NIS2 in der Praxis: Schutz vor Cyberbedrohungen

NIS2-Richtlinie: Was ist das?

Die NIS-Richtlinie, eine EU-Richtlinie für die Sicherheit von Netzwerk- und Informationssystemen, regelt seit 2016 die Cyber Security von Unternehmen innerhalb der EU. Ihr Nachfolger „NIS2“ erweitert die Anzahl der Einrichtungen, Anforderungen und Sanktionen. Alle europäischen Mitgliedstaaten müssen NIS2 bis 2024 in nationales Recht umsetzen.

• Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG und Cybersicherheitsstärkungsgesetz
• Einordnung NIS2
• Die Top 5 Infos über NIS2 für Unternehmen
• Wen betrifft NIS2?
• Betroffenheitsanalyse: Betrifft NIS2 Ihr Unternehmen?
• 5 Schritte wie Unternehmen jetzt vorgehen
• Warum NIS2 mit Axians umsetzen?
• Warum ist NIS2 überhaupt wichtig?
• NIS2 im Vergleich zum Cyber Resilience Act

Wen betrifft NIS2?

In der EU sollen für Unternehmen zukünftig einheitliche Schwellenwerte gelten. Unterschieden wird nach Größe des Unternehmens und der Relevanz des jeweiligen Wirtschaftsbereichs (Sektor). Betroffene Unternehmen werden anhand der Sektoren in essentielle und in wichtige Einrichtungen (essential entities and important entities) unterteilt, dann nach der Größe in „mittlere“ und „große“ Unternehmen.

Mittlere Unternehmen haben 50 bis 249 Angestellte und einen Vorjahresumsatz von zehn bis 50 Millionen Euro oder eine Jahresbilanz von weniger als 43 Millionen Euro. Großunternehmen beschäftigen mindestens 250 Mitarbeitende oder weisen im Vorjahr mindestens 50 Millionen Euro Umsatz oder eine Bilanz ab 43 Millionen Euro aus. Insgesamt 18 Sektoren sind vorläufig betroffen:

Checkliste: Welche Maßnahmen müssen Sie bei Betroffenheit umsetzen?

1. Policies: Richtlinien für Risiken und Informationssicherheit
2. Incident Management: Prävention, Detektion und Bewältigung von Cyber Incidents
3. Business Continuity: BCM mit Backup Management, DR, Krisen Management
4. Supply Chain: Sicherheit in der Lieferkette bis zur sicheren Entwicklung
5. Einkauf: Sicherheit in der Beschaffung von IT und Netzwerk-Systemen
6. Effektivität: Vorgaben zur Messung von Cyber und Risiko Maßnahmen
7. Training: Cyber Security Hygiene
8. Kryptographie: Vorgaben für Kryptographie und wo möglich Verschlüsselung
9. Personal: Human Resources Security
10. Zugangskontrolle
11. Asset Management
12. Authentication: Einsatz von Multi Factor Authentisierung und SSO
13. Kommunikation: Einsatz sicherer Sprach-, Video- und Text-Kommunikation
14. Notfall-Kommunikation: Einsatz gesicherter Notfall-Kommunikations-Systeme

Warum NIS2 mit Axians umsetzen?

Axians bietet ein umfassendes Portfolio im Bereich Cyber Security. Dieses umfasst Assessment- und Beratungsleistungen sowie Sicherheitslösungen und -produkte. Der ICT-Dienstleister ist mit den gängigen Zertifizierungen vertraut, verfügt über Expertise im Risikomanagement und bietet Security Services auch im Managed-Modell an. Sie unterstützen bei der Einführung eines ISMS und erarbeiten ein handhabbares und zukunftssicheres Cyber-Security-Konzept erarbeiten – ob für Cloud, Endgeräte, Netzwerke, Nutzer oder mobile Endgeräte. Damit entlasten sie erfolgreich die internen IT-Abteilungen. Unternehmen, die am Anfang ihrer Reise zur NIS2-Konformität stehen, werden individuell beraten.

Nicht nur IT-Abteilungen sind durch die neuen Vorgaben betroffen, sondern auch die OT-Umgebungen, die häufig zur kritischen Infrastruktur der Unternehmen zählen, die unter die Regulierung der NIS2-Richtlinie fallen. Axians kann auch im OT-Bereich mit OT-Experten und den Mitarbeitern des Schwesterunternehmens Actemium bei der Bewältigung dieser Aufgabe unterstützen.

Warum ist NIS2 überhaupt wichtig?

Bedrohungen der Cybersicherheit wirken sich nicht nur auf die Infrastrukturen von Unternehmen aus. Sicherheitsvorfälle können sich auf die Wirtschaft jedes einzelnen EU-Mitgliedstaates, aber auch auf andere Mitgliedstaaten auswirken. Der Schutz von europäischen Sektoren und Lieferketten, soll daher einheitlich geregelt, aber auch effektiv umgesetzt und beaufsichtigt werden. Dabei sollten Unternehmen jedoch nicht nur von den drohenden Strafen motiviert werden. NIS2 ist stattdessen eine gute Gelegenheit, um generell darüber nachzudenken, was Firmen und Institutionen in unserem Land tun können, um die Sicherheit zu erhöhen. Es geht dabei vor allem um neues Prozessdenken, anstatt um die Einführung von technischen Lösungen.

Cyberangriffe auf KRITIS – Beispiele:

Cyberangriffe auf Kliniken werden bei Hackern immer beliebter, meist motiviert sie die Zahlung von Erpressungsgeldern. Die geschädigten Einrichtungen zeigen sich oft zahlungsbereit, denn erpresst werden nicht nur die Herausgabe von Daten, sondern auch die Funktionen der Versorgungsleistung, schlimmstenfalls geht es um Leben oder Tod. In Kliniken, zumal in großen, ist so gut wie alles digitalisiert. Bei einem Angriff kann mit einem Schlag der gesamte Betrieb lahmgelegt werden, von der Operationsrobotik bis zum Patientenessen. Zudem wirken sich auch finanzielle Engpässe vieler Kliniken auf ihre Cybersicherheit aus.

Immer wieder werden Behörden Opfer von Cyberattacken. Ein Sicherheitsvorfall im Mai 2023 traf die Stadtverwaltung Bad Langensalza (Thüringen). Mitarbeitende konnten nicht mehr auf ihr System zugreifen. Die Dienste von Kommunen aber auch die Websites von Städten und Landesregierungen werden immer wieder angegriffen – aus Deutschland und dem Ausland. So hatten Hacker einen Monat zuvor versucht, ebenfalls in Thüringen, sich Zutritt zu Seiten des Landes-Innenministeriums und der Polizei zu verschaffen. Nach Angaben der Staatskanzlei in Erfurt wurden beide Angriffe erfolgreich abgewehrt.

2021 versuchten Hacker Im US-Bundesstaat Florida, Wasser im öffentlichen Versorgungsnetzwerk zu vergiften. Dabei manipulierten sie die Kontrollsysteme der Wasseraufbereitungsanlage. Die Angreifer wollten den Anteil der Natronlauge im Wasser um das 100-Fache erhöhen. Ein IT-Spezialist der Wasserwerke bemerkte die Bedrohung. Er konnte seinen Cursor nicht mehr kontrollieren, als er sich durch das Menü der Aufbereitungstechnik klickte. Sobald er wieder Zugriff auf das System hatte, korrigierte er die manipulierten Werte – und schlug Alarm. Der Cyberangriff wurde so rechtzeitig entdeckt und abgewehrt.

Risiko von Cyberangriffen nimmt weiter zu

Die Bedrohungslage im deutschen Cyberraum ist kritischer als je zuvor. Weiter zugenommen haben vor allem die Erpressungen durch Ransomware mit verschlüsselten Daten, die Lösegeld- und Schweigegeld-Zahlungen und die Anzahl der Opfer, deren Daten wegen ausbleibender Zahlungen veröffentlicht wurden.

Auch die Schwachstellen in Software-Produkten nehmen weiter zu, 2021 um zehn Prozent. Mehr als die Hälfte von ihnen wurden als hoch, 13 Prozent als kritisch bewertet. 2022 waren vermehrt Angriffe auf Firewalls oder Router zu beobachten. Diese sind direkt aus dem Internet erreichbar, vergleichsweise schlecht geschützt und daher leichter angreifbar.

Die beschleunigte Digitalisierung in allen Bereichen des alltäglichen Lebens verlangt auch beim Thema Cybersicherheit eine Zeitenwende. Unvorhergesehene Ereignisse und Kollateralschäden durch Bedrohungen in Nachbarländern können unmittelbare Auswirkungen auf die deutsche Infrastruktur haben. Präventive IT-Sicherheitsmaßnahmen in Form der NIS2-Richtlinie treten diesen Bedrohungen wirkungsvoll entgegen.

Europäsche NIS2 im Vergleich zum amerikanischen Cyber Resilience Act

Der Cyber Resilience Act in den USA zielt auf die Absicherung der Produktherstellungsprozesse – es geht vor allem um Software- und Hardware-Lieferketten – während NIS2 der EU die Grundabsicherung von Unternehmen selbst in den Vordergrund stellt. Die beiden Regularien existieren also komplementär nebeneinander. So können Unternehmen etwa Produkte und Lösungen, die Cyber-Resilience-Act-compliant hergestellt wurden, im Rahmen ihrer eigenen Infrastruktur einsetzen, ohne Angst vor einer Kompromittierung haben zu müssen.