So gestalten Unternehmen zukunftssichere Cybersicherheit Regulatorik revolutioniert IT-Sicherheitsstrategien

Anbieter zum Thema

FTAPI Software GmbH

Der wachsende Einfluss durch staatliche Regulatorik in Bezug auf Cyber­sicherheit ist zunehmend spürbar. Nicht nur in Organisationen, die davon direkt betroffen sind, sondern auch bei Anbietern von Informations- und Telekommunikationstechnologie (IKT-Drittanbietern), deren Management eine der wesentlichen Bestandteile von DORA und NIS2 darstellt. Verlangt wird ein Zusammenspiel technologischer, organisatorischer und prozessu­aler Maßnahmen. Welche Aspekte spielen dabei eine Rolle?

Grundsätzlich liegt die Verantwortung für die o. a. Maßnahmen im Top-Management jeder Organisation - unabhängig, ob direkt oder indirekt von staatlicher Regulatorik betroffen. Davon ausgehend gilt es einen risiko-orientierten Ansatz zu etablieren – unterlegt mit entsprechenden Wirksamkeitskontrollen. Es reicht also nicht aus, die Inhalte der Schriftlich Fixierten Ordnung (SfO) stumpf anzuwenden - also die oft zitierte „Dokumentensicherheit“.

Existenz versus Reifegrade

Das Ziel ist vielmehr, definierte Reifegrade zu einem vorab definierten Zeitpunkt zu erreichen. Beispielsweise durch Anwenden eines Managementsystems, auf Basis objektiver, für Dritte nachvollziehbarer, Fakten in Form eines Stufenmodells. Ein Beispiel dafür sind die Reifegrade innerhalb der Orientierungshilfe für Systeme zu Angriffserkennung (OH SzA) des Bundesamtes für Sicherheit in der Informationstechnik (BSI).

Orientierungshilfe „Systeme zur Angriffserkennung“

Angriffserkennung bei kritischen Infrastrukturen

Isolierte Maßnahmen versus ganzheitlichen Ansatz

Die isolierte Implementierung technisch-organisatorischer Maßnahmen im Kontext der hier exemplarisch genannten OH SzA ist ohne die Betrachtung paralleler Maßnahmen bzw. übergeordneter Strategien nicht zielführend. Welche Datenquellen werden beispielsweise an Prozesse und Werkzeuge zur Detektion Sicherheitsrelevanter Ereignisse angebunden? Verfolgen die Inhalte der IT-Strategie das Ziel „Cloud first“, erwirtschaftet die Organisation 90 Prozent ihrer Umsätze („Kronjuwelen“, Primary Assets im Sinne der ISO/IEC 27005) auf Basis von PaaS bzw. SaaS ist der Fokus auf die Anbindung klassischer OnPrem-Datenquellen sicher auch relevant – sollte aber nachgelagert verfolgt werden.

„Machen“ versus Verschriftlichung

Generell müssen im Idealfall alle aktiven Handlungen auf Basis der Inhalte der SfO erfolgen, die Effektivität eines internen Kontrollsystems (IKS) sollte messbar sein und Ergebnisse entsprechend dokumentiert werden. Der Ansatz, insbesondere technische, Maßnahmen umzusetzen um im Nachgang, wenn überhaupt, zu dokumentieren ist vor diesem Hintergrund nicht valide. Tests und Entwicklungen unterliegen vorab definierten Prozessen und Zielen. Sind diese Tests und Entwicklungen Teil eines Projektes müssen auch hier Inhalte der SfO, unterstützt vom IKS, das Rahmenwerk vorgeben. Dies kann von der Definition der Projektmanagement-Methode über die Definition von Qualitätskriterien bis hin zum Template für die Übergabe der Projektprodukte in die Linienorganisation enthalten. Die SfO dient dazu, Verlässlichkeit, Transparenz und Qualität zu gewährleisten. Ein Abweichen muss mit den flankierenden Strategien (z. B. Toleranz zur Förderung von Innovationen) oder Prozessen (Eintritt eines definierten Krisenfalls) übereinstimmen und bei der Implementierung bereits berücksichtigt (mögliche Sanktionierung) werden. Die Inhalte der Strategien gilt es immer wieder zu hinterfragen, Stichwort: Lernende Organisation.

Verborgene Risiken und entscheidende Handlungsschritte

Checkliste zur Umsetzung der NIS2-Anforderungen

Outsourcing versus IKT-Drittanbieter

War es in der Vergangenheit oft üblich, Leistungen mündlich oder per Handschlag zu vereinbarten gilt es zukünftig, auch zu diesem Zweck ein Managementsystem aufzubauen. Insbesondere für den Fall, dass die Leistungserbringung durch IKT-Drittanbieter Bestandteil kritischer und/oder wichtiger Funktionen ist. Das Managementsystem kann als potenzielle Messgrößen hier, neben der Definition von Service Level Agreements, auch die Offenlegung der Lieferkette (Subdienstleister) der IKT-Drittanbieter, die Definition von Key Performance Indikatoren sowie die Betrachtung von Finanzrisiken (Rohstoffpreise, Wechselkursschwankungen) beinhalten. Zusätzliche Komplexität entsteht, wenn Dienstleister verpflichtet werden, auch die vertraglichen Inhalte ihrer Weiterverlagerungskette aktiv zu managen. Wie bereits beschrieben ist dies einer Elemente von NIS2 und DORA – deren Inhalte betreffen also weit mehr Organisationen als nur die direkt Betroffenen.

Stichpunkt- versus Zeitraums- und Wirksamkeitsprüfungen

Stichpunkprüfungen ermöglichen eine oberflächliche Kontrolle, die auf die Existenz bzw. korrekte Umsetzung von Vorgaben abzielt. Zeitraums- und Wirksamkeitsprüfungen hingegen untersuchen, ob Vorgaben tatsächlich ihre Ziele erreichen und effektiv sind. Beide Prüfungsarten sind wichtig und ergänzen sich, um ein vollständiges Bild von der Qualität und Effektivität eines Systems oder Prozesses zu erhalten. Festzuhalten bleibt aber, dass sowohl die Vorbereitung wie auch die Durchführung und Nachverfolgung von Maßnahmen aus Zeitraums- und Wirksamkeitsprüfungen im Gegensatz zur Stichpunktprüfung um ein Vielfaches höher sind. Für den Fall, dass die Erreichung dieser höherwertigen Prüfungsziele (z. B. als Teil der Lieferkette einer von DORA oder der NIS2 betroffenen Organisation) Element einer übergreifenden Strategie ist, muss diese innerhalb der Organisation mit Taktiken (konkreten Einzelmaßnahmen) objektiv unterlegt werden. Entsprechende Vertragsinhalte sind elementarer Bestandteil. Die Herausforderung besteht aber in deren praktischer Umsetzung (technologische, organisatorische und prozessuale Maßnahmen), deren Nachweisbarkeit gegenüber sachverständigen Dritten jederzeit sicherzustellen ist.

Cybersicherheits-Gesetze

Schritt für Schritt DORA-konform

Fazit

Anforderungen stattlicher Regulatorik sind im Gegensatz zu technischen Spezifikationen nicht simplifiziert im Checklisten-Format darstellbar. Bevor Organisationen dazu übergehen, sich im Rahmen der Operationalisierung Fragen nach Frameworks oder der Implementierung technischer Werkzeuge stellen, muss initial ein organisationsübergreifendes Mindset etabliert werden. Dazu bedarf es der oft grundsätzlichen Anpassung des ggf. über einen langen Zeitraum praktizierten Zusammenarbeitsmodells – weg von Vertrauen und Subjektivität, hin zu einem möglichst hohen Grad an Bewertungen bzw. Entscheidungen auf Basis objektiver, unumstößlicher und widerspruchsfreier Fakten. Eine wesentliche Rolle spielt dabei das Top-Management, das, neben der Bereitstellung von Ressourcen für die Aufbau- und Ablauforganisation, die veränderte Kultur unmissverständlich und verbindlich vorleben muss. Eine gesunde Portion Demut und proaktives Handeln sind dafür unerlässlich.

Sicherheit für kritische Infrastrukturen (KRITIS)

Systeme zur Angriffs­erkennung in der Leit- und Fernwirk­technik

(ID:50287196)