Eine Frage des Risikos NIS 2 bringt ein neues Zeitalter für die Cybersecurity

Anbieter zum Thema

Dell GmbH

FAST LTA GmbH

FTAPI Software GmbH

cyberintelligence.institute GmbH

Die NIS-2-Richtlinie zwingt zehntausende Unternehmen, sich besser auf Cyberbedrohungen vorzubereiten. Ziel ist, das Sicherheitsniveau in der Wirtschaft zu erhöhen und die Auswirkungen erfolgreicher Angriffe zu minimieren. Damit läutet sie nicht weniger als einen Kulturwandel ein – nicht zuletzt, weil IT-Sicherheit aufgrund der hohen Bußgelder und strengen Haftungsregeln nun tatsächlich Chefsache werden muss.

Mit der zunehmenden Digitalisierung und Vernetzung der Wirtschaft wächst auch die Abhängigkeit der Unternehmen von IT-Infrastrukturen, und zwar nicht nur von den eigenen, sondern ebenso denen von Partnern, Zulieferern und Dienstleistern. Ein erfolgreicher Cyberangriff kann daher weitreichende Auswirkungen haben – im schlimmsten Fall über eine ganze Branche oder Region hinaus. Aus diesem Grund schraubt die EU mit der Richtlinie 2022/2555 die Sicherheitsanforderungen für zahlreiche Unternehmen nach oben. Sie löst die Richtlinie 2016/1148 zum Schutz von Netzwerk- und Informationssystemen (NIS) ab und wird daher als NIS 2 bezeichnet.

Anders als die ursprüngliche NIS-Richtlinie konzentriert sich NIS 2 nicht allein auf die Betreiber kritischer Infrastrukturen, sondern allgemein auf Unternehmen, die aufgrund ihrer Branchenzugehörigkeit und Größe wichtig für die Wirtschaft und Gesellschaft sind. Unter die neue Richtlinie fallen Unternehmen aus 18 Branchen, darunter neben üblichen Verdächtigen wie Stromanbietern, Banken und Krankenhäusern auch die Anbieter von Cloud-Services, Rechenzentrumsdiensten und Kommunikationsnetzen, Managed Service Provider, Unternehmen der Wasser- und Abfallwirtschaft sowie weite Teile der Industrie. Schon mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mindestens 10 Millionen Euro reichen.

Je nach Branche, Mitarbeiterzahl und Umsatz unterscheidet NIS 2 zwar zwischen „wichtigen Einrichtungen“ und „wesentlichen Einrichtungen“, doch die Sicherheitsvorgaben und Meldepflichten gelten für beide gleichermaßen. Wesentliche Einrichtungen unterliegen lediglich einer strengeren Aufsicht durch Behörden und müssen bei Verstößen höhere Bußgelder zahlen. Diese liegen bei bis zu 10 Millionen Euro oder bis zu 2 Prozent des Jahresumsatzes, während es für wichtige Einrichtungen maximal 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes sind.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Registrierungspflicht für Unternehmen

Schätzungen zufolge sind etwa 30.000 bis 40.000 Unternehmen in Deutschland direkt von NIS 2 betroffen und müssen sich unter anderem mit aktuellen Kontaktdaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Noch ist das allerdings nicht möglich, da die Bundesrepublik die EU-Richtlinie bislang nicht in nationales Recht umgesetzt hat. Einen Fragebogen, mit dem Unternehmen prüfen können, ob sie unter NIS 2 fallen, bietet das BSI hingegen schon an.

Vielen Unternehmen ist jedoch gar nicht bewusst, dass sie von der Richtlinie betroffen sein könnten – möglicherweise auch nur indirekt, weil sie als Dienstleister oder Zulieferer für eine wichtige oder wesentliche Einrichtung tätig sind. Denn NIS 2 verpflichtet diese, auch Risiken innerhalb ihrer Lieferkette zu identifizieren, zu bewerten und zu minimieren. Auf diese Weise will die EU verhindern, dass ein Cybervorfall in der Lieferkette einen Kaskadeneffekt nach sich zieht und für Störungen oder Ausfälle bei nachgelagerten Unternehmen sorgt.

Hinzu kommen zahlreiche Unternehmen, die die Anforderungen bislang nur halbherzig umsetzen – etwa, weil sie alte Systeme nicht ablösen wollen, sich mit der Bewertung von Risiken schwertun oder sich auf einfache Anforderungen konzentrieren. Hierzu zählen vor allem Praktiken, die wie die Wahl sicherer Passwörter und die Installation von Sicherheitssoftware auf allen Systemen zur grundlegenden Cyberhygiene gehören, aber auch Verschlüsselung, Zugriffskontrollen, Multifaktor-Authentifizierung und eine sichere Kommunikation, die explizit in der Richtlinie genannt werden.

All diese Dinge sind fraglos essentiell und eigentlich längst überfällig, reichen jedoch nicht, da NIS 2 insbesondere die Resilienz der Unternehmen stärken soll. Das bedeutet, dass diese sich auf den Ernstfall vorbereiten müssen, um die Auswirkungen erfolgreicher Angriffe zu minimieren und den Geschäftsbetrieb schnell fortsetzen zu können. Damit verbunden sind organisatorische Veränderungen, die Zeit kosten.

Neuer Referentenentwurf zur NIS2-Umsetzung

Die NIS2-Umsetzung kommt näher!

Eine Frage des Risikos

Nicht umsonst nennt NIS 2 als erste Maßnahme ein Risikomanagement, denn nur wenn Unternehmen die Risiken für ihre Systeme, Anwendungen und Daten kennen, können sie diese gezielt minimieren. Dafür müssen sie zunächst ihre wichtigsten Assets ermitteln und dann, welche Gefahren diesen drohen, wie wahrscheinlich diese Gefahren sind und welche Schäden sie verursachen können. Hier geht es nicht nur um Cyberangriffe etwa infolge nicht gepatchter Schwachstellen oder schlecht gesicherter Fernzugriffe, sondern auch um mögliche Ausfälle durch Hardware-Defekte, fehlerhafte Software, Brände oder Naturkatastrophen.

Ausgehend von dieser Risikoanalyse können Unternehmen dann Maßnahmen zur Risikominimierung einleiten und festlegen, wie sie mit Vorfällen umgehen und im Ernstfall den Geschäftsbetrieb aufrechterhalten. Dies sind die beiden nächstgenannten Punkte in der Richtlinie. Einige Fragen, die dabei in der Regel im Rahmen einer Business-Impact-Analyse beantwortet werden müssen, sind: Welche Auswirkungen hat es auf Geschäftsprozesse, wenn ein System ausfällt? Welche Ausfallzeiten sind maximal hinnehmbar? Wie viel Datenverlust ist zu verschmerzen?

Darauf basierend können dann Strategien für Business Continuity und Disaster Recovery entwickelt werden. In diesen wird unter anderem festgelegt, wie regelmäßig Daten und Systeme gesichert werden, wobei auch zu berücksichtigen ist, ob die Wiederherstellung überhaupt schnell genug möglich ist. Bei großen Datenmengen kann sie unter Umständen deutlich länger als die maximal hinnehmbare Ausfallzeit dauern – in diesem Fall sind dann beispielsweise Datenreplikationen eine Alternative. Allerdings reichen klassische Backups und Replikationen nicht aus, um sich gegen alle Gefahren zu wappnen, denn Cyberkriminelle wissen um deren Wert und machen sie häufig gezielt unbrauchbar. Der Einsatz von Backup-Speichern mit sogenanntem Retention Lock, der ein Verändern oder Löschen der Datensicherung unterbindet, und Datentresoren, die per Air-Gap vom Rest der Infrastruktur getrennt sind, verhindert das.

Compliance unter komplexen Umständen

Der richtige Umgang mit der NIS-2-Richtlinie

IT-Forensik hilft bei Meldeverpflichtungen

Eine große Herausforderung ist es, laufende Angriffe schnellstmöglich aufzuspüren und Schäden zu minimieren. Unternehmen müssen dafür den Traffic und die Aktivitäten im Netzwerk genau überwachen, um Auffälligkeiten zu entdecken, die auf eine Bedrohung hindeuten. Dann müssen sie aber auch in der Lage sein, schnell zu reagieren, um etwa die Bewegungen der Eindringlinge genau nachzuvollziehen, missbrauchte Accounts zu sperren und kompromittierte Systeme zu isolieren. Solche SOC-Services (Security Operations Center) erfordern umfangreiche Kenntnisse und viel Personal, denn schließlich sollen sie rund um die Uhr verfügbar sein. Dadurch verursachen sie hohe Kosten, weshalb es meist sinnvoller ist, sie von einem spezialisierten Dienstleister zu beziehen, als sie selbst zu betreiben.

Auch die forensische Untersuchung von Sicherheitsfällen sollten besser externe Experten übernehmen, damit Beweise zuverlässig gesichert und keine Details übersehen werden. Die ermittelten Informationen benötigen Unternehmen nicht nur in Strafverfahren und bei der Verbesserung ihrer Sicherheitskonzepte, sondern ebenso für die Meldung eines Vorfalls beim BSI. Denn NIS 2 enthält strenge Vorgaben, wann und was der Aufsichtsbehörde mitgeteilt werden muss: Spätestens nach 24 Stunden ist eine Frühwarnung vorgeschrieben, spätestens nach 72 Stunden eine Meldung mit aktualisierten Informationen und einer ersten Bewertung, wie schwer der Vorfall ist und welche Auswirkungen er hat. Binnen eines Monats muss dann ein Abschlussbericht folgen, der unter anderem eine ausführliche Beschreibung des Sicherheitsvorfalls und seiner Ursachen sowie Angaben zu den getroffenen Maßnahmen enthält.

Mit den strengen Meldefristen und inhaltlichen Vorgaben stellt die EU sicher, dass Unternehmen ihre Sicherheitsvorfälle nicht unter den Teppich kehren. Zugleich helfen die Informationen dem BSI und den EU-Behörden, denen das BSI die Informationen weiterleitet, ein genaues Bild über die Bedrohungslage zu erhalten. Sie können andere Unternehmen bei laufenden Angriffswellen und neuen Angriffsformen warnen und Guidelines entwickeln, die bei der Vorbereitung darauf helfen.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Strukturierte Abläufe für den Ernstfall

Damit im Ernstfall alles reibungslos abläuft, benötigen Unternehmen detaillierte Notfallpläne. In ihnen ist geregelt, wer welche Aufgaben übernimmt und wer Entscheidungen fällt, sodass keine Zeit mit langen Abstimmungen oder der Suche nach Verantwortlichen verschwendet wird. Auf diese Weise stellen Unternehmen sicher, dass Angriffe schnell eingedämmt, die betroffenen Systeme zügig wiederhergestellt und die Behörden fristgerecht informiert werden. Sie müssen die Notfallpläne allerdings auch regelmäßigen Praxistests unterziehen – einerseits damit alle Beteiligten die Abläufe kennen und jeder Handgriff sitzt, und anderseits um Verbesserungsmöglichkeiten zu identifizieren. Schließlich verändern sich IT-Infrastrukturen kontinuierlich, es gibt personelle Wechsel und auch die Risikobewertungen und die Anforderungen an die Verfügbarkeit einzelner Systeme sind nicht in Stein gemeißelt.

Für die Umsetzung der vielfältigen Maßnahmen, die teilweise mit einem regelrechten Kulturwandel in den Unternehmen einhergehen, nimmt die NIS-2-Richtlinie explizit die Geschäftsleitungen in die Pflicht. Sie müssen nicht nur die konkreten Maßnahmen in ihren Unternehmen billigen und überwachen, sondern auch regelmäßig an Schulungen teilnehmen. In diesen sollen sie sich Wissen aneignen, sodass sie Risiken erkennen und einschätzen sowie Cybersecurity-Praktiken und ihre Auswirkungen auf den Geschäftsbetrieb bewerten können. Für Verstöße gegen NIS 2 haften Geschäftsleitungen persönlich.

Zwar sehen auch bereits bestehende Gesetze wie das BSI-Gesetz eine Verantwortung der Geschäftsleitung vor, und auch aus den Sorgfalts- und anderen Pflichten des GmbH-Gesetzes lässt sich eine solche Verantwortung ableiten. Dennoch formuliert NIS 2 diese nun noch einmal direkter und ergänzt die Schulungspflicht. Letztlich bleibt abzuwarten, ob und wie hier Cyberversicherungen und Manager-Haftpflichtversicherungen greifen. Allerdings stehen die Chancen gut, dass die persönliche Haftung und die hohen Bußgelder endlich dafür sorgen, dass Cybersecurity zur Chefsache wird – und sich die Verantwortung nach Sicherheitsvorfällen nicht so leicht auf IT- und Security-Teams abwälzen lässt.

Über den Autor: Christian Scharrer ist Enterprise Architect und CTO Ambassador bei Dell Technologies in Deutschland.

(ID:50448940)