So bereit sind deutsche Firmen für die verpflichtende Cyber-Vorsorge So erreichen Unternehmen NIS2-Konformität

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Bis Oktober 2024 müssen Unternehmen in Deutschland die näher rückende NIS2-Richtlinie umsetzen. Aber mangels wasserdichter Sicherheits- und Identitätskonzepte, sind nur die wenigsten sind überhaupt darauf vorbereitet.

Der Countdown läuft: Ab dem 17. Oktober 2023 wird es zumindest für diejenigen Unternehmen in Deutschland ernst, die mindestens 50 Mitarbeitende beschäftigen und einen jährlichen Umsatz von 50 Millionen EUR tätigen. Zudem müssen sie in den Geltungsbereich „Essential Entities“ oder „Important Entities“ fallen. Treffen diese Kriterien zu, sind sie ab diesem Datum dazu verpflichtet, ein funktionsfähiges Risikomanagement einzuführen sowie alle notwendigen Vorkehrungen dafür zu treffen, um die IT-Sicherheit ihrer Anlagen, Netzwerke, IT-Systeme sowie deren Zugänge verstärkt abzusichern. Ein zusätzlicher Kraftakt: Sie müssen die Qualität dieses erhöhten Sicherheitsniveaus selbst ermitteln. Was sowohl angesichts des Fachkräftemangels, aber auch bezogen auf das entsprechend nötige Knowhow keine leichte Sache sein dürfte.

Und um es gleich vorwegzunehmen, Ignorieren ist keine Option: Denn halten die Firmen nicht die entsprechende Frist ein, um die neuen Vorschriften umzusetzen, blühen ihnen Strafen bis zu zehn Millionen Euro. Schlimmer noch: Gemäß einem Referentenentwurf des Bundesinnenministeriums muss die Firmenleitung bei Fehlern in der Umsetzung mit dem Privatvermögen haften. Bevor sich die betroffenen Führungskräfte allerdings dieser Konsequenzen so richtig bewusstwerden, sollten sie Maßnahmen ergreifen, wie beispielsweise die Implementierung einer belastbaren Zero Trust Initiative, um den Anforderungen der NIS2-Richtlinie gerecht zu werden.

Die gibt an, was der erhöhte Sicherheitsschutz beinhalten soll. So werden die Unternehmen beispielsweise dazu verpflichtet, ihre Maßnahmen zum Schutz vor Cyberangriffen zu verbessern, insgesamt strengere Sicherheitsstandards zu etablieren und IT-Systeme immer auf dem neusten Stand zu halten. Allerdings lässt der entsprechende Referentenentwurf zu wünschen übrig, denn er bietet wenig Konkretes.

Gewachsene Insellösungen erschweren erhöhte Sicherheitsniveaus

Aber die Zeit wird knapp, denn für die Aufwertung der gesamten IT-Sicherheitsarchitektur haben die Unternehmen nur noch ein paar Monate Zeit. Die Richtlinie ist derzeit wohl nicht nur das Regelwerk der EU mit dem höchsten Stellenwert für eine sichere Infrastruktur, sie ist auch eine kleine Revolution für diejenigen Unternehmen, deren Schutz vor Cyberattacken über viele gewachsene Insellösungen bisher weit verteilt über die gesamte Organisation war. Hier braucht es mehr Zentralität, um schnell und unkompliziert Risikoanalysen nach einem Angriff zu fahren oder auch die angeforderte Notfall-Kommunikation zu starten.

Hinsichtlich einer verbesserten Cybersicherheit ist es in jedem Fall ratsam, sich zunächst um die Robustheit der Access-Management Prozesse zu kümmern. Damit vielfältige Zugänge durchgängig sicher gemacht werden können.

Denn gerade im weit verzweigten Netz unterschiedlicher Nutzerzugänge – von Mitarbeitenden bis Lieferanten – lauern die größten Gefahren. Unsere weltweite Erhebung zum Status Quo der Zero Trust Initiativen gibt in diesem Kontext Aufschluss darüber, wie angesichts einer dynamischen Bedrohungslage ein erhöhtes Sicherheitsniveau erreicht werden kann. Oder anders ausgedrückt: Wie bereit die IT-Sicherheitsetagen für eine verpflichtende Cyber-Vorsorge schon sind, und wo es noch Nachholbedarf gibt.

Zero-Trust gewinnt an Boden

Konkret geben 61 Prozent der befragten Entscheider an, bereits eine Zero-Trust-Strategie implementiert zu haben. Weitere 28 Prozent planen, dies innerhalb der nächsten 6-12 Monate umzusetzen. Anders ausgedrückt befinden sich derzeit sechs von zehn Unternehmen auf dem Weg zu einer umfassenderen Umsetzung von Zero Trust, im Vergleich zu 24 Prozent im Vorjahr.

Nicht überraschend: 51 Prozent aller befragten Entscheider werten das Identitätsmanagement als "sehr wichtig" für ihre Security-Strategie. Im Vergleich dazu lag dieser Anteil im letzten Jahr bei lediglich etwa 27 Prozent. Darüber hinaus stimmt die Hälfte dieser Entscheidungsträger überein, dass die Verantwortung für Zero Trust und Identitätsmanagement bei den Sicherheitsteams liegen sollte. Diese Entwicklung könnte wahrscheinlich darauf zurückzuführen sein, dass identitätsbasierte Angriffe, wie beispielsweise Phishing, nach wie vor zu den am weitesten verbreiteten Bedrohungen gehören. Sicherheitsteams verfügen im Vergleich zur IT über spezifischere Kompetenzen in diesem Bereich. Was auch den NIS2-Anforderungen entgegenkommen dürfte.

Mehr Budget für neue ZT-Initiativen

Entsprechende Budgets sollen für die Umsetzung dieser Initiativen bereitgestellt werden. Ganze 80 Prozent gaben an, dass ihre Budgets im Vergleich zum Vorjahr gestiegen sind. Genauer gesagt berichten 60 Prozent von Budgetsteigerungen von bis zu 25 Prozent, während ein weiteres Fünftel noch größere Zuwächse verzeichnet. Dieser Anstieg der Investitionen ist vor allem auf die Zunahme hybrider Arbeitsmodelle, den uneingeschränkten Zugriff auf Cloudumgebungen sowie die steigende Anzahl von Angriffen auf Firmennetzwerke insgesamt zurückzuführen. Trotzdem hier Gelder verfügbar gemacht werden sollen, ist Zero Trust alles andere als ein Selbstläufer und keine Frage der technischen Reife.

Denn laut Erhebung gehört der Mitarbeiter selbst zu den größten Unsicherheitsfaktoren, da er sich heute von überall einloggen kann. Hinzu kommen fehlende Fachkenntnisse aufgrund zu niedriger Personalstände im IT-Security Bereich sowie teils veraltete IT-Infrastrukturen. Die Herausforderungen von Zero Trust sind also komplexer und struktureller geworden. Weshalb es für die Einhaltung von NIS2 neben der technologischen Vorsorge auch die ablauforganisatorische und personelle Vorbereitung braucht.

Ein Drittel setzt auf MFA

Um dem Unsicherheitsfaktor „Mitarbeiter“ bestmöglich beikommen zu können, setzen 34 Prozent aller gefragten IT- und Security-Entscheider auf die Multifaktor-Authentifizierung. Sowohl für externe Partner, wie auch Lieferanten. 33 Prozent bevorzugen diese Sicherheitsmaßnahme für ihre eigenen Mitarbeitenden. Im Gegensatz zum letztjährigen Bericht, neigen jetzt zwei von drei Unternehmen dazu, den Schwerpunkt stärker auf die Sicherheit im Rahmen des Zero Trust-Ansatzes zu legen. Der ist allerdings von Branche zu Branche noch recht unterschiedlich.

Größte Fortschritte im Finanzwesen und der Softwareindustrie

Je nachdem ob und in welcher Intensität Branchen gesetzlichen Regularien unterliegen, variieren auch die von ihnen eingesetzten Sicherheits-Maßnahmen, um zuverlässige Compliance sicherstellen zu können. Betrachtet man beispielsweise die Branchen Finanz- und Gesundheitswesen sowie den öffentlichen Sektor und die Softwareindustrie, fällt auf, dass alle Branche zwar in puncto Zero Trust die größten Implementierungs-Fortschritte gemacht haben, dennoch viel Wegstrecke zurückgelegt werden muss. Finanzdienstleister führen mit 71 Prozent das Feld der Zero Trust Initiativen an, dicht gefolgt von der Softwareindustrie mit 69 Prozent. Die öffentliche Verwaltung (58 Prozent) und das Gesundheitswesen (47 Prozent) liegen auf Platz drei und vier.

Kaum eine Branche verzeichnete im vergangenen Jahr so viele Sicherheitsangriffe wie der Finanzsektor. In den Jahren 2021, 2022 und auch im aktuellen Jahr gehörte diese Branche regelmäßig zu denjenigen, die sich mit den schwerwiegendsten Datenschutzverletzungen auseinandersetzen musste - häufig betraf es Millionen von Verbraucherdaten. Daher wurde Zero Trust hier besonders frühzeitig implementiert. Schon 2022 setzten bereits die Hälfte aller weltweit befragten Entscheidungsträger auf Zero Trust. In diesem Jahr stieg diese Zahl um weitere 21 Prozent. Mehr als 90 Prozent der Befragten messen dabei dem Identitätsmanagement eine Schlüsselrolle bei.

Hinsichtlich des Ressourcenschutzes haben Finanzdienstleister ihre Server, Datenbanken und SaaS-Anwendungen besonders im Fokus. 62 Prozent geben an, bereits Maßnahmen zum Schutz dieser Ressourcen ergriffen zu haben, während 51 Prozent entsprechende Planungen vornehmen. In Bezug auf den Zugriffsschutz setzen 43 Prozent auf Single Sign-On (SSO) oder Multifaktor-Authentifizierung. Darüber hinaus nutzen 36 Prozent Privileged Access Management für die Cloud.

ZT-Sicherheitsarchitektur als Grundlage für NIS2

Auch wenn die NIS2 Richtlinie und Zero Trust Initiativen zwei ganz unterschiedliche Ansätze sind, steuern sie doch auf dasselbe Ziel hin: die Sicherheit von Informationssystemen und Netzwerken nachhaltig zu stärken. Daher könnte die weitere Implementierung eines Zero-Trust Modells eine wirksame Strategie sein, um die Sicherheitsanforderungen zu erfüllen und damit die Risiken von Cyberangriffen zu minimieren. Zero Trust bietet eine proaktive Sicherheitsarchitektur, die sich nicht nur auf die Abwehr von externen Angriffen konzentriert, sondern auch auf die Reduzierung interner Bedrohungen. Das ist eine Chance für die IT-Security, die sie im Zuge der NIS2-Konformität ergreifen sollte.

Über den Autor: Sven Kniest ist Vice President Central & Eastern Europe bei Okta.

(ID:49899154)