Neue Cybersicherheitspraktiken gekonnt managen Große Herausforderungen durch NIS2-Richtlinie

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Eye Security GmbH

WALLIX

Die im Januar diesen Jahres in Kraft getretene NIS2-Richtlinie hat tiefgreifende Auswirkungen auf die Cybersicherheitspraktiken von öffentlichen und privaten Einrichtungen innerhalb der EU. Worauf müssen sich Unternehmen hier einstellen? Wie lässt sich die Richtlinie adäquat in der Praxis umsetzen? Und welche Rolle spielt dabei ein effizientes Identitäts- und Berechtigungsmanagement?

Bereits im Juli 2016 hat die Europäische Union die sogenannte Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen (NIS-Richtlinie) erlassen. Das Regelwerk wird nun durch die im Dezember 2022 veröffentlichte NIS2-Richtlinie ersetzt. Dies wurde erforderlich, um dem wachsenden Bedrohungspotenzial durch die Digitalisierung und der stark zunehmenden Zahl an Cyberangriffen gerecht zu werden. Ziel dabei ist es, die IT-Sicherheit im europäischen Raum signifikant zu erhöhen und die nationalen Maßnahmenpakete der einzelnen Länder noch weiter zu vereinheitlichen. Damit sind die EU-Mitgliedstaaten nun im Zugzwang: Sie müssen innerhalb von etwa 20 Monaten die Richtlinie in nationales Recht umsetzen.

Security-Maßnahmen erforderlich

NIS2-Richtlinie: Warum KMU dringend in IT-Security investieren sollten

NIS2-Richtlinie adressiert wesentliche und wichtige Einrichtungen

Bereits mit der ursprünglichen NIS-Richtlinie hatte die EU einen verbindlichen Rechtsrahmen für einen wirksamen Schutz vor Cyberbedrohungen aller Art geschaffen. So ließ sich insbesondere auch die Widerstandsfähigkeit von IT-Systemen und Netzwerken erhöhen, die zu den kritischen Infrastrukturen (KRITIS) gehören. Die NIS2-Richtlinie geht nun noch einen Schritt weiter: So dehnt sich der ursprüngliche Anwendungsbereich auf neue wesentliche und wichtige Einrichtungen aus und umfasst jetzt auch Institutionen der öffentlichen Verwaltung. Die Akteure müssen in Zukunft sämtliche sicherheitsrelevanten Vorfälle innerhalb ihrer IT-Infrastrukturen unverzüglich melden und bestimmten Kontrollmechanismen der nationalen Aufsichtsbehörden zustimmen. Auf diese Weise sollen sich mögliche Sicherheitsrisiken besser antizipieren und wirksame Gegenmaßnahmen gezielter anstoßen lassen. Werden die Bestimmungen nicht konsequent eingehalten, drohen empfindliche Sanktionen wie Geldstrafen und Bußgelder, die sich mit NIS2 weiter verschärft haben.

Die praktische Umsetzung der NIS2-Richtlinie stellt die betroffenen Institutionen vor große Herausforderungen: So sind diese verpflichtet, adäquate technische und organisatorische Sicherheitsmaßnahmen zu implementieren, welche die jeweiligen Risiken adressieren. Unabdingbar hierfür ist ein Wissen um die typischen Gefahren der neuen Technologien und IT-Praktiken. So verlangt NIS2 von den Betrieben eine regelmäßige Risikobewertung im Hinblick auf die Cybersicherheit. Zudem müssen wesentliche und wichtige Einrichtungen vorbeugende Maßnahmen zum Schutz vor Sicherheitsvorfällen umsetzen. Dies erfordert durchdachte technische und auf die spezifischen Anforderungen passgenau zugeschnittene Lösungen.

Identitäts- und Berechtigungsmanagement als Schlüssel für NIS2-Umsetzung

So sind die von der NIS2-Richtlinie betroffenen Unternehmen und öffentlichen Einrichtungen dazu verpflichtet, wirksame Präventions-, Erkennungs-, Reaktions- und Compliance-Maßnahmen zu implementieren. Ein durchdachtes und effizientes Identitäts- und Berechtigungsmanagement kann dabei wertvolle Unterstützung bieten. Hierbei ist ein dreistufiges Sicherheitsverfahren aus Identifizierung, Authentifizierung und Autorisierung von entscheidender Bedeutung. Nur so lässt sich ein sicherer Zugriff auf strategische Applikationen und sensible Daten ausschließlich durch berechtigte Mitarbeiter gewährleisten. Dabei werden die User zunächst über ihre persönlichen Identifikationsdaten wie Benutzernamen und ihr Passwort eindeutig erkannt. Für einen sicheren Schutz vor Betrugsmaschen wie etwa Identitätsdiebstahl sorgen zusätzliche Authentifizierungsmaßnahmen, durch die der Benutzer seine vorgegebene Identität nachweist – wie beispielsweise die Zwei-Faktor-Authentifizierung.

Darüber hinaus verlangt die NIS2-Richtlinie die detaillierte Zuweisung von Zugangsrechten zu privilegierten Konten. Da privilegierte Benutzer innerhalb von Organisationen über besondere Administratorrechte verfügen, geht von ihnen ein höheres Bedrohungspotenzial aus. Um die Anforderungen von NIS2 abzudecken, sollten wesentliche und wichtige Einrichtungen eine robuste Lösung für die privilegierte Zugangskontrolle (Privileged Access Management, PAM) implementieren. Nur so lässt sich sicherstellen, dass ausschließlich befugte Benutzer zur jeweils richtigen Zeit auf sensible Ressourcen zugreifen können. Mit einer solchen PAM-Lösung können IT-Administratoren alle Benutzer und Systeme zentral verwalten. Dabei lassen sich auch Regeln und Bedingungen für die Authentifizierung festlegen, um automatisch Zugriff auf wichtige Ressourcen zu gewähren oder zu verweigern.

Fazit

Die NIS2-Richtlinie stellt die betroffenen privaten und öffentlichen Einrichtungen vor große Herausforderungen. Für die konsequente Umsetzung der geforderten Maßnahmen ist ein modernes Identitäts- und Berechtigungsmanagement unerlässlich. Eine wichtige Bedeutung in diesem Kontext erlangen Lösungen für Privileged Access Management (PAM).

Über den Autor: Stefan Rabben ist Area Sales Director DACH and Eastern Europe bei Wallix, einem langjährigen Anbieter von Lösungen für Privileged Access Management (PAM).

(ID:49484602)