NIS2-Deadline naht Software-Lieferketten im Visier: Was IT-Experten jetzt wissen müssen

Anbieter zum Thema

BlackBerry Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Nach dem Inkrafttreten der zweiten Richtlinie zur Network and Information Security (NIS 2) der Europäischen Union (EU) am 17. Oktober 2024 sehen sich viele Unternehmen mit neuen und verschärften Cyber­sicherheits­anforderungen konfrontiert.

Sobald das NIS2-Umsetzungsgesetz durch Bundestag und Bundesrat abgesegnet ist, betrifft die NIS-2-Richtlinie in Deutschland schätzungsweise 25.000 bis 40.000 Unternehmen. Sie wohl spätestens ab März/April 2025 vor der großen Aufgabe, umfassende Maßnahmen im Bereich des Risikomanagements zu ergreifen – von der Entwicklung ganzheitlicher Konzepte für die Risikoanalyse und die IT-Sicherheit über die Bewältigung von Sicherheitsvorfällen bis zur Aufrechterhaltung des Betriebs. Die genauen Vorgaben variieren je nach Größe der Unternehmen, nicht alle müssen das Maximum an Sicherheit gewährleisten.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Aktueller Stand der Umsetzung

Einige Unternehmen in Deutschland kämpfen noch mit den neuen Bestimmungen. Das zeigt eine aktuelle Studie von BlackBerry, die auf einer Umfrage von Coleman Parkes Research unter hundert deutschen IT- und Cybersecurity-Entscheidern basiert. Laut eigenen Angaben fallen 64 Prozent der Befragten unter die Anforderungen der NIS-2-Richtlinie. In dieser Gruppe gehen 54 Prozent fest davon aus, die Vorgaben zum Stichtag einzuhalten. Doch 33 Prozent sind nur etwas zuversichtlich und 13 Prozent nicht sehr zuversichtlich.

Dieser Faktor erschwert die Compliance sehr

Als ein großes Problem identifiziert die Studie die mangelnde Transparenz in der Software-Lieferkette von Unternehmen. Sie erschwert die Einhaltung der strengen Meldepflichten von Sicherheitsvorfällen und damit die Compliance mit der NIS-2-Richtlinie. Wenn Unternehmen einen erheblichen Sicherheitsvorfall entdecken, müssen sie innerhalb von 24 Stunden das Bundesamt für Sicherheit in der Informationstechnik (BSI) informieren. Von erfolgreichen Cyberangriffen in der eigenen Software-Lieferkette erfahren sie aber häufig erst nach einiger Zeit. Das hängt mit den Erwartungen an die Partner und Anbieter zusammen. In den ersten vier Stunden nach erfolgreichen Cyberangriffen benachrichtigt zu werden, fordern nur 32 Prozent der befragten Unternehmen. Die Mehrheit (68 Prozent) verlangt die Meldung innerhalb eines Tages oder sogar erst später. Unternehmen mit dieser Haltung laufen Gefahr, die Öffentlichkeit nicht fristgerecht über einen erheblichen Sicherheitsvorfall in Kenntnis setzen zu können. Sie riskieren demnach eine Verletzung der Compliance-Anforderungen und in der Folge hohe Strafen.

In zehn Schritten zur NIS-2-Konformität, Teil 2

NIS-2-Einführung ist keine Zauberei

Optimierungspotenzial sieht die Studie auch bei der Kommunikation mit den Nutzern, die in der Software-Lieferkette der befragten Unternehmen folgen, die selbst Software erstellen. Laut den Ergebnissen informieren 39 Prozent von ihnen die Nutzer nicht oder nur gelegentlich über Schwachstellen in ihrer Software. Als Grund dafür nennen 37 Prozent dieser Gruppe einen Mangel an Personal. Weitere 37 Prozent versuchen, dadurch Rechtsstreitigkeiten zu vermeiden. Bei 34 Prozent gibt das Management den offenen Umgang mit den Schwachstellen nicht als Priorität vor. Zeitmangel beziehungsweise zu viele andere Aufgaben halten 26 Prozent von dem Austausch ab. Fast ein Viertel (23 Prozent) befürchtet zudem, der Unternehmensreputation zu schaden. Das Stillschweigen führt potenziell aber auch zu Problemen. Unternehmen müssen das neben der Umsetzung der NIS-2-Richtlinie berücksichtigen und entsprechend handeln.

Software-Lieferkette als Schwachstelle der IT-Sicherheit

Cyberkriminelle nehmen die Software-Lieferkette von Unternehmen immer wieder ins Visier. Der Grund: Ihre große Angriffsfläche macht sie zu einer Schwachstelle. Aus der Studie geht hervor, wie momentan die Bedrohungslage in Deutschland aussieht. In den zwölf Monaten vor der Umfrage haben 81 Prozent der Teilnehmer eine Schwachstelle oder einen Cyberangriff in ihrer Software-Lieferkette festgestellt. Mit Blick auf die Einhaltung der NIS-2-Richtlinie kommt es daher auf bessere Sicherheitsmaßnahmen an. Häufig erscheint die Software-Lieferkette wie ein blinder Fleck in der Cybersicherheitsstrategie von Unternehmen. Vielen fehlt ein genauer Überblick darüber, welche Partner und Anbieter zum eigenen digitalen Ökosystem gehören. Von den Befragten der Studie wurden 79 Prozent im letzten Jahr auf ein Mitglied ihrer Software-Lieferkette aufmerksam gemacht, das ihnen zuvor unbekannt war beziehungsweise dessen Sicherheitsmaßnahmen sie bis dahin nicht überwacht haben.

In zehn Schritten zur NIS-2-Konformität, Teil 3

Das kleine Einmaleins von NIS 2

Auf jeden Fall eine SBOM einführen

Zum Schutz der eigenen Software-Lieferkette setzen Unternehmen auf eine Reihe von Maßnahmen, die sie aufseiten der Partner und Anbieter vorgeben. Die Strategie der Umfrageteilnehmer umfasst vor allem die Verschlüsselung von Daten (54 Prozent), Security-Awareness-Training für Mitarbeiter (39 Prozent) und eine Vulnerability Disclosure Policy (39 Prozent). Dieser Leitfaden erklärt, wie ethische Hacker entdeckte Schwachstellen in Software und Systemen melden sollen.

Weitere 34 Prozent fragen beim Einkauf von Produkten nach einer Software Bill of Materials (SBOM). Im Idealfall steigt diese Zahl in Zukunft noch, da es Unternehmen mit der Liste gelingt, Cyberangriffen effektiv vorzubeugen. Sie führt übersichtlich auf, aus welchen Bestandteilen eine Software besteht. Das hilft enorm dabei, Schwachstellen zu identifizieren und zu beseitigen. Insgesamt wird die Transparenz über die Software-Lieferkette erhöht.

Es gibt moderne Lösungen, die eine SBOM mit hoher Zuverlässigkeit automatisch erstellen. Sie dienen oft auch dazu, Software auf handwerkliche Fehler und Schwachstellen zu untersuchen. Da die Lösungen alles genau analysieren, vermeiden sie False Positives, was viel Arbeit und Zeit spart. Lösungen dieser Art bieten Unternehmen die Chance, ihre IT-Sicherheit ohne großes Fachwissen und trotz Fachkräftemangel wirksam zu verbessern.

In zehn Schritten zur NIS-2-Konformität, Teil 4

Keine Angst vor NIS 2!

Vorbereitung rechtzeitig starten

In Bezug auf die Compliance mit der NIS-2-Richtlinie zeigt die Studie in einigen deutschen Unternehmen noch einen großen Handlungsbedarf auf. Außerdem bleibt bis zum März 2025 nicht mehr viel Zeit. Deshalb müssen Unternehmen jetzt die richtigen Strategien und Lösungen wählen, um rechtzeitig alle Bestimmungen zu erfüllen. Bei Bedarf stehen dafür auch passende Ansprechpartner zur Verfügung.

Über den Autor: Ulf Baltin ist Managing Director DACH bei BlackBerry.

(ID:50201240)