Mobile-Menu

Compliance durch Security Mit NIS-2 die Cybersicherheit schon jetzt effektiv stärken

Ein Gastbeitrag von Ilkka Turunen und Dr. Natalia Karniyevich 6 min Lesedauer

Anbieter zum Thema

Sonatype Inc.
Bird & Bird LLP Rechtsanwälte

Die NIS-2-Richtlinie verlangt von Unternehmen strengere Meldepflichten bei Sicherheitsvorfällen, ein robustes Schwachstellenmanagement und sichere Software-Lieferketten. Automatisierte Tools zur Schwachstellenanalyse können bei der Compliance helfen und stärken zugleich die Widerstands­fähigkeit gegen Cyberangriffe. Auch wenn die Richtlinie noch nicht in deutsches Recht umgesetzt wurde lohnt sich eine Vorbereitung schon jetzt.

Noch ist NIS-2 in Deutschland nicht umgesetzt. Doch Unternehmen können und sollten sich schon jetzt vorbereiten – und dabei gleichzeitig ihre Cybersecurity stärken.(Bild: © Gorodenkoff - stock.adobe.com)
Noch ist NIS-2 in Deutschland nicht umgesetzt. Doch Unternehmen können und sollten sich schon jetzt vorbereiten – und dabei gleichzeitig ihre Cybersecurity stärken.
(Bild: © Gorodenkoff - stock.adobe.com)

Die Richtlinie über Netz- und Informationssicherheit 2 (NIS-2) ist die aktualisierte Cybersicherheitsgesetzgebung der Europäischen Union, die die vorherige NIS-Richtlinie aus dem Jahr 2016 ersetzt. Ihr Ziel: die Stärkung der Cybersicherheit in der gesamten EU. Im Fokus stehen dabei kritische Dienste, wie etwa Rechenzentrumsdienste, öffentlich zugängliche elektronische Kommunikationsdienste, Online-Marktplätze sowie Plattformen für soziale Netzwerke. NIS-2 stellt die bisher umfassendste Gesetzgebung der EU im Bereich der Cybersicherheit dar. Zu den wichtigsten Änderungen zählen die Stärkung der Cybersecurity in der Softwareentwicklung und -Lieferkette, die Verschärfung der Meldepflichten sowie strengere Sanktionen bei Nichteinhaltung.

Deutschland hat die Richtlinie bisher noch nicht umgesetzt, und ein konkreter Zeitplan ist unklar. Dennoch bietet eine frühzeitige Anpassung für Unternehmen erhebliche Vorteile: Zum einen gestaltet sich der Umstellungsprozess entspannter, zum anderen verbessern die umgesetzten Maßnahmen unabhängig von NIS-2 nachhaltig die Cybersicherheit.

Was erwartet Unternehmen?

Unternehmen im Anwendungsbereich der NIS-2-Richtlinie sind verpflichtet, Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit zu implementieren. Dies umfasst auch Sicherheitsmaßnahmen beim Erwerb von IKT-Produkten (Informations- und Kommunikationstechnik), einschließlich Software. Besonders relevant in der EU-Richtlinie sind hierbei zwei Punkte: Sicherheitsanforderungen an Software sowie Anforderungen an Sicherheitsaktualisierungen. Diese werden beim Erwerb einer Software vertraglich an den Softwarehersteller weitergegeben.

Softwarehersteller müssen daher sicherstellen, dass ihre Produkte den festgelegten Sicherheitsanforderungen entsprechen. Zudem sollten sie aktiv Strategien zur Lieferkettensicherheit und zum Umgang mit Schwachstellen entwickeln, um den zukünftigen Anforderungen gerecht zu werden. Dies lässt sich etwa durch die Implementierung eines robusten Schwachstellenmanagements, regelmäßige Sicherheitsüberprüfungen und die Einhaltung international anerkannter Sicherheitsstandards erreichen.

Strengere Meldepflichten

Die Umsetzung der neuen Meldepflichten stellt Unternehmen vor erhebliche juristische Herausforderungen, insbesondere im Hinblick auf Transparenzanforderungen bei Sicherheitsvorfällen. Unternehmen müssen erhebliche Sicherheitsvorfälle unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, an das Computer Security Incident Response Team (CSIRT) oder die entsprechende Behörde melden. Diese Frühwarnung müssen sie zudem innerhalb von 72 Stunden detailliert ergänzen. Das CSIRT oder die zuständige Behörde kann anschließend Zwischenberichte über relevante Statusaktualisierungen anfordern. Spätestens einen Monat nach der ersten Meldung ist ein Abschlussbericht vorzulegen, der eine umfassende Beschreibung des Sicherheitsvorfalls, dessen Schweregrad, Auswirkungen sowie ergriffene und laufende Abhilfemaßnahmen enthält. Dauert der Sicherheitsvorfall binnen dieses Zeitraums weiterhin an, sollten Unternehmen nach einem Monat einen Fortschrittsbericht vorlegen. Der Abschlussbericht ist in diesem Fall einen Monat nach der abschließenden Behandlung des Sicherheitsvorfalls fällig.

Diese strengen Meldefristen und die geforderte Transparenz können für Unternehmen rechtliche Risiken bergen, insbesondere wenn die internen Prozesse zur Erkennung und Meldung von Sicherheitsvorfällen nicht ausreichend etabliert sind. Versäumnisse oder Verzögerungen bei der Meldung können zu erheblichen Bußgeldern führen.

Haftungsrisiken minimieren

Um Haftungsrisiken zu minimieren, sollten Unternehmen Folgendes berücksichtigen:

  • Implementierung eines robusten Incident-Response-Plans: Ein klar definierter Plan/Standard Operating Procedure (SOP) zur Reaktion auf Sicherheitsvorfälle stellt sicher, dass Sicherheitsvorfälle schnell identifiziert und die notwendigen Schritte zur Eindämmung und Meldung eingeleitet werden können.
  • Schulung der Mitarbeiter: Regelmäßige Schulungen sensibilisieren die Belegschaft für potenzielle Sicherheitsbedrohungen und fördern ein Bewusstsein für die Meldepflichten.
  • Dokumentation und Nachverfolgung: Nur mit lückenloser Dokumentation aller Vorfälle und der ergriffenen Maßnahmen können Unternehmen im Falle von Prüfungen oder rechtlichen Auseinandersetzungen Nachweise vorlegen.
  • Regelmäßige Überprüfung und Aktualisierung: Die Sicherheitsstrategien und Meldeprozesse sollten regelmäßig überprüft und an aktuelle Bedrohungslagen sowie gesetzliche Anforderungen angepasst werden.

Durch die aktive Umsetzung dieser Maßnahmen können Unternehmen nicht nur die gesetzlichen Anforderungen erfüllen, sondern stärken damit auch ihre Resilienz gegenüber Cyberbedrohungen und reduzieren potenzielle Haftungsrisiken. Einen neuen gesetzlichen Rahmen speziell für Deutschland gibt es noch nicht. Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat jedoch einen Entwurf der Leitlinien veröffentlicht, die den Unternehmen bei der Umsetzung helfen sollen.

Sichere Software-Lieferketten: Schwachstellenmanagement, Risikoanalyse und Compliance

Die Sicherheit von Software-Lieferketten ist essenziell für Unternehmen, die IT-Infrastrukturen betreiben oder Software entwickeln. Das Schwachstellenmanagement ist dabei eine zentrale Herausforderung. Angesichts der zunehmenden Bedrohungen durch Cyberangriffe und der regulatorischen Anforderungen der NIS-2 müssen Unternehmen ihre Prozesse zur Identifikation, Bewertung und Behebung von Sicherheitslücken optimieren. SCA-Plattformen (Software Composition Analysis) bieten hier eine effektive Lösung, um Transparenz zu schaffen, Risiken zu minimieren und Compliance sicherzustellen.

Automatisiertes Schwachstellenmanagement

Ein zentrales Element des Schwachstellenmanagements ist eine präzise Bestandsaufnahme aller verwendeten Softwarekomponenten und ihrer Sicherheitsrisiken. SCA-Plattformen automatisieren diesen Prozess durch die Erstellung einer Software Bill of Materials (SBOM). Diese SBOMs ermöglichen es Unternehmen, ihre Anwendungen kontinuierlich auf bekannte Schwachstellen zu analysieren und zu überwachen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Darüber hinaus identifizieren einige SCA-Tools Sicherheitsrisiken, indem sie Open-Source-Komponenten auf Schwachstellen prüfen und Bedrohungen mit bekannten CVE-Datenbanken (Common Vulnerabilities and Exposures) abgleichen. Anwender erhalten automatische Benachrichtigungen, wenn neue Schwachstellen entdeckt oder bekannte Komponenten als gefährdet eingestuft werden.

Die Plattformen unterstützen außerdem bei der zentralisierten Verwaltung von Sicherheits-Patches und empfehlen aktuelle Versionen. Unternehmen können so sicherstellen, dass Aktualisierungen aus vertrauenswürdigen Quellen stammen und vor der Installation getestet wurden.

Sichere Komponenten, sicheres Produkt

In der Softwareentwicklung ist ein strukturierter Umgang mit Schwachstellen entscheidend. SCA-Plattformen überprüfen SBOMs kontinuierlich auf neue Sicherheitslücken oder schadhafte Komponenten. Dadurch behalten Entwicklerteams stets einen aktuellen Überblick über die eingesetzten Bibliotheken und deren Sicherheitsstatus.

Sie können zudem individuelle Sicherheitsrichtlinien definieren, um potenzielle Bedrohungen frühzeitig zu erkennen und gezielt darauf zu reagieren. SCA-Tools ermöglichen eine priorisierte Schwachstellenbewertung basierend auf Metriken wie dem Common Vulnerability Scoring System (CVSS). Dadurch können die Teams fundierte Entscheidungen darüber treffen, welche Sicherheitsmaßnahmen vorrangig umgesetzt werden müssen.

Durch die Integration in DevOps- und CI/CD-Pipelines gewährleisten SCA-Plattformen eine kontinuierliche Überprüfung der Software auf Sicherheitsrisiken. Vor jedem Release erfolgt eine automatisierte Richtlinienprüfung, sodass unsichere Komponenten rechtzeitig erkannt und ersetzt werden können. Dies reduziert das Risiko, dass unsichere Software in den Produktivbetrieb gelangt.

Effiziente Einhaltung der Meldepflichten durch Automatisierung

NIS-2 verlangt von den Unternehmen, dass sie erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und innerhalb von 72 Stunden detailliert dokumentieren. Ohne automatisierte Prozesse kann diese Anforderung eine große Herausforderung darstellen. SCA-Plattformen erleichtern die Umsetzung dieser Vorgaben, indem sie betroffene Anwendungen schnell identifizieren und den Schweregrad einer Schwachstelle im Kontext der jeweiligen Software bestimmen. Durch detaillierte Berichte zu Schwachstellen, betroffenen Komponenten und Abhilfemaßnahmen unterstützen sie Unternehmen bei der fristgerechten und vollständigen Meldung von Sicherheitsvorfällen.

Zudem bieten Policy-Engines eine lückenlose Dokumentation der Sicherheitsmaßnahmen. Sie ermöglichen es, Maßnahmen zur Risikominderung – wie den Austausch oder die Aktualisierung gefährdeter Komponenten – nachvollziehbar nachzuweisen. Auch bei transitiven Schwachstellen, also indirekt betroffenen Abhängigkeiten, liefern einige SCA-Tools Empfehlungen für sicherere Versionen.

Fazit

Noch ist NIS-2 in Deutschland nicht umgesetzt. Doch Unternehmen können und sollten sich schon jetzt vorbereiten – und dabei gleichzeitig ihre Cybersecurity stärken. Dafür ist ein umfassender Überblick über die gesamte Software-Lieferkette unerlässlich. Mit SCA-Plattformen können Unternehmen Transparenz über ihre Software-Komponenten schaffen, Sicherheitsrisiken frühzeitig erkennen und regulatorische Anforderungen effizient erfüllen. Durch die Automatisierung von Schwachstellenanalysen, Patch-Management und Compliance-Berichten tragen sie dazu bei, das Risiko von Cyberangriffen erheblich zu reduzieren und die Resilienz gegenüber neuen Bedrohungen zu stärken. Damit sind Unternehmen nicht nur rechtzeitig auf NIS-2, sondern auch auf neue Cyberbedrohungen eingestellt.

Über die Autoren

Ilkka Turunen ist Field CTO bei Sonatype und ein erfahrener Software-Ingenieur mit besonderer Expertise in Web-Entwicklung und Cloud Computing. Mit einem tiefen technischen Verständnis über verschiedene XaaS-Ebenen hinweg setzt er sich leidenschaftlich dafür ein, innovative und sichere Softwarelösungen zu entwickeln. Ilkka ist stets daran interessiert, neue Technologien und Fähigkeiten zu erlernen, um die Sicherheit und Effizienz moderner Software kontinuierlich zu verbessern.

Dr. Natalia Karniyevich ist Rechtsanwältin im Düsseldorfer Büro von Bird & Bird, spezialisiert auf IT-Sicherheits- und Datenschutzrecht, sowie Co-Head der Bird & Bird International Cybersecurity Steering Group. Im Bereich der Cybersicherheit konzentriert sie sich auf vertragliche Fragen und unterstützt Unternehmen bei der Einhaltung regulatorischer Vorgaben sowie im Umgang mit Cybersecurity-Vorfällen.

(ID:50443196)

Weiterführende Inhalte