NIS2-Richtlinie als Wettbewerbschance Stärkere Cybersicherheit als Chance für deutsche Unternehmen

Anbieter zum Thema

Genetec

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die NIS2-Richtlinie kann nicht nur die Cybersicherheit Ihrem Unternehmen stärken, sondern auch neue Wettbewerbsvorteile schaffen. Erfahren Sie, welche Maßnahmen Ihr Unternehmen ergreifen muss, um bestens vorbereitet zu sein und gleichzeitig von dieser entscheidenden Richtlinie zu profitieren.

Die Umsetzung der NIS2-Richtlinie wird ein bedeutendes Plus für die IT-Sicherheit bewirken. Der Schutz an den Einstiegspunkten von Cyberkriminellen wird erhöht und die physische Sicherheit von privaten Unternehmen und Organisationen der öffentlichen Hand wird sich verbessern. Angesichts der wachsenden Zahl und Härte von Cyberangriffen erfordert NIS2 eine Reihe strenger Maßnahmen. Die Ausweitung der Security-Anforderungen auf Anbieter digitaler Dienste und ihre Lieferketten ist eine Chance, die Cyberabwehr für kristische Infrastrukturen zu stärken. Und Cybersicherheit bedeutet, auch international, einen Wettbewerbsvorteil für den wirtschaftlichen Erfolg im digitalen Zeitalter.

NIS2 betrifft mehr Organisationen

Anders als ihr Vorgänger definiert NIS2 genau, welche Unternehmen zur Kritischen Infrastruktur (KRITIS) gehören. Die erforderlichen Maßnahmen verbessern die Sicherheit und Resilienz von KRITIS-Einrichtungen deutlich. Das umfasst europaweit schätzungsweise gut 100.000 zusätzliche Institutionen. Bankwesen und Finanzmärkte zählen zur relevantesten KRITIS-Gruppe. Beim Risikomanagement, in puncto Kooperation und Zusammenarbeit sowie beim Thema Aufsichtsmaßnahmen und Geldbußen sind sie gefordert. Die Mindestmaßnahmen zu Cybersecurity im Risikomanagement zielen darauf ab, Netzwerk- und Informationssysteme sowie deren physische Umgebung vor Zwischenfällen zu schützen.

Ausgehend von einer Gap-Analyse können Unternehmen ihren Status Quo analysieren und Handlungsfelder ableiten, um für eine stärkere Cyberabwehr nachzubessern.

Die neue Richtlinie zielt sehr differenziert auf die Betreiber „wichtiger“ Infrastrukturen. Sie unterscheidet zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen nach Größe und Geschäftstätigkeit und bezieht neben digitalen Dienstleistern und kritischen Lieferketten auch öffentliche Verwaltungen mit ein.

Sektoren der NIS2

NIS2 umfasst jetzt mehr Sektoren. Dabei gilt NIS2 für Bereiche wie die Sicherung und den Zugang zum Gelände, die Verwaltung kritischer Bereiche, die Besucherverwaltung und den Umgang mit Naturkatastrophen. Kritische Sektoren sind:

• Energie

• Gesundheitswesen

• Wasserversorgung

• Transportwesen

• Digitale Infrastrukturen

• Banken und Finanzwesen

• Digitale Infrastrukturen (Rechenzentren)

• Öffentliche Verwaltung

• Post- und Kurierdienste

• Abwasser- und Abfallwirtschaft

• Chemie

• Lebensmittel

• Herstellende Industrie (einschließlich Medizin, Computer und Transport)

• Digitale Dienste (soziale Netzwerke)

• Forschung

• Raumfahrt

NIS2 betrifft große und mittelgroße Unternehmen der oben genannten Sektoren. Mittelgroß bedeutet mehr als 10 Millionen Euro Umsatz oder über 50 Mitarbeiter. Unter großen Unternehmen versteht die Richtlinie einen Jahresumsatz von mehr als 50 Millionen Euro oder eine Mitarbeiterzahl von 250 und höher.

NIS2-Handlungsfelder für Unternehmen

Cybersicherheit hört nicht beim Schutz von Desktops, Laptops und Servern sowie den dort gespeicherten, sensiblen Daten auf. Heutige Cyberbedrohungen betreffen jedes Gerät, das mit dem Internet oder dem lokalen Unternehmensnetzwerk verbunden ist. Deshalb ist es wichtig, dass Organisationen alle Risiken im Zusammenhang mit ihrer physischen Sicherheit angehen und lösen. Das umfasst insbesondere auch die Zutrittskontrolle. Berücksichtigt werden müssen:

• Sicherheit an der Zufahrt zum Gelände

• Sicherer Zugang zum Gelände

• Verwaltung der kritischen Bereiche (z. B. Rechenzentren, Reinräume und Maschinen)

• Besucherverwaltung

• Bewältigung von Naturkatastrophen

Ein zusätzlicher Schutz kann auch aus Zäunen und automatischer Beleuchtung bestehen, sowie Überwachungskameras, Bewegungsmelder und adäquate physische Zutrittskontrollen beinhalten.

Insbesondere veraltete Zutrittskontrollsysteme öffnen Kriminellen Tür und Tor. Durch sogenannte „Man-in-the-Middle-Angriffe“ verschaffen sie sich Zugang zu einem Netzwerk und sammeln Informationen, die zwischen Geräten ausgetauscht werden, wie Türöffnungscodes oder Geräteanmeldungen und Passwörter.

Oder Angreifer klonen durch „Skimming und Relay“ Informationen von der Karte eines Opfers und verschaffen sich so unerlaubt Zugang zu Betriebsräumen oder auf Datenträger.

Bei ebenfalls verbreiteten Controller-Angriffen überschreiben die Täter die Controller-Firmware und machen Geräte unbrauchbar.

Unternehmen müssen bedenken: Nachdem Cyberkriminelle in das Netzwerk einer Organisation eingedrungen sind, können sie die Kontrolle über andere Gebäudesysteme erlangen. Dann stehlen sie beispielsweise vertrauliche Informationen aus internen Aufzeichnungen oder starten Attacken, um wichtige Systeme auszuschalten, ein Schwachpunkt, mit dem sich NIS2 in wesentlichen Teilen befasst.

Es ist deshalb wichtig, dass Sicherheitsteams Schwachstellen strategisch von Anfang bis Ende angehen – von den Berechtigungsnachweisen bis zur Software-Anwendungsschicht.

Mit Berechtigungsnachweisen sollten zum Beispiel nur autorisierte Personen über Smartphone-Apps, Fingerabdrücke, Karten und andere Methoden Zugang erhalten. Denn oft sind zu großzügig verteilte Benutzerrechte der Grund dafür, dass Hacker-Attacken auf elektronische Schließsysteme erfolgreich sind und Angreifer auf sensible Daten zugreifen können.

In 5 Schritten zur NIS2-Compliance: Experten für physische Sicherheit involvieren

Mit einem Blick auf fünf Schlüsselbereiche vereinfachen Unternehmen die Sicherheits-Compliance und decken den größeren Anwendungsbereich von NIS2 ab. Der Hacker-Angriff auf elektronische Schließanlagen zeigt: Physische Sicherheitslösungen für wichtige Infrastrukturen fallen jetzt unter NIS2, auch wenn sie zuvor von NIS1 nicht betroffen waren.

• 1. Optimierte Zutrittskontrolle mit schlanken, sicheren Prozessen: Das Management des physischen Zutritts kann komplex sein. Damit Teams den Überblick über die Mitarbeiterberechtigungen behalten, erzwingen moderne Lösungen robuste Zutrittskontrollen auf der Grundlage von Benutzerrollen und Berechtigungsnachweisen. Eine fortschrittliche Identitätsverwaltung mit Verschlüsselung und anforderungsbasierter Authentifizierung gewährleistet eine sichere Kommunikation, schützt die Identität der Karteninhaber und bewahrt NIS-konform die Integrität des Systems.

• 2. Kurze Meldefristen für Vorfälle: Unternehmen sind durch NIS2 verpflichtet, erhebliche Cybervorfälle in kurzer Zeit an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Sie benötigen deshalb Klarheit über die Art der Bedrohung und die von ihnen eingesetzten Gegenmaßnahmen. Eine automatisierte Erfassung kritischer Vorfallsdaten mit Berichtsfunktionen unterstützt die genaue Folgenbewertung und minimiert Risiken. So lassen sich die Auswirkungen eines Vorfalls und die betroffenen Nutzer identifizieren und Gegenmaßnahmen dokumentieren.

• 3. Lieferketten – Durchsetzung der Sorgfaltspflicht: Tatsächlich gehen laut der Accenture-Studie „State of Cybersecurity Resilience 2023“ 61 Prozent der erfolgreichen Cyberverletzungen auf indirekte Angriffe auf Organisationen über deren Lieferkette zurück. NIS2 verlangt deshalb Maßnahmen, um die Sicherheit der Lieferketten zu gewährleisten, einschließlich der Sorgfaltspflicht und vertraglicher Vereinbarungen mit Lieferanten.

• 4. Agilität und Sicherheit beim Outsourcing im richtigen Verhältnis: Der europäische Markt für Business Process Outsourcing (BPO) wird von 2023 bis 2030 voraussichtlich jährlich um 7,8 Prozent wachsen. Die Beziehungen zwischen Unternehmen und ihren Dienstleistern werden immer enger. NIS2 regelt sicheres Outsourcing und entsprechende Verträge mit den Geschäftspartnern.

• 5. Verfahren für die Bewältigung von Cybersicherheitsrisiken: Neben der Identifikation ihrer kritischen digitalen Vermögenswerte müssen Unternehmen regelmäßig Risikobewertungen durchführen, um potenzielle Cyberbedrohungen und Schwachstellen zu identifizieren. Zudem gilt es Strategien festzuschreiben, wie sich diese Risiken reduzieren lassen. Geeignete Cybersicherheitsmaßnahmen sind beispielsweise technische Sicherheitsvorkehrungen wie Firewalls, Antivirenprogramme und Intrusion Detection.

Cybersicherheit auf C-Level

Die NIS2 stellt endgültig klar: Cybersicherheit muss zur Chefsache werden. In der Regel wird das Thema aber immer noch nicht über die gesamte Organisation hinweg gedacht, sondern ist in der IT-Abteilung angesiedelt. Jetzt sollten Organisation umdenken und die Chance für mehr Sicherheit und Schutz ihrer Anlagen ergreifen. Denn Einfallstore sind überall. Immer mehr digitale Systeme bergen neue Gefahrenquellen. Cybersicherheit wird durch staatliche Regulatorik vorangetrieben. Es ist höchste Zeit, dass Unternehmen ihre Sicherheitsstrategien anpassen, ihre Technologie bündeln und geschäftskritische Einblicke auf vereinheitlichten Sicherheitssoftware-Lösungen konsolidieren.

Über den Autor: Andreas Flemming ist Area Sales Director DACH bei Genetec.

(ID:50062491)