Verantwortlich für die Resilienz To-Do-Liste für Systemhäuser im Zeitalter von NIS2 und DORA

Anbieter zum Thema

achelos GmbH

cyberintelligence.institute GmbH

NIS2 und DORA sind zwei große regulatorische IT-Themen. Doch was bedeutet ihre Umsetzung in der Praxis? Ein Systemhaus-Experte klärt auf, wie solche Projekte tatsächlich gestartet werden und welche System-Komponenten betrieben werden, um erfolgreich die Vorgaben zu erfüllen.

Das Systemhaus Achelos hat sich auf Cybersicherheit und digitale Identitäten spezialisiert und begleitet Unternehmen bei der Umsetzung regulatorischer Anforderungen wie NIS2 und DORA. Das fängt bei der strategischen Beratung an und geht über die Integration sicherheitskritischer Komponenten bis hin zum resilienten Betrieb.

Dr. Michael Jahnich, Direktor für Geschäftsentwicklung bei Achelos, erläutert die wichtigsten Unterschiede in den Anforderungen zwischen NIS2 und DORA: „NIS2 ist eine sektorübergreifende Richtlinie, die auf eine bessere Cybersicherheit in kritischen Bereichen wie Energie, Gesundheit, Verkehr oder IT abzielt. DORA richtet sich hingegen speziell an Finanzunternehmen und deren IT-Dienstleister.“ Während NIS2 vor allem grundlegende Sicherheitsmaßnahmen und Meldepflichten verlangt, geht DORA deutlich tiefer ins IKT-Risikomanagement (Informations- und Kommunikationstechnologie). Dazu gehören laut Jahnich unter anderem regelmäßige Penetrationstests und konkrete Vorgaben zum Umgang mit ausgelagerten IT-Diensten. Kurz gesagt: NIS2 ist breiter angelegt, DORA regelt hingegen Details.

Referentenentwurf zur NIS-2-Richtlinie

NIS-2-Umsetzung: Der große Wurf gelingt noch nicht

Public Key Infrastructure (PKI)

Bei Achelos setzt man bei den Regelwerken stark auf eine Public Key Infrastructure (PKI). Der Manager führt aus: „Eine PKI stellt digitale Identitäten für Benutzer, Geräte und Dienste bereit.“ Sie ermöglicht demnach zertifikatsbasierte Authentifizierung, Ende-zu-Ende-Verschlüsselung und digitale Signaturen und sorgt dafür, dass sich Geräte und Personen sicher identifizieren können und Daten verschlüsselt übertragen werden. Genau diese kryptografischen Verfahren sind in NIS2 (Art. 21) und DORA (Art. 5, 9) explizit gefordert. In Kombination mit einem HSM zur Schlüsselabsicherung und einem Key Management System zur Prozesssteuerung entsteht eine hochsichere, skalierbare und auditierbare Infrastruktur. Zur Begriffsklärung: Ein HSM (Hardware Security Module) ist ein physikalisches Gerät, das kryptographische Schlüssel generiert, speichert und verwaltet und verschiedene kryptographische Operationen durchführt. Es wird verwendet, um die Sicherheit und Integrität sensibler Daten zu gewährleisten, indem es robuste Verfahren für die Verschlüsselung, Entschlüsselung und Authentifizierung bereitstellt.

IAM-Konzept gefordert

Doch wie können Unternehmen sicherstellen, dass ihre Zugriffs- und Identitätsmanagementsysteme den neuen EU-Regulierungen entsprechen. Laut Jahnich ist hier ein IAM-Konzept von entscheidender Bedeutung. IAM steht für „Identity and Access Management“ (Identitäts- und Zugriffsmanagement). Es handelt sich um ein Rahmenwerk und ein System von Prozessen und Technologien, die es Organisationen ermöglichen, digitale Identitäten und deren Zugang zu Ressourcen innerhalb eines Netzwerks oder einer Organisation zu verwalten. IAM sorgt dafür, dass die richtigen Personen Zugriff auf die richtigen Ressourcen zur richtigen Zeit und aus den richtigen Gründen haben. Die Hauptkomponenten von IAM umfassen:

• Benutzerverwaltung: Verwaltung von Benutzeridentitäten und -profilen, einschließlich der Erstellung, Pflege und Löschung von Benutzerkonten.

• Authentifizierung: Sicherstellen, dass Benutzer sind, wer sie vorgeben zu sein, oft durch Passwörter, biometrische Daten oder andere Authentifizierungsmethoden.

• Autorisierung: Bestimmen, welche Ressourcen einem Benutzer basierend auf seiner Identität und seinen Rollen zugänglich gemacht werden sollten.

• Rollenbasierte Zugriffskontrolle (RBAC): Definition und Verwaltung von Zugriffsrechten basierend auf Benutzerrollen innerhalb der Organisation.

• Single Sign-On (SSO): Bereitstellung eines zentralen Authentifizierungsdienstes für den Zugriff auf mehrere Anwendungen mit einem einzigen Anmeldevorgang.

• Multi-Faktor-Authentifizierung (MFA): Erhöhung der Sicherheit durch die Anforderung mehrerer Verifizierungsfaktoren vor dem Gewähren von Zugriff.

Eine Frage des Risikos

NIS2 bringt ein neues Zeitalter für die Cybersecurity

Das Gesamtkonzept muss stimmen

„IAM spielt eine kritische Rolle im Bereich der Cybersicherheit und im IKT-Risikomanagement, indem es hilft, das Risiko von unautorisiertem Zugriff und Datenverletzungen zu minimieren und die Einhaltung von Datenschutz- und Compliance-Anforderungen zu unterstützen“, so Jahnich. Gefordert sei ein systemisches IAM-Konzept mit Multi-Faktor-Authentifizierung, rollenbasierter Zugriffskontrolle, starker Authentisierung und zentralem Credential-Management. Mit einem CMS (Credential Management Systeme) können Unternehmen Smartcards oder Tokens verwalten, PIN-Vorgaben definieren, verlorene Medien sperren und Benutzer zentral steuern. Kombiniert mit einer PKI und einem unternehmensweiten Rollenmodell lassen sich Zugriffsvorgänge sicher und nachweisbar gestalten – wie es NIS2 und DORA fordern.

Zentrale Systemkomponenten

So stehen fünf technologische Kernsysteme im Fokus bei der Umsetzung solcher Projekte:

• PKI: Zertifikatsbasierte Authentifizierung & Verschlüsselung

• HSM: Physisch abgesicherte Schlüsselaufbewahrung

• KMS: Operatives Schlüsselmanagement & Zugriffskontrolle

• CLM: Automatisiertes Zertifikats-Lifecycle-Management

• CMS: Verwaltung digitaler Identitätsträger

„Diese Komponenten sind einzeln wirksam, entfalten aber im Zusammenspiel ihre volle Stärke – mit vollständiger Auditierbarkeit und Compliance-Fähigkeit“, kommentiert der Direktor für Geschäftsentwicklung.

Trotz fehlender Gesetzesvorgaben

KMU sollten sich heute schon auf NIS2 vorbereiten

Die Rolle der Credential Management Systeme

Unter CMS verstehen IT-ler häufig „Content Management System“. Im NIS2-Dora-Umfeld geht es dabei aber um „Credential Management Systeme“, die bei der Erfüllung der Anforderungen von NIS2 und DORA wichtig sind. „Ein CMS steuert die Ausgabe, Verwaltung und Sperrung physischer oder virtueller Identitätsträger – beispielsweise Smartcards oder Tokens“, so der Manager. „Es definiert PIN-Richtlinien, überwacht Nutzungsverläufe und ermöglicht die zentrale Governance von Zugriffsrechten.“ In Kombination mit zertifikatsbasierter Authentifizierung entstehe so eine starke MFA-Struktur (In dem Kontext von Identity and Access Management (IAM) bezieht sich MFA, oder Multi-Faktor-Authentifizierung) – ein zentrales Element in beiden Regelwerken.

DORA, der Finanzsektor und die IKT-Dienstleister

Welche spezifischen Sicherheitsmaßnahmen fordert DORA im Finanzsektor für IKT-Dienstleister? Jahnich beantwortet diese Frage folgendermaßen: „DORA verpflichtet IKT-Dienstleister im Finanzsektor zu umfassenden Sicherheitsmaßnahmen. Dazu zählen ein strukturiertes IKT-Risikomanagement, regelmäßige Penetrationstests (beispielsweise TLPT), sowie dokumentierte Prozesse zur Meldung von Sicherheitsvorfällen.“ Zudem verlange DORA klare Kontrollen bei Auslagerungen – etwa durch Exit-Strategien, Zugriffsschutz und vertraglich geregelte Sicherheitsstandards. Dienstleister müssen nachweisen, dass ihre Systeme technisch resilient, überwacht und sicher integriert sind – auch im Zusammenspiel mit den IT-Systemen ihrer Finanzkunden.

Der erweiterte Anwendungsbereich von NIS2

NIS2 hat den Anwendungsbereich deutlich erweitert: Neben klassischen KRITIS-Sektoren wie Energie, Gesundheit, Transport und Trinkwasser werden nun auch Bereiche wie Post- und Kurierdienste, Abfallwirtschaft, Hersteller kritischer Produkte (beispielsweise Elektronik, Maschinen, Chemikalien), digitale Infrastruktur (beispielsweise Cloud, DNS, Rechenzentren), Lebensmittelerzeugung sowie Teile der öffentlichen Verwaltung reguliert. Die Kriterien zur Einordnung orientieren sich an Unternehmensgröße, Umsatz und kritischer Bedeutung – was den Anwendungsbereich stark erweitert. Auch viele Mittelständler sind nun regulierungspflichtig.

Systemhäuser implementieren NIS2 und DORA

Systemhäuser wie Achelos begleiten Unternehmen über alle Projektphasen hinweg – von der Anforderungsanalyse bis zum langfristigen Betrieb. „In der Planungsphase werden regulatorische Vorgaben mit unternehmensspezifischen Anforderungen abgeglichen, Sicherheitskonzepte entwickelt und eine passende Lösungsarchitektur entworfen“, berichtet der Manager aus der Praxis. Anschließend erfolge in der Bereitstellung die Integration technischer Komponenten in bestehende Infrastrukturen, ergänzt durch Konfiguration, Tests und Schulungen. Die Inbetriebnahme umfasst Systemtests, Dokumentation und die technische Übergabe. Im Betrieb übernehmen Systemhäuser häufig Aufgaben wie Administration, Monitoring, Support oder Managed Services – auch in hochverfügbaren Umgebungen. Durch diese Unterstützung können Unternehmen sicherstellen, dass ihre technischen Maßnahmen regulatorisch konform, nachhaltig betreibbar und revisionssicher umgesetzt werden, so der Anspruch.

Cybersicherheitsstrategie

6 Gartner-Empfehlungen für CISOs

Herausforderungen für IT-Dienstleister

Was bedeutet das für IT-Dienstleister, die solche Projekte übernehmen. Zunächst einmal stehen sie stärker in der Pflicht als bisher. „Wenn sie für Finanzunternehmen oder kritische Infrastrukturen arbeiten, müssen sie selbst nachweisen, dass ihre IT-Systeme sicher, stabil und überprüfbar sind“, sagt Jahnich. Dazu gehören eigene Maßnahmen zur IT-Sicherheit, dokumentierte Prozesse für Vorfallmeldungen, technische Schutzmechanismen sowie die Teilnahme an Audits oder Penetrationstests. Damit seien IT-Dienstleister künftig nicht nur technische Zulieferer, sondern Teil der regulatorisch verantwortlichen Wertschöpfungskette.

(ID:50467420)