NIS2 als Chance für die Transformation der IT-Sicherheit nutzen Unternehmen sollten wegen NIS2 die Cyber­resilienz priorisieren

Es lässt sich noch nicht mit Sicherheit sagen, wie genau NIS2 in nationales Recht umgesetzt werden wird, aber es ist klar, dass die Stärkung der Cyberresilienz eines der Ziele der Verordnung ist. In Anbetracht der zahlreichen Angriffe, sollte jede Organisation bereits jetzt proaktive Maßnahmen ergreifen, um ihre Resilienz zu stärken und den Compliance-Anforderungen frühzeitig zuvorzukommen.

In letzter Zeit wurde viel über die neuen Netz- und Informationssicherheit (NIS2) Vorgaben geschrieben, da ein wichtiger Meilenstein bei der Umsetzung näher rückt. Bis zum 18. Oktober 2024 müssen die Mitgliedstaaten die nationalen Anforderungen zur Einhaltung der NIS2-Richtlinie definieren und veröffentlichen.

Dieses Datum mag viele in Panik versetzen, aber es ist nur das Datum, an dem die einzelnen Länder NIS2 in nationales Recht umsetzen und NIS1 (EU 2016/1148) aufheben müssen. Der Zeitpunkt für die Einhaltung der Vorschriften durch die einzelnen Organisationen wird in den von den einzelnen Staaten erlassenen Gesetzen festgelegt. Dies kann bis zu vier Jahre nach diesem Datum der Fall sein. Unabhängig davon, wann NIS2 im jeweiligen Land in Kraft treten wird, ist es für Unternehmen aber an der Zeit, sich mit dem Thema Cyberresilienz auseinanderzusetzen.

Wo liegt der Unterschied zu NIS1?

Viele fragen sich, warum es überhaupt eine zweite oder gar eine dritte Version der NIS-Richtlinie braucht. Die einfache Antwort darauf ist, dass sich die Umstände dramatisch geändert haben. Die neue NIS2-Richtlinie spiegelt die aktuelle Cybersicherheitslandschaft besser wider. Außerdem enthält sie Aktualisierungen, die auf den Erkenntnissen aus NIS1 basieren.

So hat/haben sich seit dem Inkrafttreten der NIS1 im Jahr 2016:

• die Arten von Organisationen, die als kritisch angesehen werden, verändert.

• die Technologie mit der Zunahme von Automatisierung und intelligenten Geräten verändert.

• die Cybersicherheit verändert: Der alte Fokus auf den Schutz statischer Netzwerke wurde durch einen flexibleren Ansatz ersetzt.

• durch die Einführung von Zero Trust der Einsatz von Cybersicherheit vereinfacht, was zu einem sichereren Ansatz bei geringeren Kosten führt.

• die Arten von Cyberangriffen mit einer Zunahme störender Angriffe und dem Auftreten von KI-generierten Angriffen verändert.

Der andere wichtige Grund für eine Aktualisierung von NIS1 ist die Verbesserung der Governance. Die Idee von 2016 war, dass jeder EU-Staat sein eigenes Regelwerk entwickelt und die nationale Regulierungsbehörde dieses durchsetzt. Leider gab es große Unterschiede bei der Umsetzung von NIS1 in den einzelnen Ländern, so dass NIS2 einige Mindeststandards für bestimmte Schwerpunktbereiche festlegt und der Europäischen Kommission eine bessere Aufsicht ermöglicht.

Wie wird sich NIS2 auf das eigene Unternehmen auswirken?

NIS2 zielt darauf ab, die Anforderungen zwischen den Mitgliedstaaten zu harmonisieren, indem spezifische Regeln für die von den Mitgliedern eingerichteten Rahmenwerke festgelegt werden. Der Schwerpunkt liegt dabei auf bestimmten Cybersicherheitsmaßnahmen, darunter:

• Risikoanalyse und Richtlinien für die Sicherheit von IT-Systemen

• Handhabung von Incidents

• Geschäftskontinuität und Krisenmanagement

• Sicherheit der Lieferketten

• Erwerb, Aufbau und Wartung sicherer Netze und Systeme, einschließlich des Umgangs mit Sicherheitslücken und deren Offenlegung

• Policies und Abläufe zur Bewertung der Wirksamkeit von Maßnahmen

• Grundlegende Praktiken der Computerhygiene und Schulungen zur Cybersicherheit

• Richtlinien und Verfahren für den Einsatz von Kryptographie/Verschlüsselung

• Einsatz von Multi-Faktor-Authentifizierung (MFA) gesicherter Kommunikation und gesicherter Notfall-Kommunikation

Mitgliedstaaten, in denen diese Maßnahmen nicht bereits in den nationalen Vorschriften enthalten sind, müssen diese Merkmale ergänzen. Und Organisationen in diesen Ländern, die diese Maßnahmen noch nicht umgesetzt haben, müssen sie anwenden. Die größten Auswirkungen hat NIS2 unter anderem auf Organisationen, die bisher nicht von NIS1 erfasst wurden.

Was kann mein Unternehmen jetzt tun, um sich auf NIS2 vorzubereiten?

Im Jahr 2016 waren Unternehmen in Bezug auf die verfügbaren Sicherheitstools und -ansätze eingeschränkt, gefangen in statischen Technologien wie herkömmlicher AV, NAC und Firewalls und begrenzter Visibilität. Der Schwerpunkt lag immer noch auf der Verhinderung und Erkennung von Angriffen, aber das reicht in den komplexen, hybriden Umgebungen von heute nicht mehr aus. Heute bedeutet die kombinierte Bedrohung durch Ransomware und KI, dass es nicht mehr darum geht, „ob“ oder sogar „wann“ ein Angriff erfolgt, sondern darum, wie stark man gefährdet ist. Die Resilienz gegenüber Cyberangriffen ist von entscheidender Bedeutung, und genau darauf zielt NIS2 ab.

Zwar gibt es noch keine spezifischen technischen Anforderungen für NIS2 in den einzelnen Mitgliedstaaten, doch sollten Unternehmen bereits proaktive Schritte zur Stärkung der Resilienz unternehmen. Und der beste Weg, diese zu erreichen, ist Zero Trust. Dabei handelt es sich um einen Ansatz für die IT-Sicherheit, bei dem davon ausgegangen wird, dass kein Benutzer, Gerät oder Netzwerk von Natur aus vertrauenswürdig ist.

Einer der Schlüsselfaktoren für die Verbesserung der Resilienz gegenüber Cyberangriffen ist die Segmentierung, da sie verhindert, dass ein Angriff kritische Ressourcen erreicht. Die herkömmliche Segmentierung mit Hilfe von Netzwerk-Firewalls bietet jedoch nicht die erforderliche Flexibilität, um auf moderne Angriffe zu reagieren. Die Anwendung der Mikrosegmentierung auf der Ebene der einzelnen Assets unter Anwendung der Zero-Trust-Prinzipien oder der Zero-Trust-Segmentierung (ZTS) bietet eine einfachere und sicherere Lösung zur Eindämmung eines Angriffs.

Eine Strategie zur Eindämmung von Angriffen im Rahmen von Zero Trust umfasst die folgenden Eckpfeiler:

• 1. Annahme einer Sicherheitsverletzung und entsprechende Planung

• 2. Identifizieren aller Assets und Ressourcen und Analyse der gegenseitigen Abhängigkeiten

• 3. Schutz vor allen Schwachstellen und ungeschützten Ports

• 4. Schnelles Reagieren bei Angriffen

• 5. Sichere Wiederherstellung ohne Reinfektion

Von der Prävention von Angriffen hin zur Aufrechterhaltung des Betriebs

Das Ziel der NIS-Richtlinie ist es, die Resilienz der kritischen Infrastrukturen in der Europäischen Union zu verbessern. Dies bedeutet, dass sichergestellt werden muss, dass die Dienste auch bei Angriffen aufrechterhalten werden können. Um dies zu erreichen, muss der Schwerpunkt nicht mehr darauf liegen, einen Angriff zu stoppen, sondern sicherzustellen, dass ein Angriff eingedämmt wird und die geschäftskritischen Ressourcen einer Organisation nicht erreichen kann.

Mit ZTS können Sicherheitsteams granulare Asset-basierte Segmentierungsrichtlinien implementieren, um den Zugriff auf hochwertige Anwendungen und Systeme wie Lohnbuchhaltung und Produktion zu beschränken. Dadurch wird verhindert, dass sich Angriffe auf kritische Ressourcen ausbreiten, wenn ein Teil des Netzwerks angegriffen wird.

Im Vergleich zu herkömmlichen Präventions- und Erkennungsstrategien ist ein Ansatz zur Eindämmung von Angriffen viel einfacher, da Unternehmen sich nur darauf konzentrieren müssen, guten Datenverkehr zuzulassen, anstatt alles zu finden und zu stoppen, was schlecht ist. Dies ist in der heutigen Zeit, in der KI schnell Schwachstellen und offene Verbindungen finden und ausnutzen kann und die Wahrscheinlichkeit eines Angriffs noch größer wird, von entscheidender Bedeutung.

Indem sie sich auf den Schutz der Ressource konzentrieren, sei es auf einem Server, in der Cloud oder einem OT-Gerät, und nicht auf das Netzwerk, können die Betreiber wichtiger Dienste schneller und effektiver auf die ständig zunehmenden Angriffe reagieren, selbst wenn die Angriffsfläche wächst. Außerdem wird durch den Schutz jeder einzelnen Ressource eine Unterbrechung der Wirtschaft und Gesellschaft durch Cyberangriffe verhindert, und opportunistische Kriminelle kommen nicht mehr zum Zuge.

NIS2 als Chance für die Transformation der IT-Sicherheit nutzen

Rechtsvorschriften wie NIS2 allein werden niemals zu einer wirklich sinnvollen Veränderung der Cybersicherheit führen, denn die Einhaltung der Vorschriften bedeutet nur, das Minimum zu tun - aber das Minimum reicht nicht mehr aus. IT-Umgebungen sind heute so komplex und Bedrohungen so allgegenwärtig, dass Unternehmen es sich einfach nicht leisten können, auf gesetzliche Richtlinien zu warten, um Sicherheitsverbesserungen vorzunehmen.

Anstatt NIS2 als notwendiges Übel zu betrachten, sollten Unternehmen es als Chance sehen, ihre IT-Sicherheit zu verbessern und die Cyberresilienz zu erhöhen. Viele Jahre lang haben die Betreiber wichtiger Dienste enorme Summen in die Verhinderung von Angriffen investiert - mit begrenztem Erfolg. Deshalb müssen sich die Investitionen auf Technologien verlagern, die die Widerstandsfähigkeit gegenüber Cyberangriffen erhöhen.

Durch die Abkehr von statischen netzwerk- und perimeterbasierten Sicherheitsmodellen hin zu dynamischen anlagenbasierten Ansätzen wie Zero Trust und Zero-Trust-Segmentierung können Unternehmen nicht nur ihre Compliance-Probleme lösen, sondern auch ihre Ziele in Bezug auf die Cyberresilienz.

Über den Autor: Paul Bauer ist Regional Sales Director bei Illumio, wo er für die Leitung des Vertriebs und das Wachstum des Unternehmens in Deutschland verantwortlich ist. Mit über 20 Jahren Erfahrung in Führungspositionen in der Unternehmens-IT und -Sicherheit unterstützt er Unternehmen dabei, Zero-Trust, Ransomware-Containment und Segmentierung einzuführen, um sowohl Sicherheit als auch geschäftliche Agilität zu gewährleisten.

(ID:49889520)