Cybersicherheit im KRITIS-Sektor Die Uhr tickt zur Umsetzung von NIS2

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Systemrelevante Bereiche des öffentlichen Lebens wie Gesundheit, Bildung und Behörden geraten immer mehr ins Visier von kriminellen Akteuren. Um kritische Infrastrukturen besser zu schützen und für mehr Cybersicherheit zu sorgen, hat die Europäische Union nun zum Ende des vergangenen Jahres die neue EU-Richtlinie „Netzwerk- und Informationssysteme 2“ (NIS2) verabschiedet und die Uhr zu deren Umsetzung tickt.

Seit Verabschiedung der NIS2-Richtlinie haben Unternehmen 21 Monate Zeit die Vorgaben von NIS2 zu erfüllen, wenn sie Teil des KRITIS-Sektors sind. Viele Unternehmen gehören zu diesen kritischen Sektoren, sind sich dessen aber kaum bewusst. Kleine und mittlere Betriebe gehören genauso dazu wie Großkonzerne, denn Zulieferer müssen die Vorgaben ebenso erfüllen. Angesichts der realistischen Projektdauer von 24 Monaten bis zur endgültigen Etablierung aller Maßnahmen, sollten sich Verantwortliche jetzt schnellstmöglich mit dem Thema auseinanderzusetzen und überlegen, wie sie neue Sicherheitsstandards umsetzen.

Schutz der kritischen Infrastrukturen in der EU

Generell unterscheidet NIS2 zwischen „Sektoren mit hoher Kritikalität“ und „sonstige kritische Sektoren“. Erstere sind unter anderem Unternehmen aus der Energieversorgung, dem Gesundheitssystem, dem Transportwesen, Banken und Finanzmärkte sowie Unternehmen, die Internetknoten, DNS-Dienste und Cloud-Infrastrukturen anbieten. Diese Organisationen müssen besonders hohe Sicherheitsstandards erfüllen. Unternehmen wie Post- und Kurierdienste, die Abfallwirtschaft, die Chemie-Branche, Ernährung, Industrie, digitale Dienste und Forschung werden etwas weniger streng behandelt, müssen zukünftig aber auch die Einhaltung von NIS2 gewährleisten.

Dazu gehören auch Zulieferer dieser Sektoren. Zum Beispiel müssen auch Caterer, die ein Buffet für die Vorstellung eines Prototyps in der Industrie begleiten, NIS einhalten, wenn das entsprechende Unternehmen zu den kritischen Infrastrukturen zählt. Es ist zu erwarten, dass in Zukunft nahezu alle Unternehmen und Organisationen von den Anforderungen in NIS2 betroffen sind. Es ist bereits jetzt so, dass im Grunde genommen alle Unternehmen mit mehr als 50 Mitarbeitern und 10 Millionen Euro Umsatz in irgendeiner Art und Weise Teil einer Lieferkette sind, in der NIS2 relevant ist. Große Konzerne fordern in vielen Fälle ihre Lieferanten auf, nachzuweisen, wie die IT-Sicherheit umgesetzt wird und ob Richtlinien und Vorgaben aus NIS2 eingehalten werden. Ist das nicht der Fall, droht der Verlust von Kunden und Aufträgen. Kleinere und mittlere Zulieferer sollten daher keine Zeit verstreichen lassen und die Umsetzung vorantreiben.

Der Sinn hinter NIS2: Resilienz

Es zeigt sich schnell, dass NIS2 für sehr viele Unternehmen gilt und die verschiedenen Organisationen schnell handeln sollten, um alle gesetzlichen Richtlinien zu erfüllen. Angesichts der immer stärker steigenden Anzahl an Cyberattacken ist das auch mehr als sinnvoll. Vor allem KI-Technologien sorgen in diesem Umfeld für immer raffiniertere und damit effektivere Angriffe. Der BSI-Lagebericht 2022 legt dazu ganz deutlich dar: „Die Gefährdungslage im Cyber-Raum ist so hoch wie nie“.

Das zeigt: Abwarten ist längst keine Option mehr. Resilienz ist das Stichwort, das für alle Unternehmen und Organisationen immer wichtiger wird. In Zukunft wird die Anzahl an Angriffen weiter steigen und bei Cyberattacken auf ein Unternehmen stellt sich schon lange nicht mehr die Frage, ob eine stattfindet, sondern wann diese erfolgt und ob das Unternehmen gut genug auf einen Cyberangriff vorbereitet ist, um diesen abzuwehren und den Geschäftsbetrieb aufrecht zu erhalten.

Jede Organisation sollte deswegen jetzt ein Modell entwickeln, um die eigene Resilienz sicherzustellen. Im Angriffsfall müssen alle Stellen vorbereitet sein, richtig reagieren und dabei die Geschäftsabläufe möglichst optimal am Laufen halten. Genau dabei will NIS2 durch seine Richtlinien unterstützen.

Sind deutsche Unternehmen bereit?

Die NIS2-Direktive führt in den nächsten Monaten auch zu neuen Gesetzen in Deutschland, zum Beispiel dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) von manchen Experten auch „IT-Sicherheitsgesetz 3.0 “ genannt. Viele Experten erwarten, dass in diesem nationalen Gesetz weitere Konkretisierungen und unter Umständen sogar Verschärfungen erfolgen. Das Umsetzen der Richtlinien erfordert für Unternehmen aber natürlich etwas Vorlauf.

Leider sind sich noch immer nicht alle Unternehmen ihrer Bedeutung bewusst und verfügen über zu wenig Metriken, Audits und oft auch über kein Information Security Management System (ISMS). Diese Bereiche sind in Zukunft bei Einhaltung von NIS2 allerdings unerlässlich. Das kann viel Arbeit und Planung für Unternehmen bedeuten, die bisher noch keinen Schwerpunkt auf diese wichtigen Bereiche gelegt haben. Generell können sich Organisationen bereits jetzt an vorhandenen Standards orientieren. Beispiele dafür sind der IT-Grundschutz des BSI, ISO 27002:2022 mit Maßnahmen und Controls, sektorbasierte ISO270X (Telekommunikation, Health Care, Energie), technologiebasierte ISO270X (Cloud, Netzwerk, Storage, IoT) und ISO/IEC 27035 (Incident Management).

Wie können sich Unternehmen vorbereiten? Pläne sind wichtig!

Um sich auf die Herausforderungen von NIS2 und weiteren Cybersicherheitsgesetzen optimal vorzubereiten, sollten einige Punkte geklärt sein, um Sicherheit in der Infrastruktur zu erreichen. Leitplanken für den Schutz der Geschäftsmodelle des eigenen Unternehmens benötigen Fakten, die im Vorfeld klar sein müssen:

• Assetmanagement: Welche Assets gibt es im Unternehmen? Wer sind die Besitzer? Wo sind die Schwachstellen und Risiken dafür? Nur durch dieses Wissen lassen sich die entsprechenden Systeme auch optimal schützen.

• Daten- und Zugangsmanagement: Wie sind die Daten gespeichert und wer arbeitet damit? Gibt es Konzepte für neue und ausscheidende Mitarbeiter, um deren Zugriffe zu steuern? Sind Administrator-Rechte reguliert und eingeschränkt? Grundsätzlich gilt: Mitarbeiter sollen nur auf notwendige Daten Zugriff haben, der Rest gehört ins Archiv. Auch sollten Unternehmen sich bewusst sein, dass der komplette Wechsel in die Cloud nicht immer sinnvoll ist.

• Reaktion und Zusammenarbeit mit Partnern im Ernstfall: Sind Arbeitsabläufe dokumentiert, erstellt und getestet, die bei Cyberattacken ablaufen sollen? Werden Sicherheitsvorfälle sorgfältig analysiert und bestehen Konzepte für Angriffe? Unternehmen sollten sich auch damit beschäftigen, wie gut sie in Sachen Sicherheitspartnerschaften aufgestellt sind. Professionelle Hilfe kann im Notfall entscheidend sein. Vielleicht besteht auch die Möglichkeit mit anderen Unternehmen zusammenzuarbeiten, um Anforderungen gemeinsam zu erfüllen?

Empfehlungen für strategisches Vorgehen

Der Reifegrad der Security im Unternehmen sollte in der aktuellen Situation schnellstmöglich erfasst werden. Sicherheitsvorkehrungen und Reaktionsfähigkeiten müssen planbar sein. Das Ziel ist, dass die eigene Organisation nachweislich und wirksam gegen Angriffe geschützt ist und aus bereits erfolgten Angriffen lernt. Nur so kann der Geschäftsbetrieb geschützt und mögliche Schäden minimiert werden.

Im Rahmen einer Umsetzung sollten deswegen zunächst die organisatorischen Strukturen etabliert werden, die eine Zusammenarbeit mit allen Geschäftsbereichen ermöglicht. Wichtig sind in diesem Zusammenhang Besetzungen von relevanten Positionen wie den Chief Information Security Officer (CISO) oder einen IT-Sicherheitsbeauftragten (ITSIBE). Dadurch erreichen Unternehmen eine fortlaufende Optimierung der Cyber-Resilienz, die Schwerpunkt von NIS2 ist. Verantwortliche im Unternehmen müssen regelmäßig Berichte und Entscheidungsgrundlagen erhalten, um die richtigen strategischen Entscheidungen treffen zu können.

Aber Achtung! Ein großer Teil von Projekten wird nicht im Rahmen der zu Beginn festgelegten Zeitvorgaben und Budgets abgeschlossen. Das gilt es im Bereich der IT-Sicherheit durch NIS2 zu verhindern. Im Rahmen der Vorgehensweisen spielen dabei vor allem drei Fragen eine wesentliche Rolle:

• Wie ist die Verbindung zwischen operativen und der strategischen Ebene sichergestellt?

• Wie sind die Ziele genau definiert?

• Welche Ergebnisse sollen geliefert werden?

• Wie wird der Erfolg gemessen?

Können diese Fragen beantwortet werden, ist die Wahrscheinlichkeit die Umsetzung von NIS2 im Unternehmen zu erreichen sehr hoch. Vorbereitung und gute Pläne sind auch in diesem Fall eine wichtige Grundlage für ein erfolgreiches Projekt.

Über den Autor: Lars Linden ist Director Sales Large Enterprise bei Serviceware SE.

(ID:49617637)