Die Mindestanforderungen an produzierende Unternehmen
Ist ein Unternehmen gemäß der NIS2-Richtlinie 2022/2555 als wesentliche oder wichtige Einrichtung eingestuft, unterliegt es Verpflichtungen in den Bereichen Governance, Awareness und dem Risikomanagement. Dazu zählen auch Berichtspflichten über Cybersicherheitsvorfälle und die Bewältigung von Risiken in der Lieferkette. Die Unternehmensleitung wird somit direkt in die Verantwortung genommen, Maßnahmen zur Umsetzung im Bereich der Cybersicherheit durchzuführen und zu überwachen. Des Weiteren müssen technische, operative und organisatorische Vorkehrungen im Bereich des Risikomanagements zur Prävention, Detektion und Reaktion auf potenzielle Cyberangriffe getroffen werden. Art und Umfang dieser Maßnahmen leiten sich anhand bestimmter Bewertungsfaktoren ab, zum Beispiel der Betriebsgröße, der Wahrscheinlichkeit des Eintretens oder der gesellschaftlichen und wirtschaftlichen Auswirkung von Sicherheitsvorfällen.
Gleichzeitig werden mit der NIS2 Richtlinie Mindestanforderungen zum Schutz von den Netz und Informationssystemen vorgegeben, die auch den OT-Sektor betreffen können. Insbesondere in der digitalisierten und vernetzten Produktion finden sich viele Endgeräte, welche nicht nach den neusten IT-Security Standards ausgelegt sind. Dazu zählen unter anderem ältere Steuerungen, kaum aktualisierte maschinennahe HMI oder smarte Sensorik, die aufgrund von Batterielaufzeit sowie aus Platzgründen auf Verschlüsselung und Authentifizierungsmechanismen verzichten. Diese Geräte und deren Kommunikation untereinander müssen nun nach NIS2 auch in das IT SecurityKonzept integriert werden und unterliegen entsprechenden Mindestanforderungen.
Kommt es zu erheblichen Sicherheitsvorfällen, die beispielsweise schwerwiegende Betriebsstörungen zur Folge haben, so müssen betroffene Unternehmen Berichtspflichten einhalten. Hierzu muss 24 h nach der Kenntnisnahme eines erheblichen Sicherheitsvorfalls eine Frühwarnung gemeldet werden. Diese muss innerhalb von 72 h um eine Bewertung inklusive Einordnung des Schweregrads sowie der Auswirkung ergänzt werden. Darüber hinaus können Zwischenberichte über relevante Statusaktualisierungen eingefordert werden, worauf spätestens nach einem Monat ein Abschlussbericht anzufertigen ist. Diese Berichtspflichten greifen auch, wenn dritte Personen oder Institutionen von erheblichen materiellen oder immateriellen Schäden betroffen sein können. In diesem Kontext adressiert NIS2 erstmals auch die Aufforderungen in der Bewältigung von Risiken in der Lieferkette. So könnten Angreifer beispielsweise das Vertrauen in die Lieferkette ausnutzen, um schädliche Komponenten einzuführen oder die Integrität der Lieferkette zu beeinträchtigen.
Aufbau eines IT/OT Reallabors für Security am Fraunhofer IPT
Die fortschreitende Digitalisierung und die zunehmende Konvergenz von IT und OT-Systemen stellen häufige eine Herausforderung im Fertigungssektor dar, die mit einer hohen Komplexität verbunden ist. Dadurch entstehen neue Sicherheitsschwachstellen, die für Cyberangriffe bis auf die Feldebene genutzt werden könnten. Aus diesem Grund wird im vom Bundesministerium für Sicherheit in der Informationstechnik (BSI) geförderten Forschungsprojekt CSII ein IT/OT-Reallabor am 5G-Industry Campus Europe (5G-ICE) in Aachen aufgebaut. In diesem kann industrielle IT in einem realistischen Produktionsumfeld und im Einklang mit nationalen und internationalen Verordnungen geprüft werden. Denn mit der NIS2-Direktive fallen erstmals auch Unternehmen aus dem produzierenden Gewerbe unter eine Regulierung im Bereich der Cybersicherheit, die Verpflichtungen zur Umsetzung von Mindestanforderung mit sich bringt. Das Reallabor ermöglicht es Unternehmen, eingekaufte oder entwickelte Komponenten hinsichtlich der Konformität mit NIS2 „Ende zu Ende“ zu testen und Sicherheitsmechanismen zu validieren, ohne eigene Kapazitäten im Bereich der Cybersicherheit aufbauen zu müssen. Durch praktische Leitfäden und Handlungsempfehlungen erhalten Unternehmen zusätzliche Unterstützung bei der Prävention von Sicherheitsvorfällen und der methodischen Umsetzung von Sicherheitsmaßnahmen, um die Resilienz gegenüber Cyberangriffen zu stärken und die Compliance mit geltenden Vorgaben sicherzustellen.