Eine europäische Lösung für die Cybersicherheit Warum NIS 2 so wichtig ist

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Was passiert, wenn ein Unternehmen Opfer eines Cyberangriffs wird? Neben offensichtlichen Schäden gilt es, das Problem behördlich zu melden. Doch viele Unternehmen sind sich nicht darüber im Klaren, was der Gesetzgeber der Europäischen Union im Falle eines Angriffs vorschreibt. Die neue NIS-2-Richtlinie soll hier für Klarheit und mehr Cybersicherheit in der ganzen EU sorgen.

Hier setzte bisher die NIS Richtlinie an – also die Guideline über die Sicherheit von Netz- und Informationssysteme (von 2016). Die Pandemie hat jedoch unweigerlich dazu beigetragen, die Grenzen der NIS Richtlinie aufzuzeigen. Digitale Abläufe und Interaktionen wurden tiefgreifend gestört, was die Divergenzen zwischen den verschiedenen Umsetzungen auf nationaler Ebene erheblich verschärfte und die Anwendung stark einschränkte. Folgerichtig wurde NIS im Jahr 2020 einer Überprüfung unterzogen. Das Ergebnis: NIS-2. Eine überarbeitete Fassung, die den bestehenden Rechtsrahmen vor dem Hintergrund der zunehmenden Digitalisierung des Binnenmarktes und akuter Bedrohungen für die Cybersicherheit modernisieren soll.

EU-Regulierung der Cybersicherheit

Forderungen und Kritik zur NIS-2-Richtlinie

Von NIS zu NIS-2: Das Cybersicherheitsszenario im New Normal

Der neue Vorschlag der Kommission zielt darauf ab, die Mängel der früheren NIS-Richtlinie zu beheben, sie an den aktuellen Bedarf anzupassen und zukunftssicher zu gestalten, ohne dabei die Autonomie der Länder einzuschränken. Eckpfeiler wird es aber dennoch geben:

• Neubestimmung des Anwendungsbereichs mit konsequenter Ausweitung desselben

• Rationalisierung und Vereinfachung der zu gewährleistenden Mindestsicherheitsanforderungen und der Meldepflichten bei IT-Vorfällen

• Stärkung der Überwachung und Anwendung der Rechtsvorschriften auf EU-Ebene durch die Einführung neuer Verantwortlicher

• Verstärkte Zusammenarbeit zwischen den Mitgliedstaaten mit Anreizen zum Erfahrungsaustausch

Neue Verpflichtungen also, die darauf abzielen, eine größere Gesamtsicherheit in der Lieferkette zu gewährleisten, indem das Konzept des Risikomanagements und der Schwachstellenbewertung auf Anbieter von Dienstleistungen ausgedehnt wird, die der NIS-2-Richtlinie unterliegen.

NIS und NIS-2: Änderungen auf einen Blick

Während noch auf den finalen Rahmen der NIS-2-Richtlinie gewartet wird, besteht die Absicht der Europäischen Kommission eindeutig darin, den Regelungsrahmen für die IT-Sicherheit zu stärken und vor allem die Anwendung in den verschiedenen Mitgliedstaaten zu vereinheitlichen, in denen derzeit zu große Unterschiede bestehen. Es bedarf hier einem europäischen Netzwerk von Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe), um einen besseren Informationsaustausch und eine gemeinschaftliche Zusammenarbeit zwischen den Behörden der einzelnen Mitgliedsländer zu erreichen.

In Anbetracht der verschiedenen Aktualisierungen, die in der endgültigen Fassung der NIS-2-Richtlinie vervollständigt werden sollten, müssten Unternehmen im Vergleich zur vorherigen Version sicherlich erweiterte Mindestanforderungen einhalten:

• Analyse und Bewertung der Sicherheitsrisiken von Informationssystemen

• Management von IT-Vorfällen: Vorbeugung, Erkennung, Identifizierung, Eindämmung, Abschwächung und Reaktion auf Vorfälle (Incident-Response-Aktivitäten)

• Gewährleistung der Geschäftskontinuität und des Krisenmanagements

• Gewährleistung der Sicherheit der Lieferkette durch Kontrolle der Sicherheitsanforderungen von Lieferanten in der Lieferkette

• Gewährleistung der Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen

• Gewährleistung der Sicherheit von Netzwerken und Informationssystemen durch Schwachstellenbewertung, Penetrationstests und ähnliche Aktivitäten; Prüfung und Bewertung der Wirksamkeit von IT-Sicherheitsrisikomanagementmaßnahmen.

Für wen ist NIS-2-Richtlinie relevant?

Der Anwendungsbereich der ursprünglichen NIS-Richtlinien schloss nicht alle öffentlichen und privaten Unternehmen ein. Sie sah ausdrücklich die Abdeckung einiger kritischer Sektoren wie Digitale Infrastrukturen und Anbieter digitaler Dienste; Energie, Öl und Gas; Wassernetze; Gesundheit; Verkehr, etc. vor. Der NIS-2-Richtlinie wurden nun weitere Sektoren hinzugefügt, um offensichtliche Lücken im Zusammenhang mit kritischen Infrastrukturen zu schließen: Öffentliche Verwaltung; Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste; Abfallwirtschaft; Luft- und Raumfahrt; kritische Produkte (z. B. Arzneimittel, medizinische Geräte, Chemikalien usw.); Postdienste; Agrar- und Lebensmittelketten; zusätzliche digitale Dienstleistungsplattformen (z. B. Datenzentren und soziale Netzwerke)

In anderen Worten: wesentliche und wichtige Unternehmen anstelle der bisherigen Betreiber wesentlicher Dienste und Anbieter digitaler Dienste. Obwohl die Einstufung noch nicht final erfolgt ist, könnten wesentliche Einrichtungen mit den Bereichen Energie, Verkehr, Banken und Finanzinstitute, Trinkwasser, Abwasser, digitale Infrastrukturen, Gesundheit, Luft- und Raumfahrt und öffentliche Verwaltung übereinstimmen. Wichtige Einrichtungen sollten daher den Postdiensten, der Abfallwirtschaft, der chemischen Industrie, der Agrar- und Ernährungsindustrie und der digitalen Versorgung zugeordnet werden, die nicht zu den wesentlichen Einrichtungen gehören. Es ist möglich, dass die Mitgliedstaaten bei der Umsetzung der europäischen Richtlinie auf nationaler Ebene einige weitere Spezifikationen zur Klassifizierung von wesentlichen und wichtigen Unternehmen, die in ihren Zuständigkeitsbereich fallen, festlegen.

Derzeit würden die Bestimmungen der NIS-2-Richtlinie (wie in der ursprünglichen Fassung) keine KMU einschließen. Stattdessen werden die KMU ausdrücklich in verschiedenen Funktionen erwähnt, die an den Lieferketten wesentlicher oder wichtiger Einrichtungen beteiligt sind, und zwar im Zusammenhang mit den Kontrolltätigkeiten der gesamten Sicherheitskette, die in der NIS 2 eingeführt werden. Für kleine und mittlere Unternehmen könnte die NIS-2-Richtlinie den Mitgliedstaaten in der Umsetzungsphase einen breiten Entscheidungsspielraum lassen, wahrscheinlich auf der Grundlage einiger wirksamer Leitlinien auf EU-Ebene. Diese Bestimmungen sollten in den nationalen Strategieplan für Cybersicherheit aufgenommen werden. Die Tendenz scheint recht eindeutig zu sein: das Ziel muss darin bestehen, die Verpflichtungen zur Cybersicherheit auf alle Wirtschaftstätigkeiten auszuweiten. Die NIS-2-Richtlinie wird voraussichtlich ein entscheidender Schritt in diese Richtung sein.

NIS 2 goes DSGVO

Einer der Faktoren, der bei der Prüfung der ersten inhaltlichen Vorschläge der NIS-2-Richtlinie am meisten auffällt, ist die klare Angleichung an das, was die Datenschutz-Grundverordnung (DSGVO) bereits vorsieht. Beispielsweise das Verhalten gegenüber Lieferanten, wodurch das Konzept der Lieferkette auch unter dem Gesichtspunkt der Informationssicherheit deutlicher wird. Für den Fall, dass die Datenverarbeitung Dritten anvertraut wird, sieht die Datenschutz-Grundverordnung ausdrücklich Verpflichtungen vor, die von den Datenverarbeiter übernommen werden müssen. Somit gilt der Grundsatz der Entlastung nicht und beide Parteien sind im Falle eines Vorfalls haftbar. Die NIS-2-Richtlinie scheint mit ihren Klarstellungen zur Lieferkette den gleichen Weg einschlagen zu wollen.

Achtung vor den Sanktionen!

Eine weitere Analogie zwischen der NIS-2-Richtlinie und der Datenschutz-Grundverordnung zeigt sich nun auch beim neuen Sanktionssystem. Wenn die NIS-Richtlinie in Anbetracht der strategischen Bedeutung der betroffenen Personen ein eher mildes Verwaltungshandeln vorsah, so lässt sich dies von den Prognosen ihres Nachfolgers nicht behaupten. Während die NIS-Richtlinie einen Höchstbetrag von 150.000 Euro für die Sanktionen vorsah, ändert die NIS2 die Größenordnung völlig und sieht sogar 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Einer der ersten Vorschläge der NIS-2-Richtlinie sieht vor, dass zumindest für einige Dienstleistungen, die noch näher zu spezifizieren sind, die Zuständigkeit ausschließlich in dem Staat liegt, in dem das Unternehmen seinen Hauptsitz hat, der bereits als der Ort identifiziert wurde, an dem sein IT-Sicherheitsrisikomanagement durchgeführt wird. Sollten diese in einem Nicht-EU-Land liegen, wird das Kriterium auf Europa übertragen, in dem das Unternehmen eine Niederlassung mit der größten Anzahl von Mitarbeitern hat, unabhängig von den erbrachten Funktionen. Die Einschränkung des Bereichs auf der Ebene der Rechtsprechung dürfte die Verfahren für die Einrichtungen, die Dienstleistungen auf internationaler Ebene erbringen, wie Datenzentren, CSPs (Cloud Service Provider), TLD-Namensregistrierungsstellen, CDN-Anbieter, DNS-Dienstleister und viele andere Anbieter digitaler Dienstleistungen, rationalisieren und erleichtern.

Proaktivität der Unternehmen als Erfolgsfaktor der Umsetzung

Für uns ergibt sich ein gewisser Optimismus aus der Tatsache, dass die präziseren Angaben im Text des Vorschlags auf eine einfachere und homogenere Umsetzung hindeuten als im Fall der ursprünglichen NIS-Richtlinie. Eine stärkere Zusammenarbeit auf kontinentaler Ebene könnte die Bekämpfung der Ursachen schwerwiegenderer Vorfälle erheblich erleichtern, mit den daraus resultierenden Vorteilen und Einsparungen für alle beteiligten Unternehmen auf globaler Ebene. Es liegt auf der Hand, dass die Mindestsicherheitsanforderungen im Vergleich zu den Bestimmungen der ersten Revision der NIS-Richtlinie generell deutlich angehoben werden müssen. Mehr denn je bietet sich für die Unternehmen die Möglichkeit, einen Weg in zwei zunehmend konvergierende Richtungen einzuschlagen. Neben dem reaktiven Ansatz, der darauf abzielt, IT-Vorfälle abzuschwächen, einzudämmen und darauf zu reagieren, wird ein proaktiver Ansatz immer wichtiger. Zudem gewinnt die Fähigkeit an Bedeutung, Angriffsmuster auch dann zu erkennen, wenn sie bisher unbekannt waren. Darauf zielt beispielsweise das Update der NATO-Sicherheitsmaßnahmen ab, die vor kurzem durch Socwise durchgeführt wurden. Teil der Aktualisierung waren umfangreiche Updates der Endpoint Security Maßnahmen und Paket-Capture-Systeme, die genau dieses leisten sollen.

Über die Autoren

Helmut Wahrmann ist Advisory Systems Engineer von NetWitness, einem RSA Business.
Gergely Lesku ist Head of Business Development bei Socwise.

(ID:48534064)