NIS 2 – und jetzt? Sicherheit ohne ausreichend Budget und Ressourcen

Anbieter zum Thema

i-KOM Strategische Kommunikation

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

In ein paar Wochen wird es ernst für Unternehmen, die es mit dem Schutz vor Cyberattacken bisher nicht so genau genommen haben. NIS 2 und Folgeregularien zwingen ab Oktober 2024 Firmen dauerhaft ein bestimmtes Sicherheits-Niveau einzuhalten. Aber es gibt weder ausreichend Budget noch Ressourcen für die IT-Sicherheit.

Die Uhr tickt: Bis zum 17. Oktober 2024 muss der deutsche Gesetzgeber die europäischen Cybersicherheits- und Resilienzrichtlinien NIS 2 (Network and Information Security) und CER (Critical Entities Resilience Directive) in nationales Recht verwandelt haben, damit Firmen ihre künftigen Sicherheitsstandards daran ausrichten können. Hier geht es um umfassende Anforderungen zu Risikomanagement und Cybersicherheit. Und das ist bitter nötig. Denn laut jüngster Angaben des Netzwerkausrüsters Cisco steht es mit dem Schutz vor Cyberattacken in den europäischen Betrieben nicht gerade zum Besten. Bei mehr als 80 Prozent bestehe absoluter Handlungsbedarf, so die Studienverfasser. Aber wie soll das bewerkstelligt werden, wenn Budgets und Personal klamm sind?

Deutsches Gesetz zur NIS2-Richtlinie verabschiedet

Das Warten auf NIS 2 hat (fast) ein Ende

Security-Kräfte brauchen Augenhöhe mit der Situation

Ein paar Unternehmen haben dieses Dilemma bereits im vergangenen Jahr kommen sehen, und ihre Security-Teams entsprechend ausgebaut. Was allerdings laut einer weltweiten Umfrage unter 1.000 Chief Information Security Officers des Personaldienstleisters Hays zur Folge hatte, dass dieselben Entscheider nun kein Budget mehr haben, um in ausreichendem Maße auf die neuen Anforderungen einzugehen. Ihnen fehlt schlicht das Spezialwissen. Laut Angaben des Hays Fachkräfte-Index schreiben sie aber dennoch unbeirrt verantwortungsvolle Posten wie den „Senior Security-Spezialist“ aus. Und das, obwohl viele überhaupt nicht damit rechnen, hier kurzfristig erfahrene Experten einstellen zu können. „Unternehmen brauchen jetzt vor allem Personen, die auf Augenhöhe mit der Situation agieren können,“ meint Marc-David Rompf, Partner beim Münchner Headhunter DLA Digital Leaders Advisory.

Um es vorwegzunehmen: Wer glaubt, mit der Suche nach einem erfahrenen Cyber-Security-Experten seien alle Anforderungen erfüllt, ist auf dem Holzweg. Gesetzliche Vorgaben betreffen mehrere Fachgebiete und Unternehmensdisziplinen wie Risiko- und Compliance-Management, technische IT-Infrastruktur (Netzwerkbetrieb, Betriebssysteme, Penetrationstests oder Cloud-Anwendungen) sowie ethische Aspekte. Ein einzelner Experte könnte bestenfalls wichtige Teilqualifikationen abdecken. Hinzu kommen Kenntnisse über aktuelle Bedrohungsmethoden und Angriffsmechanismen. Entscheidend ist: Eine erfahrene Führungskraft für die Organisationssicherheit zu haben, die nicht nur den erforderlichen fachlichen Hintergrund mitbringt, sondern auch über ausgeprägte analytische und kommunikative Fähigkeiten verfügt. Diese Person sollte federführend den Informations- und Wissensaustausch mit den betroffenen Fachbereichen und dem Management koordinieren.

Security-Insider Podcast – Folge 88

Fachkräfte aus eigener Produktion

Risikoanalyse im Mixed Team

Insgesamt geht es zu Beginn darum, überhaupt den Umfang des Risikos im Falle einer Attacke für das eigene Geschäft realistisch abschätzen zu können. Um daraus die richtigen Handlungen abzuleiten. Dazu gehören Fragen wie: Wo gibt es leichte Einfalltore für Cyberkriminelle? Wo können sensible Daten möglicherweise leicht abgegriffen werden? Wie hält das bestehende Betriebssystem stand? Oder ist es zu alt und muss dringend nachgerüstet werden? Betroffene Betriebe sind daher gut beraten, bereits bei der eigentlichen Risikoanalyse neben internen Mitarbeitenden auch externe Kräfte hinzuzuziehen. Zum einen, weil die Mitarbeiter die Schwächen der eigenen Systeme meist sehr gut kennen. Zum anderen können Externe besser eine neutrale Bewertung der Situation abgeben, da sie unbefangen sind. Dass Externe schon früh bei sensiblen Themen wie der Risikobewertung mit an den Tisch kommen, bestätigt auch Alexander Raschke, Vorstand des Personaldienstleisters für IT-Experten, Etengo. „Bisher konzentrieren sich unsere Anfragen auf Projektleitungstätigkeiten oder Beratung bei der initialen ISMS-Einführung. Dabei erkennen wir das Muster, dass gerade vermehrt interne Leitungsgremien gebildet werden, die über das Staffing der Projekte mit internen und externen Experten entscheiden.“

Meist wird in dieser Konstellation schon die Entscheidung darüber getroffen, was inhouse behalten werden soll und welche Services man besser auslagert. Voraussetzung dafür ist allerdings ein möglichst realistisches Verständnis von der eigentlichen Risikosituation des Unternehmens. Brancheninsider empfehlen daher, möglichst pragmatisch vorzugehen, und mit Simulationstests zu starten. Dabei wird getestet, was passiert, wenn Hauptsysteme mehrere Stunden oder gar Tage komplett ausfallen. Die Ergebnisse fließen dann in regelmäßig zu testende IT-Notfallpläne ein, um im Ernstfall schnell reagieren zu können. Diese rein technische Maßnahme können ohne Weiteres externe Spezialisten oder Beratungen übernehmen. Anders sieht es allerdings aus, wenn es darum geht im Falle eines Angriffs das Vertrauen von Mitarbeitern oder Kunden zu wahren. Hier geht es um die Reputation des Unternehmens, die einer internen Steuerung bedarf.

Fachkräftemangel in der IT-Security – Teil 1

Wie man an gute Mitarbeiter kommt

Strategie und Prozesskontrolle sollten intern bleiben

Angesichts einer angespannten Kostensituation sollten sich Entscheider auch mittelfristig die Frage stellen: Wann macht es Sinn, Cybersecurity-Wissen langfristig intern aufzubauen? „Alles, was die strategische Planung im Bereich Sicherheitsstrategie, Richtlinien und Governance-Modelle sowie das Reputations­management betrifft, sollte intern behalten werden,“ weiß Carsten Steinmüller, Teamleiter Cybersecurity bei Hays. Die Gründe dafür sind denkbar einfach: Unternehmen könnten ansonsten riskieren, dass die Strategie nicht auf die spezifischen Anforderungen des eigenen Geschäfts zugeschnitten ist. Es liegt also nah, dass die Überwachung richtlinien­konformer Prozesse intern bleibt, während klar abgrenzbare Aufgabenpakete, also der „technische Teil“ (zum Beispiel die Steuerung und Überwachung der Netzwerk- und Informationssicherheit oder das Identitätsmanagement) eine externe Workforce übernimmt. Erprobte Konzepte wie das Managed NOC (Network Operation Center) oder das Managed SOC (Security Operation Center) zur Auslagerung komplexer Netzwerk- und Security-Aufgaben eignen sich hierfür hervorragend. Aber Vorsicht: Ungeachtet dessen, welche Sicherheitsanwendungen outgesourct werden, steht das beauftragende Unternehmens stets in der Pflicht, den gesamten Prozess zu prüfen und zu steuern. Der erste Eindruck, sich mit Outsourcing viel Zeit zu sparen, trügt also. Denn es wird lediglich etwas ersetzt, was intern aufgrund fehlender Kompetenzen nicht zu leisten ist.

Fachkräftemangel in der IT-Security – Teil 2

Wie man die richtigen Mitarbeiter findet und sie optimal einbindet

Externe erhöhen Mitarbeiter-Sensibilität erfolgreicher

Auch die obligatorischen Audits und Mitarbeiterschulungen müssen laut neuer Richtlinien künftig regelmäßig durchgeführt und nachgewiesen werden. Bei der Entscheidung, ob dies intern oder extern am besten und wirtschaftlichsten zu lösen ist, sollten Motivation und Fachwissen berücksichtigt werden. Häufig übertrifft das Fachwissen externer Schulungsanbieter oder Berater die interne Qualifikation. Zudem verfügen sie über die richtigen Triggerpunkte, um Mitarbeiter zu motivieren, die bereits mehrere solcher Trainings absolviert haben. Externe Berater können Schulungen oder Zertifikatskurse auf die individuellen Abläufe im Unternehmen sowie den aktuellen Sicherheitsstatus anpassen – ein Vorteil, den man trotz zusätzlicher Kosten in Betracht ziehen sollte. Viele Unternehmen haben sich in der Vergangenheit aus diesem Grund gegen regelmäßige Trainings gesträubt. Doch die Kosten für eine präventive Sensibilisierung der Mitarbeitenden sind im Vergleich zu den potenziell weitaus höheren Kosten eines Cyberangriffs vernachlässigbar. Es ist bekannt, dass der Mensch die größte Schwachstelle in der IT-Sicherheitskette ist, daher macht eine kontinuierliche Sensibilisierung in jedem Fall Sinn. Dies ermöglicht wiederum einen schnellen Aufbau internen Wissens, um Angriffe frühzeitig zu erkennen.

Fachkräftemangel in der IT-Security – Teil 3

So punkten Bewerber im Vorstellungs­gespräch

(ID:50125319)