Die Cybersecurity-Strategie der EU Mehr Cybersicherheit in Europa

2017 veröffentlichte die Europäische Kommission ihre Cybersicherheits-Strategie und viele Sicherheitsexperten unterstützten nachdrücklich jede Anstrengung, deren Ziel es ist, die Abwehr von Cyberattacken zu stärken. Durch den täglichen Umgang und die Erfahrung mit IT-Sicherheit, hat auch IBM eine klare Vorstellung davon, wie allgemein verbindliche Richtlinien aussehen sollten, um tatsächlich wirksam zu sein.

Anbieter zum Thema

SonicWall Germany

TXOne Networks

Keeper Security EMEA Ltd.

IBM Deutschland GmbH

Bei den vorgeschlagenen Richtlinien zur Cybersicherheit durch die Europäische Kommission und den darauf folgenden Überlegungen des Europäischen Rates geht es nicht nur darum, die Qualität der Cyberabwehr-Maßnahmen in europäischen Organisationen zu verbessern, sondern ihnen auch zu helfen, ihren Sicherheits-Reifegrad zu maximieren. Der ist dann erreicht, wenn sie fähig sind, IT-Sicherheitsvorfälle schon in einem frühen Stadium zu identifizieren und Attacken rechtzeitig abzuwehren. Das Kernstück in den Richtlinien der Kommission muss es sein, Unternehmen in die Lage zu versetzen, dass sie einen möglichst hohen Sicherheits-Reifegrad erlangen können. Die Kommission muss dabei auch der Tatsache Rechnung tragen, dass sich Technologien ebenso schnell verändern wie die Art und Häufigkeit von Hackerangriffen. Unternehmen und die Politik sind damit geradezu gezwungen, sich dieser hohen Agilität zu stellen.

Der Kern möglichst wirksamer Cyberrichtlinien ist deshalb ein agiles Regelwerk. Ein Rahmen, der entlang der gesamten Wertschöpfungskette die Cyberreife verankert und damit einerseits mehr Kollaboration sowie öffentlich-private Kooperationen ermöglicht, andererseits für ein besseres Verständnis der Risiken und Bedrohungen durch den gemeinsamen Feind sorgt. Zudem verändern neue Technologien die traditionellen vertikalen Industrie-Strukturen. Zukünftig müssen Unternehmen daher auch in der Lage sein, jenseits der Silos in agilen Regelwerken zu handeln. Ein Beispiel für ein solches agiles Regelwerk ist das NIST Cybersecurity Framework des US-amerikanischen National Institute of Standards and Technology (NIST). NIST hat einen konsistenten Ansatz entwickelt, wie mit Taxonomien und internationalen Standards gearbeitet werden kann, um die Sicherheit kritischer Infrastrukturen zu verbessern.

Aus diesem Grund unterstützt IBM konsequent die Möglichkeiten des Incident Reporting, um ein umfassendes Verständnis für systematische Risiken zu erlangen. Denn Incident Reporting erleichtert unserer Auffassung nach die gemeinsame Nutzung von Ressourcen, um Angriffe abzuwehren oder zumindest deren Folgen zu minimieren. Aber ein leistungsfähiges Incident Reporting benötigt effiziente Methoden für die Privatwirtschaft, um Informationen mit öffentlichen Einrichtungen zu teilen und mit ihnen zusammenzuarbeiten.

Um zu vermeiden, dass immer wieder Berge von Vorschriften und Gegenvorschriften neu entziffert werden müssen, während wöchentlich neue Attacken anrollen, brauchen Security-.Experten möglichst effektive Werkzeuge, mit denen Unternehmen und Organisationen schnell und unkompliziert einen maximal hohen Sicherheits-Reifegrad erreichen können.

Die weltweite Implementierung unterschiedlicher Regelwerke führt gegenwärtig zu einem Patchwork verschiedener Ansätze. NATO, Datenschutz-Institutionen, nationale Aufsichtsbehörden und Cybersicherheits-Agenturen müssen daher wesentlich enger zusammenarbeiten, um mit gemeinsamen, dialogfähigen Regelwerken zur Cybersicherheit ein intelligentes Sicherheitsmanagement aufzubauen zu betreiben. Vereinfachtes Reporting wird Organisationen dabei helfen, ihren Fokus darauf auszurichten, die Auswirkungen von Cybergefahren zu reduzieren.

Damit Unternehmen und speziell auch kleinere Organisationen zufriedenstellende Cyberabwehr-Maßnahmen entwickeln können, sollten sie also nicht von einem nahezu unübersehbaren Wust an Rechtsvorschriften verwirrt werden. Einzelne Elemente unterschiedlicher Verordnungen wie die der General Data Protection Regulation (GDPR / DSGVO), der European Banking Regulation (EBR) oder unterschiedlicher Datenschutz-Richtlinien (e-Privacy) müssen harmonisch ineinander greifen, damit sich Organisation voll auf ihre IT-Sicherheit konzentrieren können.

Die Zertifizierung von Cybersicherheit und eine entsprechende Etikettierung von Objekten, die mit dem Internet verbunden sind (Internet der Dinge – IoT), scheinen, zumindest in der Theorie, ein guter Weg, um die gewünschte Cyberreife zu erreichen. In der Praxis gibt es jedoch Einschränkungen, die bedacht werden müssen. Ein Beispiel: Ein Sicherheitszertifikat gibt dem Verbraucher das Gefühl, sein Gerät wäre für immer und ewig sicher – und bräuchte auch gar keine Updates mehr. Zugleich wissen viele Verbraucher noch nicht einmal, wie sie ihre Geräte sicherheitstechnisch auf den neuesten Stand bringen können. Manche Geräte bieten eine solche Funktion zudem gar nicht. Daher ist es unserer Meinung nach sinnvoller, gemeinsame Cybersicherheits-Standards einzuführen und sich freiwillig einen Code of Conduct zu geben. Im Hinblick auf die Umsetzung der Strategie der Europäischen Kommission glauben wir, dass diese Faktoren unbedingt berücksichtigt werden sollten.

Gute politische Rahmenbedingungen schaffen die Voraussetzung für eine robuste und widerstandsfähige Cybersicherheit, schützen die Bürger, sichern den Handel und sorgen dafür, dass Unternehmensabläufe reibungslos funktionieren. Wir freuen uns auf die Zusammenarbeit mit der Europäischen Kommission, um gemeinsam eine neue Sicherheits-Strategie zu entwickeln, die es erlaubt, diese Ziele zu erreichen.

Über den Autor: Nick Coleman ist Cybersecurity Policy Experte bei IBM.

(ID:45087994)