NIS2-Richtlinie NIS2 und Risikomanagement – Wie Unternehmen sich erfolgreich abhärten

Anbieter zum Thema

TREND MICRO Deutschland GmbH

G DATA CyberDefense AG

sysob IT-Distribution GmbH & Co. KG

mibeca GmbH – Mike Bergmann Akademie

Die neue EU-Direktive NIS2 macht Risikomanagement in Unternehmen zur Chefsache. Geschäftsleiter sind persönlich dafür verantwortlich, Cyberrisiken zu erkennen, zu bewerten und zu minimieren. Mit der richtigen Technologie, Strategie und Expertenwissen gelingt dies auch.

Die EU-Kommission macht Ernst. Um den EU-Wirtschaftsraum besser vor Cyberangriffen zu schützen und dabei insbesondere Attacken auf kritische Infrastrukturen zu verhindern, trat am 16. Januar 2023 die neue NIS2-Direktive in Kraft. Bis 17. Oktober 2024 müssen die Mitgliederstaaten die Richtlinie in nationale Gesetze umgesetzt haben. Für Unternehmen ist es empfehlenswert, bereits jetzt ihre Cybersicherheitsstrategie zusammen mit einem spezialisierten Partner zu überprüfen und gegebenenfalls zu adaptieren. Immerhin handelt es sich bei der Implementierung neuer Sicherheitsstrategien um langfristige Projekte. Sicherheitsdienstleister, die dabei unterstützen können, werden sich wohl einem wahren Nachfrageansturm gegenübersehen. Wer zuerst kommt, mahlt auch zuerst. Doch was beinhaltet die neue Direktive?

Die EU schreibt im Grunde hauptsächlich bereits allgemein akzeptierte Best Practices für Sicherheitsmaßnahmen vor. Jeder Betreiber kritischer und anderer wichtiger Infrastrukturen in der EU muss zukünftig über Notfallpläne, Bedrohungserkennungssysteme und Business Continuity Management verfügen. Für Unternehmen, die bereits solche Maßnahmen und Strategien implementiert haben, ändert sich also größtenteils nichts. Was hingegen neu ist: Die EU rückt Risikomanagement in den Fokus und betont die Verantwortung der Unternehmensleitung. Dafür gibt es einige Gründe.

Der wirtschaftliche Schaden durch Cyberattacken kann schnell in die Millionen gehen. Dazu kommt noch, dass Cyberangriffe auf kritische Infrastrukturen auch dem Wohl der breiten Gesellschaft schaden können. NIS2 schreibt aus diesen Gründen Cyberrisikomanagement für KRITIS-Betreiber vor und betont die Verantwortung der höchsten Ebene: Geschäftsleiter sind persönlich verantwortlich für die Erkennung, Bewertung und Reduzierung von Cyberrisiken. Bei Nichteinhaltung der gängigen Vorschriften, können Bußgelder in Höhe von bis zu 10 Millionen Euro oder zwei Prozent des globalen Jahresumsatzes anfallen. Für Unternehmen hat also wirksames Cyberrisikomanagement eine essenzielle Bedeutung erhalten.

Individuelle Cyberrisiken identifizieren und beheben

Erfolgreiches Risikomanagement erfordert eine fortlaufende Bewertung der aktuellen Situation. Selbst geringfügige Veränderungen in der IT-Landschaft oder Verschiebungen in der Welt der Cyberkriminalität können dazu führen, dass sich der Risikostatus unerwartet ändert. Deswegen ist es von entscheidender Bedeutung, dass das Cyberrisikomanagement flexibel genug ist, um auf selbst zunächst kaum wahrnehmbare Nuancen zu reagieren. Technologietrends und kriminelle Akteure haben eines gemeinsam: Sie sind nicht statisch. Es kann jederzeit eine neue kritische Schwachstelle entdeckt werden, deren Abdichtung absolute Priorität verlangt – Vorfälle wie Log4Shell sprechen Bände. Die Einschätzung des Risikos hängt dabei stets von der Wahrscheinlichkeit des Eintretens sowie dem möglichen Schaden ab. Beide Aspekte müssen im Kontext der individuellen Unternehmenssituation sorgfältig geprüft und regelmäßig angepasst werden. Eine statische Herangehensweise an das Thema Risikobewertung kann dazu führen, dass Unternehmen unvorbereitet auf neue Herausforderungen reagieren müssen und potenziell schwerwiegende Folgen erleiden.

Um dies zu erreichen, ist es notwendig, sowohl interne Sicherheitsinformationen bezüglich der eigenen Angriffsfläche als auch externe Sicherheitsdaten zu analysieren, die Informationen über aktive Hackergruppen und Angriffsmuster liefern. Zum Beispiel kann eine ungepatchte ältere Schwachstelle gefährlicher sein als eine neu entdeckte Sicherheitslücke, wenn erstere aktiv ausgenutzt wird. Die Fähigkeit, die individuell höchsten Risiken zu identifizieren und zu priorisieren, bildet den Kern des Risikomanagements. Doch um diese Fähigkeit auszubilden, braucht es auch das notwendige technische Fundament.

Managed XDR und Threat Intelligence – technische Fundamente für ein wirksames Risikomanagement

Ein wichtiger technischer Baustein des Risikomanagements ist die globale Threat Intelligence, die viele seriöse Sicherheitsdienstleister anbieten. Diese unterstützt dabei, Cyberrisiken zu priorisieren. Zu diesem Zweck sammeln Sicherheitsforscher aus der ganzen Welt Informationen zur derzeitigen Bedrohungslage aus einer Vielzahl von eigenen und branchenweiten Quellen und korrelieren diese miteinander. Unternehmen erhalten auf diese Weise ein auf sie zugeschnittenes Warnsystem. Außerdem führen Sicherheitsanbieter eigene Untersuchungen durch, um etwa den Einsatz von neuen Technologien wie KI zu erforschen.

Da bekanntermaßen auch die beste Abwehr keine 100-prozentige Sicherheit garantieren kann, ist eine effektive Erkennung und Reaktion auf Angriffe (Detection & Response) für das Risikomanagement essenziell. Aktuelle XDR (Extended Detection & Response)-Technologie verwendet zu diesem Zweck zahlreiche verschiedene Sensoren, die Aktivitäten in der gesamten Infrastruktur erfassen. Die durch die Sensoren gesammelten Daten fließen in einem Data Lake zusammen, der mit KI analysiert wird. Um die interne Belegschaft zu entlasten, ist ein Managed-XDR-System zu empfehlen, das von einem spezialisierten Dienstleister verwaltet wird. Die Experten analysieren alle eingehenden Events und melden dem Unternehmen sofort auffällige Vorkommnisse. So müssen die Verantwortlichen im Unternehmen nur in richtigen Notfällen eingreifen. False Alerts werden extern gemanagt.

NIS2 auch in der Lieferkette durchsetzen

Ein weiterer wichtiger Teil der im Rahmen von NIS2 vorgeschriebenen IT-Risikobetrachtung umfasst die Beurteilung der eigenen Lieferkette. Hierbei konzentriert sich die Aufmerksamkeit insbesondere auf Softwareverknüpfungen und den Austausch von elektronischen Daten. Je enger die Verknüpfungen zwischen den IT-Systemen sind, desto anspruchsvoller gestaltet sich die Risikoeinschätzung. Aber auch hier handelt es sich in der Regel um bereits existierende Best Practices, die nun fest vorgeschrieben werden.

Infolgedessen werden betroffene Unternehmen IT-Sicherheitsfragen zunehmend als Auswahlkriterien für Zulieferer in Betracht ziehen. Diese Entwicklung ist jedoch nichts Neues: Nach einer weltweit durchgeführten Umfrage von Trend Micro unter 2.820 Unternehmen mit mehr als 250 Mitarbeitern, gaben 71 Prozent an, dass sie gelegentlich oder regelmäßig in Geschäftsverhandlungen nach ihrer Cybersicherheit gefragt werden. In Deutschland liegt dieser Prozentsatz sogar noch höher, nämlich bei 81 Prozent. Diese Entwicklung wird zwangsläufig Auswirkungen auf zahlreiche Branchen haben, einschließlich kleinerer Zulieferunternehmen. Der „Trickle-Down“-Effekt ist dabei gewünscht.

Fazit: NIS2 wirkt sich auf alle Unternehmen aus

Unternehmen sollten wirksames Risikomanagement zeitnah umsetzen, bevor sie von der endgültigen deutschen Gesetzgebung zur NIS2-Richtlinie noch überrascht werden. Langfristige Adaptierung der Sicherheitsstrategie und der Aufbau einer Partnerschaft mit einem externen Dienstleister sind keine Projekte, deren Komplexität man unterschätzen sollte. Zudem senkt NIS2 die Schwellenwerte erheblich, was in der Praxis dazu führt, dass sehr viele Unternehmen betroffen sind. Man sollte also nicht darauf bauen, von den neuen Regelungen ausgeklammert zu werden. Mithilfe von Managed XDR und Global Threat Intelligence können Unternehmen jedoch die Herausforderungen im Risikomanagement einfach und effizient bewältigen. Diese Lösungen basieren auf Cloud-Technologie und nutzen Künstliche Intelligenz sowie automatisierte Prozesse. Auf diese Weise können Unternehmen sich gut auf NIS2 vorbereiten und ihre Geschäftskontinuität gewährleisten. Solange deutsche Unternehmen die oben genannten bewährten Praktiken umsetzen und einen kompetenten MSSP-Partner hinzuziehen, sollte die Einhaltung der NIS2-Anforderungen keine Schwierigkeiten bereiten.

Über den Autor: Richard Werner ist Business Consultant bei Trend Micro.

(ID:49814429)