EU-weite IT-Sicherheit Mit NIS-2 wird IT-Sicherheit zur Chefsache

Anbieter zum Thema

G DATA CyberDefense AG

Fsas Technologies GmbH

FAST LTA GmbH

Vieles von dem, was in der NIS-2 enthalten ist, sollte eigentlich schon lange zum Standardrepertoire für jedes Unternehmen gehören. Das gilt nicht nur für diejenigen Unternehmen, die in den kritischen Branchen unterwegs sind. Denn weder Kriminelle noch Industriespione interessiert die Größe eines Unternehmens.

Die NIS-2-Direktive der EU soll unter anderem die Sicherheit entlang der Wertschöpfungs- und Lieferketten stärken. Bereits hier wird deutlich, dass mehr Unternehmen von NIS-2 direkt betroffen sein werden als mancher IT-Verantwortliche vermuten würde. Zum einen wird die Anzahl der Vollzeitbeschäftigten, zum anderen der Jahresumsatz eines Unternehmens mit in die Bewertung einbezogen, unabhängig davon, ob die NIS-2-Direktive zur Anwendung kommt oder nicht. Außerdem fällt der sogenannte „Anlagenbezug“ weg. Das bedeutet im Klartext, dass nicht nur eine bestimmte Einrichtung, wie etwa ein Klärwerk besondere Sicherheitsmaßnahmen umzusetzen hat, sondern potenziell das gesamte Unternehmen, welches die Anlage betreibt. Das gilt dann unabhängig davon, ob andere Abteilungen innerhalb eines solche Unternehmens direkt etwas mit dem Kerngeschäft oder der Anlage zu tun haben oder nicht.

Endlich Chefsache

Dass IT-Sicherheit auf die Management- und Geschäftsleitungsebene gehört, predigen Sicherheitsfachleute seit Jahren. Nun gießt auch die EU-Direktive dieses Credo in entsprechende gesetzliche Regelungen. Angehörige der Geschäftsleitung können getreu dem Grundsatz „Unwissenheit schützt vor Strafe nicht“ direkt zur Verantwortung gezogen werden, ohne die Möglichkeit zu delegieren oder sich wegzuducken. Verstöße werden künftig hart bestraft. Analog zu den Bußgeldern bei Verstößen gegen die Datenschutzbestimmungen werden hier mindestens zweistellige Millionenbeträge fällig.

Auf Risiko zu spielen und zu hoffen, dass schon alles gut gehen wird, kann schnell nach hinten losgehen. Gerade, wenn es einmal zu einem ausgewachsenen IT-Sicherheitsvorfall kommt, macht sich das besonders schmerzhaft bemerkbar. Innerhalb von 24 Stunden muss ein Unternehmen einen potenziellen Sicherheitsvorfall gemeldet haben – auch an Feiertagen und Wochenenden. Regelmäßige Updates zu der Benachrichtigung nach 72 Stunden und nach 30 Tagen gehören nun ebenfalls zum Pflichtprogramm. Die Abschlussberichte müssen vollständig sein und den genauen Hergang, wie auch die Ursachen für den sicherheitsrelevanten Vorfall enthalten.

Weiße Flecken auf der IT-Landkarte beseitigen

Eine weitere Komponente, die eigentlich schon lange zum guten Ton gehören sollte, sind regelmäßige Überprüfungen der bestehenden IT-Sicherheitsmaßnahmen. Dazu gehören auch Penetrationstests. Mitarbeitende in IT-Sicherheit zu schulen wird ebenfalls verpflichtend. Eine der größten Baustellen in vielen IT-Abteilungen des Landes ist allerdings der Aspekt der Überwachung von Netzwerkaktivitäten. Ein Angriff, der massive Schäden hervorgerufen hat, ist oftmals im Nachhinein anhand bestimmter Indikatoren eindeutig nachzuverfolgen. Die Zeichen des Angriffs wurden aber entweder übersehen oder die IT-Abteilung hat diese nicht korrekt interpretiert – wenn entsprechende Protokolldateien überhaupt in Augenschein genommen wurden. Unternehmen befinden sich hier in einer Zwickmühle. Es ist nicht so, dass es am Markt keine Produkte gäbe, die hier unterstützen könnten. Das Gegenteil ist der Fall. Stattdessen scheitert ein gutes Monitoring weniger an den technischen Gegebenheiten, sondern eher an einer zu dünnen Personaldecke.

Personelles Aufrüsten

Ein SIEM-System kann zwar einen wertvollen Beitrag zu einer Überwachung der Netzwerkaktivitäten leisten, aber ohne geschultes Personal ist es praktisch unmöglich, ein solches System in einer Form zu betreiben, die einen Nutzen bringt. An dieser Stelle führt kein Weg daran vorbei, einen externen Dienstleister mit dem Monitoring zu beauftragen. Für die meisten Unternehmen ist es finanzieller Wahnwitz, alle erforderlichen Infrastrukturen selbst unterhalten zu wollen und entsprechendes Personal entweder aus den eigenen Reihen zu rekrutieren und entsprechend zu qualifizieren oder neues Personal einzustellen. Es ergibt wirtschaftlich keinen Sinn. Umso wichtiger ist die Zusammenarbeit mit einem unabhängigen Dienstleister, der nicht nur spezialisiert im Bereich der IT-Sicherheit ist, sondern auch über die entsprechende Erfahrung verfügt.

Response braucht Praxis

Für den Fall eines Zwischenfalles sollte ebenfalls vorgesorgt sein, aber ein eigenes Incident Response Team ist in den wenigsten Unternehmen vorhanden. Eine solche Gruppe hochspezialisierter Fachleute zu unterhalten ist ebenfalls für die meisten Unternehmen finanziell nicht sinnvoll. Mitarbeitende in-house zu qualifizieren ist gerade für die Incident Response nahezu unmöglich, da gerade dieser Bereich einschlägige Erfahrungen im Bewältigen von Sicherheitsvorfällen erfordert – und diese kann man nicht in einem Buch nachlesen oder in einem Kurs erlernen. Eine Binsenweisheit aus diesem Bereich lautet „Incident Responder wird man nicht durch Handauflegen“.

Auch hier lohnt sich die Investition in entsprechende Dienstleistungen und Retainer-Verträge. Diese machen sich spätestens dann bezahlt, wenn ein Unternehmen auch nur einen Tag eher wieder arbeitsfähig ist, als es ohne Unterstützung möglich gewesen wäre.

Unter Zeitdruck

Die Zeit drängt. Immer mehr Unternehmen haben erkannt, dass unmittelbarer Handlungsbedarf besteht und sind in den Dialog mit Dienstleistungsunternehmen und Beratern getreten. Deren Auftragsbücher füllen sich zusehends. Schnelles Handeln ist essentiell, gerade vor dem Hintergrund, dass die NIS-2-Direktive bis zum 17. Oktober 2024 auch im nationalen Recht umgesetzt werden muss. Das entsprechende Umsetzungsgesetz befindet sich noch im Entwurfsstadium. Aber bereits jetzt steht fest, dass es vermutlich keine Übergangsfristen geben wird.

Kein „Mut zur Lücke“

Wie in jedem Gesetz lässt sich natürlich so etwas Vielschichtiges wie die NIS-2 nicht sofort perfekt im entsprechenden Gesetzestext abbilden. Es wird Verfahren und Gerichtsurteile zu einzelnen Fragestellungen geben müssen. Gerade deshalb sollte kein Unternehmen hier „Mut zur Lücke“ zeigen, um nicht selbst zu einem Präzedenzfall in einem solchen Verfahren zu werden.

Über den Autor: Tim Berghoff ist Security Evangelist bei der G DATA CyberDefense AG.

(ID:49777274)