EU-Richtlinie NIS 2 Die Umsetzung von NIS 2 in OT-Umgebungen: Herausforderungen und Lösungsansätze

Anbieter zum Thema

Paessler AG

NetModule AG

TXOne Networks

Fortinet Deutschland GmbH

Die neue EU-Richtlinie NIS 2 stellt für viele Unternehmen aufgrund der hohen Anforderungen und des engen Zeitrahmens eine Herausforderung dar. Wie können Verantwortliche ihre OT-Umgebungen absichern und sich einen Vorsprung bei der Umsetzung von NIS 2 verschaffen?

Die zunehmend digitale Welt bietet zahlreiche Vorteile, wie verbesserte Konnektivität und größere geschäftliche Flexibilität. Gleichzeitig birgt die wachsende Abhängigkeit von digitalen Technologien, insbesondere in kritischen Sektoren wie Verkehr, Energie, Gesundheit und Finanzen ein erhöhtes gesellschaftliches Risiko durch Cyberbedrohungen. Im schlimmsten Fall können Angriffe auf Unternehmen in diesen Sektoren zu Unfällen und Gefährdung der öffentlichen Sicherheit führen. Um die Widerstandsfähigkeit kritischer Infrastrukturen gegen solche Bedrohungen zu stärken, hat der Rat der Europäischen Union die NIS-2-Richtlinie für Netzwerk- und Informationssysteme verabschiedet.

Die NIS-2-Richtlinie ersetzt die bisherige NIS-Richtlinie aus dem Jahr 2016 und weitet den Adressatenkreis und die Pflichten zu unternehmerischer Cybersecurity-Compliance deutlich aus. Dabei geht sie weit über die ursprünglich regulierten wesentlichen und digitalen Dienste im Bereich kritischer Infrastrukturen (kurz: Kritis) hinaus. Gemäß der NIS-2-Richtlinie wird jedes Unternehmen in der EU, das in einem oder mehreren der genannten kritischen Sektoren tätig ist, mehr als 50 Mitarbeiter beschäftigt und einen Jahresumsatz von mehr als zehn Millionen Euro erzielt, automatisch als „wesentlich“ oder „wichtig“ eingestuft und unterliegt damit hohen Anforderungen und Meldepflichten in Bezug auf Cybersecurity.

Drei Schritte zur NIS-2-Compliance

Für die OT-Sicherheit ist die NIS-2-Richtlinie von besonderer Bedeutung. Verschiedene Branchen wie Fertigung, Energieversorgung, Logistik und Gesundheitswesen sind auf OT-Lösungen angewiesen, um ordnungsgemäß zu funktionieren. Durch die Integration von OT- und IT-Netzwerken sind OT-Systeme heute denselben Cyberbedrohungen ausgesetzt wie die IT. Ein umfassender Schutz gegen Cyberangriffe ist für OT-Umgebungen daher erforderlich. Um ihre OT-Umgebungen gemäß den Anforderungen von NIS 2 effektiv zu schützen, müssen Betreiber kritischer Infrastrukturen einen proaktiven Ansatz verfolgen und drei grundlegende Schritte unternehmen.

Im ersten Schritt ist zu klären, ob das Unternehmen im Sinne der NIS-2-Richtlinie als „wesentlich“ oder „wichtig“ eingestuft wird. Es liegt in der Eigenverantwortung des Unternehmens zu beurteilen, ob es direkt oder indirekt unter Kritis fällt und somit die entsprechenden Anforderungen erfüllen muss. So können Unternehmen bereits heute das erste Scoping und die Risikoanalyse durchführen, um ihre NIS-2-Compliance zu bewerten. Hierbei ist auch die Lieferkette zu berücksichtigen: Stellt ein Unternehmen Produkte für ein Kritis-Unternehmen her, so gilt dieses Unternehmen ebenfalls als Kritis, selbst wenn es nicht direkt unter NIS 2 fällt.

Im zweiten Schritt müssen Unternehmen eine umfassende Risikobewertung durchführen und ihre wichtigsten Assets, Services und potenziellen Schwachstellen identifizieren. Die OT-Verantwortlichen müssen abschätzen, welche Bereiche im Unternehmen kritisch sind, wo im Falle einer Störung ein gesellschaftliches Risiko besteht und welche Assets besonderen Schutz erfordern. Diese Bereiche sollten dann entsprechend segmentiert werden, um gezielte Sicherheitsmaßnahmen zu ermöglichen. Erst nach einem vollständigen Risiko- und Incident Impact Assessment wird klar, welche konkreten Lösungen und Tools das Unternehmen für einen umfassenden Schutz benötigt.

In Schritt drei müssen Unternehmen angemessene Maßnahmen zur Vorbeugung, Erkennung, Reaktion und Minderung der ermittelten Risiken ergreifen.

Neue EU-Richtlinie

NIS-2: EU setzt Cybersicherheit auf die Agenden von Unternehmen

Störfälle und Risiken minimieren

Um grundlegende Sicherheitsstandards zu erfüllen, können sich Unternehmen nach bereits bestehenden Regelungen wie dem IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0), dem IT-Grundschutz des BSI oder dem Orientierungspapier des BSI vom 26.09.2022 richten sowie sich an etablierte Informationssicherheitsstandards wie ISO 27001 Zertifizierung, technische Normenreihe wie der IEC 62443 (Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme) oder der Sicherheitsrichtlinie des VDI 2182 (Informationssicherheit in der industriellen Automatisierung) halten.

Als Teil der grundlegenden Sicherheitshygiene müssen Unternehmen unter anderem eine starke Authentifizierung gewährleisten, regelmäßig Patches und Sicherheitsupdates installieren, ihre IT- und OT-Netzwerke segmentieren, robuste Zugriffskontrollen einrichten und alle Mitarbeiter in bewährten Sicherheitspraktiken schulen. Durch die Implementierung dieser Standards können Unternehmen einen Vorsprung bei der Umsetzung der Vorgaben von NIS 2 erlangen. Die empfohlenen Maßnahmen sollten sie jedoch als Mindestanforderungen betrachten, da die Anforderungen von NIS 2 definitiv über die von IT-SiG 2.0 hinausgehen werden.

gesponsertAnforderungen – Auswirkungen – Eckdaten

NIS2-Richtlinie – Was bedeutet die neue Vorschrift für Ihre Cybersecurity?

Um einen umfassenden Cybersicherheitsschutz zu gewährleisten ist es sinnvoll, wenn Organisationen in ihren OT-Umgebungen eine Kombination aus verschiedenen Cybersecurity-Tools und -Technologien einsetzen. Zu den wichtigsten Werkzeugen für eine mehrschichtige Abwehrstrategie gehören Intrusion Detection and Prevention-Systeme (IDPS), Bedrohungsinformationsplattformen, Security Information and Event Management (SIEM)-Systeme, Endpoint Detection and Response (EDR)-Lösungen, Data Loss Prevention (DLP)-Tools und Schwachstellenscanner. Diese Lösungen bilden eine umfassende Verteidigungsstrategie, indem sie verschiedene Angriffsvektoren abwehren, die Netzwerkaktivität überwachen und sensible Informationen schützen. Dabei ist es wichtig, dass die eingesetzten Tools in einen umfassenden Cybersecurity-Posture-Assessment-Framework wie ISO 27001 oder NIST CSF passen.

Hindernisse überwinden

Die Umsetzung der NIS-2-Richtlinie verspricht einige Herausforderungen. Da die Zahl der Kritis-Unternehmen mit der neuen Richtlinie stark ansteigt, müssen sich viele Unternehmen, die bisher nicht unter die Anforderungen der NIS-Richtlinie fielen, nun innerhalb kurzer Zeit mit strengen Cybersecurity-Standards und Meldepflichten auseinandersetzen. Auch die Umsetzungsfrist ist relativ kurz: NIS 2 verpflichtet die Mitgliedsstaaten, die neue Richtlinie schon bis zum 18. Oktober 2024 in nationales Recht umzusetzen. Dazu wird voraussichtlich ein BSI-Änderungsgesetz verabschiedet, das in kurzer Zeit ausgelegt und umgesetzt werden muss.

Die Wahl der geeigneten Tools ist ebenfalls eine Herausforderung und hängt von verschiedenen Faktoren ab, wie der Größe des Unternehmens, dem Grad der Vernetzung, der Art der verwendeten Systeme, dem Reifegrad des Unternehmens für den Betrieb einer Security-Lösung und der Art der durchgeführten Aktivitäten. Darüber hinaus müssen Unternehmen ihre Cybersecurity-Lösungen an die spezifischen Merkmale und Anforderungen ihrer OT-Umgebung anpassen, um maximale Wirksamkeit zu erzielen. Da OT-Systeme oft sehr spezifisch sind und eine Vielzahl von Komponenten und Protokollen umfassen, ist es unerlässlich, die Maßnahmen und Tools an die jeweiligen Bedingungen anzupassen, um eine maximale Wirksamkeit zu erzielen. Die bereits erwähnte internationale Normenreihe IEC 62443 ist hier besonders hilfreich, da sie die Betriebs- oder Automatisierungstechnik aus der Sicht des Betreibers, Integrators und Komponentenherstellers betrachtet und die Umsetzung beschreibt.

NIS 2

Cybersicherheit: Deutsche Unternehmen müssen den Turbo einlegen

Ressourcen und Fachkenntnisse erforderlich

Die Meldung von Vorfällen gemäß der NIS-2-Richtlinie stellt eine weitere erhebliche Herausforderung dar, da sie eine größere Präzision bei der Meldung von Vorfällen erfordert, als es in der NIS-Richtlinie oder dem IT-SiG 2.0 vorgesehen war und höhere Strafen vorsieht. Unternehmen müssen innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls einen Frühwarnbericht vorlegen, gefolgt von einer ersten Bewertung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Unternehmen, die sich nicht an die Vorschriften halten, müssen mit empfindlichen Geldstrafen rechnen. Die Geldbußen können bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Um den Anforderungen der NIS-2-Richtlinie gerecht zu werden, müssen Kritis-Betreiber eng mit den zuständigen Aufsichtsbehörden und Dienstleistern zusammenarbeiten. Sie müssen sicherstellen, dass sie über ausreichende Ressourcen und Fachkenntnisse verfügen, um die strengen Standards und Meldepflichten zu erfüllen. In diesem Sinne ist es empfehlenswert, sich von Experten beraten zu lassen, um sicherzustellen, dass die ausgewählten Tools den spezifischen Anforderungen und Risiken des Unternehmens entsprechen und optimal auf die OT-Umgebung zugeschnitten sind.

Nicht warten, handeln

Die Vorbereitung auf die Einhaltung der NIS-2-Richtlinie wird nicht nur eine gesetzliche Anforderung sein, sondern auch eine Gelegenheit, die Widerstandsfähigkeit eines Unternehmens im Cybersecurity-Bereich zu stärken. Die Umsetzung aller technischen und organisatorischen Maßnahmen wird nicht Tage oder Wochen, sondern eher mehrere Monate in Anspruch nehmen. Ein Abwarten der vollständigen Umsetzung der Richtlinie kann bedeuten, dass Unternehmen potenziellen Cyberbedrohungen ausgesetzt sind und in der sich schnell entwickelnden Cybersecurity-Landschaft ins Hintertreffen geraten. Eine proaktive Bewertung der aktuellen Sicherheitslage und die Identifizierung verbesserungswürdiger Bereiche sind wesentliche Schritte, um Cyberrisiken effektiv zu managen, strenge Berichterstattungsanforderungen zu erfüllen und eine widerstandsfähige Netzwerkinfrastruktur aufrechtzuerhalten.

* Olaf Mischkovsky ist BDM for GRC and Critical Infrastructure bei Fortinet.

(ID:49643510)