS) – und schließt deutlich mehr Sektoren als bei NIS1 ein.

NIS-Upgrade vonnöten

In Deutschland war die Ausgangslage zur Umsetzung von EU-NIS1 denkbar gut, waren doch viele Anforderungen mit dem 2015 in Kraft getretenen nationalen IT-Sicherheitsgesetz 1.0 bereits erfüllt. Mit dem IT-Sicherheitsgesetz 2.0 von 2021 gingen Bundestag und Bundesrat vor zwei Jahren noch einen Schritt weiter, indem sie den Geltungsbereich und die Pflichten für die betroffenen Unternehmen ausdehnten. Außerdem erhielt das Bundesamt für Sicherheit in der Informationstechnik (BSI) mehr Aufgaben und Befugnisse. Seine Rolle als Cyber-Sicherheitsbehörde des Bundes wurde deutlich gestärkt.

Dieser Schritt war auch notwendig – schließlich konnte die Cyber-Bedrohungslage trotz NIS1 und den IT-Sicherheitsgesetzen nicht ausreichend eingedämmt werden, sondern stieg weiter an. Daher musste nun auch die EU ein Upgrade der eigenen Informationssicherheitsrichtlinien vornehmen. Nicht nur wurde die NIS1-Richtlinie in den Mitgliedstaaten nicht einheitlich umgesetzt, die Definition von KRITIS-Betrieben wich zudem in den einzelnen Ländern zu stark voneinander ab. Das hatte zur Folge, dass das Cybersicherheitsniveau in der EU als zu niedrig eingestuft wurde, weshalb zu Beginn des Jahres 2023 die neue NIS2-Richtlinie in Kraft trat, die bis Oktober 2024 in nationales Recht umzusetzen ist.

Mehr Unternehmen, höhere Anforderungen

Zu den wesentlichen Neuerungen zählt, dass deutlich mehr Sektoren und damit auch mehr Unternehmen in den Anwendungsbereich fallen. So kommen zu den bisherigen „Sektoren mit hoher Kritikalität“ weitere „kritische Sektoren“ hinzu, darunter Post- und Kurierdienste, die Abfallwirtschaft und Lebensmittelproduzenten. Außerdem wird der Adressatenkreis auf Unternehmen erweitert, die mindestens 50 Mitarbeiter beschäftigen und einen Jahresumsatz von über 10 Millionen Euro verzeichnen. Damit wurde der Geltungsbereich von NIS2 von bislang großen Unternehmen auch auf KMU ausgedehnt. Selbst wenn die Unternehmen und Einrichtungen in Deutschland mit der Umsetzung der IT-Sicherheitsgesetze 1.0 und 2.0 grundsätzlich bereits gut aufgestellt sind, ist oft noch manche wichtige Weiche bis zur NIS2-Reife zu stellen. Hier eine kleine Auswahl davon:

• Strengere Meldepflichten für Sicherheitsvorfälle: Um die Reaktionszeit gegenüber Cyberangriffen zu senken, müssen diese binnen 24 Stunden nach Kenntnisnahme bei der zuständigen nationalen Behörde angezeigt werden. Waren bislang nur solche Vorfälle zu erfassen, die die Sicherheit von Netz- und Informationssystemen beeinträchtigten, müssen künftig auch bereits Fälle zur Anzeige gebracht werden, in denen die Verfügbarkeit von Daten oder Diensten eingeschränkt ist. Spätestens einen Monat nach der ersten Meldung muss die betroffene Einrichtung bereits einen Abschlussbericht zum aktuellen Fall vorlegen können.

• Sicherung der Lieferketten: Ohne wirksamen Schutz der gesamten Cyber-Lieferketten nützt auch die beste Absicherung von Einzelunternehmen wenig. Daher fordert die EU KRITIS-Betriebe im Rahmen von NIS2 auf, Sicherheitsanforderungen für ihre Dienstleister und Lieferanten zu definieren. Zudem müssen die Betriebe deren Einhaltung durch Service Level Agreements (SLAs) oder periodische Prüfmechanismen gewährleisten. Besonderes Augenmerk sollte dabei auf den Schnittstellen zu den Partnern sowie auf Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen liegen.

• Verstärktes Risikomanagement: NIS2 verschärft die Anforderungen an die technischen, operativen und organisatorischen Mindestmaßnahmen von KRITIS-Betreibern. Dazu zählen die Implementierung von Risikoanalyse- und Sicherheitskonzepten für IT-Systeme, die Bewältigung von Sicherheitsvorfällen, ein Backup- und Krisenmanagement sowie Verfahren zur Bewertung der Wirksamkeit der eigenen Risikomanagement-Maßnahmen. Zu den zentralen Praktiken sollten unter anderem Zero-Trust-Prinzipien, regelmäßige Software-Updates und eine angemessene Netzwerksegmentierung gehören. Zudem sind ausreichendes Identitäts- und Zugriffsmanagement, Kryptografie und Verschlüsselung sowie Multi-Faktor-Authentifizierung (MFA) für eine nachhaltige Sicherheitsstrategie im Sinne der NIS2-Richtlinie essenziell. Gleichzeitig sollten die Mitarbeiter für die steigenden Cyberbedrohungen sensibilisiert und in der Abwehr geschult werden. Denn mittlerweile haben sich vor allem Social-Engineering-Techniken wie (Spear)-Phishing zur beliebtesten Angriffsart von Cyberkriminellen entwickelt. So fand der Cyber Security Report 2023 von Hornetsecurity heraus, dass bereits über 40 Prozent des gesamten E-Mail-Verkehrs eine potenzielle Bedrohung darstellen. Um diesen Risiken zu begegnen, empfehlen sich Security-Awareness-Maßnahmen, die Mitarbeiter dauerhaft zu einem vorsichtigen Umgang mit eingehenden E-Mails motivieren. Ideal ist eine Kombination aus klassischen Lernangeboten, wie E-Learnings, mit laufend durchgeführten und praxisnahen Spear-Phishing-Simulationen, deren Schwierigkeitsgrad automatisch an das aktuelle Sicherheitsverhalten jedes einzelnen Mitarbeiters angepasst wird.

• Cybersecurity als Chefsache: Die neue NIS2-Richtlinie erklärt IT-Sicherheit von KRITIS-Betrieben zur Chefsache und zum Compliance-Thema. Das bedeutet auch, dass die Leitungsorgane der Unternehmen und Organisationen die Risikomanagement-Maßnahmen genehmigen und deren Umsetzung überwachen müssen. Kommt es zu Verstößen gegen die nationalen Umsetzungsvorschriften, können die verantwortlichen Personen dafür persönlich verantwortlich gemacht und mit strafrechtlichen Sanktionen belegt werden. Darüber werden die Sanktionen und Strafen für Unternehmen künftig erheblich verschärft. Sie können bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes betragen. Idealerweise lassen sich jedoch sowohl die technischen Maßnahmen zur Absicherung wichtiger Unternehmensdaten und Kommunikationskanäle als auch die Sensibilisierung und Schulung der Mitarbeiter weitestgehend automatisieren. Mit einer umfassenden und modernen Plattform, die unverzichtbare Cybersecurity-Services aus einer Hand liefert und direkt in die Microsoft Office-Plattform integriert wird, können Unternehmen zudem die Komplexität reduzieren. So stellen die verantwortlichen Personen sicher, dass sie ihren Aufsichtsplichten nachkommen und gleichzeitig die Geschäftskontinuität im Notfall nicht durch ineffiziente Sicherheitsprozesse beeinträchtigt wird.

Es ist an der Zeit zu handeln

Cyber-Attacken werden auch künftig zunehmen und vermehrt zu Notfallsituationen führen, da Cyberkriminelle mit immer moderneren Werkzeugen und ausgeklügelten Methoden auf Unternehmen zielen – Stichwort generative KI. Ein umfassendes Sicherheitskonzept sollte daher über eine reaktive Verteidigung hinaus gehen und den gesamten Sicherheitslebenszyklus abdecken: von der Prävention über den aktiven Schutz bis zur Gewährleistung oder – im Falle eines Falles – zur Wiederherstellung des Geschäftsbetriebs und der Daten. Im Zuge der von der EU verabschiedeten NIS2-Richtlinie haben die Mitgliedstaaten nun bis Oktober 2024 Zeit, die Vorgaben in nationales Recht zu überführen – und die jeweiligen KRITIS-Betriebe, dieses umzusetzen. Dieser Schritt wird in Deutschland voraussichtlich mit der Verabschiedung eines neuen IT-Sicherheitsgesetzes – des IT-SiG 3.0 – vollzogen. In jedem Fall besteht für die betroffenen Einrichtungen dringender Handlungsbedarf, gerade wenn sie bislang nicht zum Adressatenkreis der NIS-Richtlinie gehörten. NIS2-pflichtige Unternehmen sind daher gut beraten, rechtzeitig mit der Umsetzung der erforderlichen Maßnahmen zu beginnen. Denn schließlich ist Cybersicherheit keine lästige gesetzliche Auflage, sondern liegt im ureigensten Interesse der betroffenen Unternehmen und Organisationen.

Über die Autorin: Dr. Yvonne Bernard ist CTO bei Hornetsecurity.

(ID:49621218)