Verschiedene Maßnahmen zur Eingrenzung der Bedrohungen

Die EU-Mitgliedstaaten haben die Verpflichtung, der EU bis zum 17. April 2025 eine eigene Liste mit den Namen wesentlicher Unternehmen vorzulegen, die in einem zweijährigen Turnus überprüft wird. Die dort auf-geführten Unternehmen müssen die Anforderungen des Kapitels IV der NIS-2-Richtlinie erfüllen, etwa die in Artikel 21 festgeschriebenen „Maßnahmen für das Management von Cybersicherheitsrisiken“ oder die in Artikel 23 definierten „Meldepflichten“. Die Maßnahmen zum Management von Cybersicherheitsrisiken beschreiben die angemessenen technischen, betrieblichen und organisatorischen Rahmenbedingungen zur Beherrschung von Risiken hinsichtlich der Sicherheit von Netzwerk- und Informationssystemen. Ihr Ziel ist die Verhinderung oder Minimierung der Auswirkungen von Sicherheitsvorfällen.  

Alle Bedrohungen, welche die Netz- und  Informationssysteme sowie deren physische Umgebung gefährden, lassen sich durch die folgenden Aktivitäten eingrenzen:

• Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme;
• Behandlung von Zwischenfällen;
• Weiterführung der Geschäftstätigkeit – beispielsweise durch ein Backup-Management oder die Wiederherstellung nach einem Notfall – sowie Krisenmanagement;
• Sicherheit der Lieferkette einschließlich sicherheitsrelevanter Aspekte in den Beziehungen zwischen jeder Einheit und ihren direkten Lieferanten oder Dienstleistern;
• Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerken und Informationssystemen inklusive des Umgangs mit und der Offenlegung von Schwachstellen;
• Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Management von Cybersicherheitsrisiken;
• grundlegende Praktiken der Cyberhygiene und Cybersicherheitsschulungen;
• Richtlinien und Verfahren in Bezug auf den Einsatz von Kryptografie und Verschlüsselung, soweit erforderlich;
• Sicherheitssystem für Mitarbeitende, Zugangskontroll-Richtlinien und ein Asset Managementsystem;
• Nutzung von Multifaktor- oder kontinuierlichen Authentifizierungslösungen, gesicherter Sprach-/Video-/Textkommunikation sowie eines internen Notfall-Kommunikationssystems (Abb. 2).

Oberste Führungsebene für die Einhaltung und Umsetzung verantwortlich

In der Meldepflicht ist festgelegt, wann und wie die Organisationen bedeutende Sicherheitsvorfälle an ein nationales Computer Security Incident Response Team (CSIRT) melden müssen. Spätestens nach 24 Stunden ist eine Frühwarnung vorgeschrieben, nach 72 Stunden sind weitere Informationen über den Schweregrad sowie die Auswirkungen und Indikatoren für eine Kompromittierung vorzulegen. Innerhalb eines Monats nach einem Vorfall muss die Organisation einen Abschlussbericht mit einer detaillierten Beschreibung des Vorfalls, seines Schweregrads, seiner Auswirkungen, der Art der Bedrohung und der Abhilfemaßnahmen einreichen.

In dem Bewusstsein, dass diese Anforderungen eine Herausforderung darstellen, definiert die EU entsprechende Aufsichts- oder Durchsetzungsmaßnahmen durch die nationalen Behörden (Artikel 32/33), wobei die Geldbußen je nach Art des Unternehmens zwischen 7 Mio. € oder maximal 1,4 % des gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr und 10 Mio. € oder maximal 2 % des gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr betragen (Artikel 34). Für die Umsetzung und Überwachung der Cyber-Security-Maßnahmen ist die oberste Führungsebene der Unternehmen verantwortlich (Artikel 20).

Zur Einhaltung der strengen Maßnahmen erweist es sich als wichtig, europäische und internationale Normen sowie technische Spezifikationen als Grundlage für die Instrumente zum Management von Cybersicherheitsrisiken in sämtlichen EU-Ländern zu verwenden (Artikel 25). Diese Normen bestimmen sichere Produkte und Grundsätze für die Gestaltung von Systemen im Bereich der Cybersicherheit. Eine solche Norm ist z. B. die IEC 62443 als international führende Normenreihe für Industrial Security in der Automatisierung.