EU-weite Gesetzgebung zur Cybersicherheit NIS2, was kommt jetzt auf Unternehmen zu?

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

NTT Germany AG & Co. KG

Die EU will mit ihrer überarbeiteten Richtlinie zur Sicherheit von Netz- und Informationssystemen, kurz NIS2, mehr Resilienz in die gesamte Infrastruktur bringen. Bisher wurden viele Branchen von entsprechenden Konzepten weitgehend verschont – nun wird es ernst. Mit NIS2 kommen auf Unternehmen dabei zahlreiche Herausforderungen zu. Umso wichtiger wird es, frühzeitig zu handeln.

Am 10. Oktober 2022 hat das Europäische Parlament in Brüssel ein Abkommen mit den EU-Staaten gebilligt, das Netz- und Informationssysteme besser vor Hackerangriffen schützen soll. Mit den neuen Anforderungen sollen vor allem die Regeln in den 27 EU-Ländern vereinheitlicht werden. Dazu werden Mindestanforderungen an das Schutzniveau und Mechanismen zur Zusammenarbeit zwischen den Ländern geschaffen. Nun haben die Mitgliedsstaaten 21 Monate Zeit, um NIS2 in nationales Recht umzusetzen. Das heißt, spätestens im Herbst 2024 werden sich deutsche Unternehmen mit neuen Regularien konfrontiert sehen.

Weil der eigenverantwortliche Selbstschutz unter dem wirtschaftlichen Handlungsdruck vieler Akteure oftmals zu kurz kommt, greift die Politik immer häufiger ein. Denn viele Unternehmen, allen voran Betreiber kritischer Infrastrukturen, nehmen den Schutz ihrer IT-Infrastruktur trotz zunehmender Gefahren aus dem Cyberraum und anhaltender Krisen mit Auswirkungen auf die Lieferketten nicht ernst. Dabei entsteht laut einer Studie des Branchenverbands Bitkom der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage ein jährlicher Schaden von rund 203 Milliarden Euro. Die Wirtschaft fürchtet laut Analysen vor allem Ransomware-Angriffe. Gleichzeitig wünschen sich 98 Prozent der Befragten mehr Einsatz für eine verstärkte EU-weite Zusammenarbeit bei der Cybersicherheit. 77 Prozent meinen, die Politik solle die Ermittlungsbefugnisse erweitern.

Bildergalerie

Mehr Sektoren, strengere Vorgabe, schärfere Strafen

Diesem Wunsch nach stärkerer Regulierung muss der Gesetzgeber nun spätestens 2024 nachkommen. Künftig werden Unternehmen nicht mehr vor die Wahl gestellt, ob sie sich ausreichend gegen Hacker schützen wollen – vielmehr müssen sie einen Mindeststandard an Sicherheit erfüllen. Angesichts der Tatsache, dass sich aufgrund der rasanten Entwicklungen im Bereich der Cyberrisiken Schwächen von NIS1 und damit die Notwendigkeit zur Anpassung der Vorgaben gezeigt haben, hat die EU nun die Vorschriften in drei Kernbereichen verschärft: Aufsichtsmaßnahmen und Geldbußen, Zusammenarbeit und Kooperation sowie Anforderungen an das Risikomanagement. Gleichzeitig haben die Verantwortlichen den Adressatenkreis des bisherigen Gesetzes deutlich ausgeweitet – insgesamt kommen acht neue Sektoren hinzu. NIS2 unterscheidet dabei zwischen „Essential Services“ (wesentliche Dienste) und „Important Services“ (wichtige Dienste). Die wesentlichen Dienste werden durch die Sektoren Abwasser, Raumfahrt und die öffentliche Verwaltung ergänzt, die wichtigen Dienste wiederum durch die Sektoren Post und Kurier, Abfallwirtschaft, Chemikalien, Ernährung, Industrie sowie Bildung und Forschung. Vor allem der digitalen Infrastruktur widmet die Richtlinie ein großes Augenmerk. Darüber hinaus sollen künftig neben den KRITIS-Einrichtungen auch Unternehmen und Organisationen mit 50 oder mehr Mitarbeitenden sowie einem Jahresumsatz von mindestens zehn Millionen Euro erfasst werden. Schätzung zufolge wird sich damit die Zahl der betroffenen Unternehmen in Europa um 100.000 neue Betriebe und Organisationen erhöhen.

Gleichzeitig ist genau spezifiziert, was technisch notwendig ist. So müssen Unternehmen künftig mindestens die folgenden Cybersecurity-Maßnahmen umsetzen, um IT-Infrastruktur und Netzwerke ihrer kritischen Dienstleistungen zu schützen:

• Policies: Richtlinien für Risiken und Informationssicherheit

• Incident Management: Prävention, Detektion und Bewältigung von Sicherheitsvorfällen

• Business Continuity: Backup-Management, Desaster Recovery, Krisenmanagement

• Supply Chain: Sicherheit in der Lieferkette

• Einkauf: Sicherheit in der Beschaffung von IT und Netzwerk-Systemen

• Effektivität: Vorgaben zur Messung von Cyber- und Risikomaßnahmen

• Kryptographie: Verschlüsselung wo immer möglich

• Zugangskontrolle: Einsatz von Multi-Faktor-Authentifizierung und Single Sign-on

• Kommunikation: Einsatz sicherer Sprach-, Video- und Text-Kommunikation

In der technischen Umsetzung können die Verantwortlichen viele dieser Aspekte mit einer Zero-Trust-Strategie und einem SIEM (Security Information and Event Management)- oder SOC (Security Operations Center)-System abdecken.

Ein Papiertiger sieht anders aus

Aber auch ein anderer Punkt wird die Unternehmen vor ernste Herausforderungen stellen: Innerhalb von 24 Stunden nach Kenntnisnahme des Sicherheitsvorfalls muss eine erste Meldung als Frühwarnung bei den zuständigen Behörden eingehen. In dieser wird angegeben, ob der Sicherheitsvorfall vermutlich auf rechtswidrige oder böswillige Handlungen zurückzuführen ist. Innerhalb von 72 Stunden muss dann ein weiterer Bericht ausgehändigt werden, der die sogenannten Indicators of Compromise beschreibt und der ohne dediziertes Security-Know-how zu einer fast unlösbaren Aufgabe wird. Spätestens einen Monat nach dem Vorfall ist schließlich noch ein Abschlussbericht fällig, der mindestens eine ausführliche Beschreibung des Sicherheitsvorfalls, seines Schweregrads und seiner Auswirkungen sowie Angaben zur Art der Bedrohung und den getroffenen Abhilfemaßnahmen beinhalten muss.

Gleichzeitig wird eine Laissez-faire-Haltung in der Abwehr von Hackerangriffen künftig spürbar bestraft: Statt der 150.000 Euro, die die erste NIS-Fassung als Höchstbetrag für Sanktionen vorsah, drohen Betreibern essentieller Services künftig Geldbußen von bis zu 1,4 Prozent des Jahresumsatzes beziehungsweise 7 Millionen Euro. Betreiber entscheidender Dienste müssen sogar mit Geldbußen in Höhe von 2 Prozent des Jahresumsatzes oder 10 Millionen Euro rechnen. Hinzu kommt: Die Unternehmensführung wird für etwaige Verstöße in Verantwortung genommen und ist damit haftbar. Gleichzeitig werden die Befugnisse der Aufsichtsbehörden deutlich ausgebaut: Sie dürfen nun Inspektionen vor Ort, regelmäßige und gezielte Sicherheitsaudits, Ad-hoc-Überprüfungen im Ernstfall und Sicherheits-Scans durchführen. Jedes Land muss zudem eine Strategie für die aktive Cyberreaktion formulieren. Das heißt, es reicht künftig nicht mehr aus, nur reaktiv Vorfälle zu melden, vielmehr müssen Angriffe verhindert werden. Darüber hinaus müssen die jeweiligen CSIRTs (Computer Security Incident Response Teams) der einzelnen Mitgliedsstaaten zusammenarbeiten, um groß angelegte Cyberangriffe zu bewältigen.

Vorgaben kommen nicht aus heiterem Himmel

Fakt ist, viele Firmen setzen bislang nur symbolische Maßnahmen im Bereich der Cybersicherheit um und nur wenige überprüfen regelmäßig die Wirksamkeit dieser Lösungen. Selbst grundlegende Maßnahmen wie die Netzwerksegmentierung, um ein weiteres Vordringen der Hacker zu vermeiden, werden kaum genutzt. Dabei steht in Deutschland nicht erst mit NIS2 eine verschärfte Regulatorik vor der Tür: Bereits ab dem 1. Mai 2023 ist beispielsweise der Einsatz von Technologien wie SIEM und SOC mit dem IT-Sicherheitsgesetz 2.0 verpflichtend. Aber auch hier zeigt die Erfahrung, dass viele der betroffenen Unternehmen die notwendigen Maßnahmen dafür bislang noch nicht in Angriff genommen haben. Das könnte sogar zum Stolperstein einer fristgerechten Umsetzung von NIS2 werden. Denn die wenigsten Betriebe sind in der Lage, mit der eigenen IT-Mannschaft die geforderten Auflagen zu erfüllen. Einen dedizierten Chief Information Security Officer (CISO) haben die meisten nicht.

Die notwendigen Fachkräfte, um diese Lücken zu schließen, fehlen allerdings – entsprechend beunruhigt zeigen sich die Verantwortlichen: 72 Prozent der für die Bitkom-Studie befragten Unternehmen sehen den Mangel an IT-Sicherheitsexperten als Bedrohung für den eigenen Betrieb an. Denn selbst große Unternehmen in attraktiven Metropolregionen haben Schwierigkeiten, kompetente Kräfte für ihre Sicherheitsteams zu finden. Ob kleine Mittelständler in ländlichen Gegenden in Anbetracht dieses Wettbewerbs an das begehrte Personal kommen, bleibt mehr als fraglich. Wenn man zudem bedenkt, dass manche Hardwarekomponenten derzeit immer noch eine Lieferfrist von bis zu einem Jahr haben, ist der Zeitrahmen, um ein adäquates Sicherheitspaket zu schnüren, mehr als knapp bemessen.

Zwar mögen sich Unternehmen über die zahlreichen Regularien ärgern, ein standardisiertes Vorgehen gegen Risiken jeder Art ist heute aber dringend notwendig. Statt sich von der Gesetzgebung treiben zu lassen, sollten Unternehmen proaktiv vorangehen und Problemfelder frühzeitig adressieren. Denn der nächste Cyberangriff ist in der Regel nur eine Frage der Zeit.

Über den Autor: Bernhard Kretschmer ist Vice President Services und Cybersecurity bei NTT.

(ID:49233867)