Digitale Infrastruktur im Rahmen der NIS2 stärken Mehr Security-Verantwortung für die Chefetage

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Am 17. Oktober 2024 tritt das EU-Gesetz zur NIS2-Richtlinie in Kraft. Ein Blick in den Anforderungskatalog lässt Unternehmer zunächst zurück­schrecken, dabei lassen sich viele Prozesse mit bestehenden Systemen anpassen.

Die EU-Richtlinie zur Netzwerk- und Informationssicherheit, kurz NIS2, dient dem Schutz der kritischen Infrastruktur vor Cyberkriminellen. In Deutschland kommt das Gesetzgebungs­verfahren voraussichtlich im März 2025 zum Abschluss. Ab diesem Zeitpunkt gilt nationales Recht welches in den wesentlichen Punkten mit der NIS2 deckungsgleich ist. Angesichts einer beschleunigten Digitalisierung und des angespannten Weltgeschehens drängt die Notwendigkeit, in Informationssicherheitsmaßnahmen für eine zunehmend digitale Welt zu investieren. Unter dem KRITIS-Gesetz galten die Anforderungen bisher bereits für größere Unternehmen, mit der NIS2 stehen nun auch Mittelständler aus den Bereichen produzierendes Gewerbe und Infrastruktur in der Pflicht, ihre digitalen Ressourcen vor Angriffen zu schützen. Insbesondere die Geschäftsleitung ist dazu angehalten, die vorrausschauenden Risikoanalysen und strengen Berichtspflichten wahrzunehmen, denn sie haftet bei Vernachlässigung. Im Maßnahmenkatalog stoßen Leser auf eine Vielzahl wenig spezifischer Punkte. Im Grunde basiert die Richtlinie auf einem Information Security Management System (ISMS), sodass Betroffene auf bestehende Verfahren zurückgreifen können. Ein erster Blick richtet sich auf die drei häufigsten Schwachstellen in Unternehmen: Technik, Organisation und Personal.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Türen und Tore verschließen

In den vergangenen zwölf Monaten waren 81 Prozent aller Unternehmen von Datenklau und IT-Gerätediebstahl sowie digitaler und analoger Industriespionage oder -sabotage betroffen. Gerade unüberwachte Hard- und Software lassen die Türen für Hackerangriffe weit offen. Regelmäßige Scans der bestehenden Systeme geben frühzeitigen Aufschluss über mögliche Einfallstore. Zuvor festgelegte Maßnahmenpläne ermöglichen eine schnelle Schließung der Sicherheitslücken. Ebenfalls ein wichtiger Bestandteil der Sicherung von sensiblen Daten ist die Hardwareverschlüsselung. Speicherkarten, die bereits beim Beschreiben wichtige Informationen verschlüsseln und erst nach Eingabe eines Passworts preisgeben, garantieren, dass nur Befugte Zugriff auf den Inhalt bekommen.

Geschäftsführer tun gut daran, sparsam mit Zugangsprivilegien umzugehen. Eine Analyse der Organisation verrät, welche Positionen tatsächlich Einblick in bestimmte Datensätze benötigen. Überflüssige Berechtigungen führen oftmals zur unbedachten Weitergabe an Dritte. Nutzen Unternehmen unsichere Kanäle zur Übergabe von wichtigen Dokumenten, laden sie Hacker damit förmlich dazu ein, zuzugreifen. Dagegen helfen klar definierte Richtlinien mit zum Umgang mit Interna sowie ganzheitliche Security-Systeme.

Eine oftmals wenig bedachte Schwachstelle im Unternehmen stellen Mitarbeitende dar. Einfache Passwörter, achtlos abgelegte USB-Sticks oder angelassene Computer, die unbewacht jedem offenstehen, erleichtern Cyberkriminellen ihr Geschäft. Verpflichtende Schulungen zum Umgang mit sensiblen Daten klären sowohl Arbeitnehmer als auch Arbeitgeber über die Risiken auf. Leitende Instanzen achten außerdem auf die Einhaltung festgelegter Sicherheitskonzepte.

In zehn Schritten zur NIS-2-Konformität, Teil 2

NIS-2-Einführung ist keine Zauberei

Verlagerung der Verantwortung

Guter Schutz vor digitalen Bedrohungen gehört in der modernen Welt zu jedem erfolgreichen Geschäftsmodell. Die oben genannten Vorkehrungen schützen Unternehmen vor Diebstahl digitaler Werte, schärfen das Bewusstsein der Belegschaft hinsichtlich der Risiken und eröffnen achtsamen Geschäftsführern die Möglichkeit, Gefahren frühzeitig zu erkennen und einzudämmen. In Verbindung mit NIS2 gilt allerdings auch: Leitungspersönlichkeiten, die der digitalen Infrastruktur keine Beachtung schenken, schaden nicht nur ihren eigenen Geschäften, sondern haften im Ernstfall. Mit der neuen Richtlinie geht ein Paradigmenwechsel einher, der die Beweislast umkehrt und mehr Verantwortung in die Chefetage bringt. Insgesamt zehn Risikomanagementmaßnahmen sowie die Meldepflicht liegen im direkten Verantwortungsbereich der Geschäftsleitung. Im Fall eines Angriffs sind Unternehmer dazu verpflichtet, ihre Unschuld zu beweisen. Demnach unterstützt akribische Dokumentation aller digitalen Prozesse einen reibungsfreien Arbeitsablauf und liefert im Zweifelsfall den Unschuldsbeweis.

Ein großer Teil der für die NIS2-Konformität notwendigen Änderungsprozesse findet bereits Anwendung und lässt sich mit wenigen Schritten an die existierenden Rahmenbedingungen anpassen. Der Zukauf von Wissen rentiert sich auf kurze und lange Sicht, denn die rasche Weiterentwicklung von Hacker-Tools erleichtert Kriminellen Beutezüge in der zunehmend digitalisierten Geschäftswelt. Aus den Erfahrungen anderer zu schöpfen oder strategische Partnerschaften einzugehen, stärkt das eigene Unternehmen im Wettlauf mit der explosiven Weiterentwicklung.

In zehn Schritten zur NIS-2-Konformität, Teil 3

Das kleine Einmaleins von NIS 2

Oberstes Gebot: Dokumentieren

Erste Kontrollen in den wichtigsten Bereichen sollten schnellstmöglich erfolgen, um alle 35 der im NIS2-Katalog gelisteten Maßnahmen effektiv im eigenen Unternehmen einzubinden. Große Relevanz hierbei haben die Berichtspflichten. Die EU beabsichtigt die Vernetzung von Unternehmen zu stärken und ihnen die Möglichkeit zu geben, sich über Sicherheitsvorfälle auszutauschen. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, übernimmt als zentrale Anlaufstelle die Koordinationsfunktion mit dem Ziel, ein Warnsystem für Cybergefahren zu etablieren. Firmen wird so die Früherkennung potenzieller Angriffe erleichtert. Aus diesem Grund bedarf es der Registrierung mit vorgegebenen Informationen bei der Aufsichtsbehörde. Die Registrierungspflicht obliegt der Geschäftsleitung. Bei vorsätzlicher Nichteinhaltung drohen Sanktionierungen.

Ein gut durchdachtes IT-Risikomanagement vermeidet geschäftsschädigende Probleme, noch bevor sie auftreten. Es bewertet Gefahren für Computersysteme sowie Daten und findet Wege zu ihrer Minimierung. IT-Systeme sicher gestalten und wertvolle Informationen schützen, lautet das erklärte Ziel. Dazu gehört die Implementierung eines Information Security Management Systems mit dazugehörigen Dokumenten sowie eines Prozesses mit verschiedenen Rahmenparametern für die Identifizierung, Bewertung und Behandlung von Bedrohungen.

In zehn Schritten zur NIS-2-Konformität, Teil 4

Keine Angst vor NIS 2!

Die Implementierung von standardisierten Verfahren, die Informationssicherheit im Unternehmen analysieren, gehört ebenfalls zu den Pflichten der Führungsebene. Dabei achten Unternehmer besonders auf die Schnelllebigkeit technologischer Neuerungen und etablieren genügend Flexibilität im System, um geänderte Rahmenbedingungen aufgreifen zu können. Darunter fallen die Bereitstellung regelmäßiger Reports an die Unternehmensführung sowie Protokollierung von Verantwortlichkeiten, Reaktionen auf Ereignisse und die Entwicklung von Korrekturmaßnahmen. Das fördert planvolles Handeln im Ernstfall.

Über den Autor: Volker Bentz ist seit 1989 in der Informations­technologie­branche tätig und prägt als Gründer, Geschäftsführer und Unternehmensinhaber seit mehr als zwei Jahrzehnten die pfälzische Erfolgsgeschichte der Brandmauer IT GmbH. Zuletzt entwickelte Volker Bentz gemeinsam mit seinem Spezialisten-Team einen NIS2-Anforderungskatalog und einen Leitfaden, der Firmen in der Umsetzung der EU-weit geltenden Richtlinien unterstützt und die komplexe Gesetzeslage übersichtlich darstellt.

(ID:50200499)