Konsequenzen bei Nichteinhaltung
Werden die Verpflichtungen nicht umgesetzt, können für wichtige Einrichtungen Geldbußen in Höhe von maximal 7Mio. € oder 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahrs erwirtschafteten Umsatzes verhängt werden. Zur Prüfung sind Behörden dazu befugt, vor Ort Kontrollen und Aufsichtsmaßnahmen durchzuführen bzw. können Dritte damit beauftragen. Solche Maßnahmen sind sowohl von den Behörden als auch von geschulten, externen Fachkräften durchführbar. Bei Verstößen ist es möglich, die Leitungsorgane der Betriebe persönlich in die Verantwortung zu ziehen.
Sinnvolle Vorgehensweise
Um die Resilienz eines Unternehmens gegen Cyberangriffe zu stärken und die Konformität mit der NIS2-Richtlinie sicherzustellen, ist es empfehlenswert, Maßnahmen umzusetzen, die den nationalen sowie internationalen Leitfäden und Standards entsprechen. Diese Maßnahmen können beispielsweise auf Basis des IT Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik (BSI) umgesetzt und gemäß der international anerkannten Norm für Informationssicherheit ISO/IEC 27001 zertifiziert werden. Für das produzierende Gewerbe nehmen insbesondere die internationale Normreihe IEC 62443 „Industrielle Kommunikationsnetze IT Sicherheit für Netze und Systeme“ sowie die nationale Sicherheitsrichtlinie VDI/VDE 2182 „Informationssicherheit in der industriellen Automatisierung“ einen wichtigen Stellenwert ein. Dies kann insbesondere zur Absicherung von Betriebstechnologien angewendet werden. Konkrete Maßnahmen könnten beispielsweise die Integration von Zero Trust Grundsätzen in der Produktion, den Aufbau von Asset und Patch Management Systemen sowie ein Identitäts und Zugriffsmanagement umfassen. Zusätzlich ist die Sensibilisierung der Nutzer durch Schulungen der Mitarbeiterinnen und Mitarbeiter möglich.
Leitfaden bietet Hilfestellung
Die Einhaltung und Umsetzung dieser Normen und Standards ist für Unternehmen häufig mit großem Aufwand verbunden, da die Richtlinie nicht nur die bestehende IT Infrastruktur, sondern auch die in der Produktion eingesetzten Systeme betrifft. Dementsprechend muss neues Know how gerade bei kleineren und mittelständischen Unternehmen erst aufgebaut werden.
Aus diesem Grund entwickelt das Fraunhofer Institut für Produktionstechnologie IPT zusammen mit seinen Partnern in einem vom BSI geförderten Forschungsund Entwicklungsprojekt einen Leitfaden zu NIS2 für die Produktion. Parallel dazu entsteht ein IT/OT Reallabor zur Identifikation effektiver Sicherheitskonzepte, ihrer Umsetzung und zur Validierung präventiver Sicherheitsmechanismen. Somit können nicht nur einzelne industrielle Komponenten, sondern die gesamte Applikations Pipeline, bestehend aus Netzwerk, Factory Cloud sowie Hard- und Software, „Ende-zu Ende“ im Handlungsrahmen der geltenden Vorgaben, Gesetzen und Normen untersucht werden. „Mit NIS2 steht insbesondere die OT-Welt vor einer riesigen Herausforderung, welche nur kooperativ und nicht allein IT-seitig gelöst werden kann“, sagt Maximilian Ortmann vom Fraunhofer IPT. Er leitet den Aufbau auf technischer Seite.