Sie sind hier: Home » Markt » Hinweise & Tipps

Zeit, sich schon jetzt auf NIS 2 vorzubereiten


NIS 2 – wer sich jetzt welche Gedanken um die Versorgung mit IT-Sicherheit machen sollte
NIS 2 will Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau festlegen



Von Thomas Krause, Regional Director DACH bei ForeNova

Gesundheit, Bildung, Behörden – Cyberkriminelle gehen verstärkt neue Bereiche des öffentlichen Lebens an. Ohne Zweifel ist es an der Zeit, die Cybersicherheit europaweit stärker zu regulieren. NIS 2 tut dies für die wesentlichen und wichtigen Bereiche der öffentlichen Versorgung. Ungeachtet davon, wie die konkreten Vorgaben der europäischen Vorlage im deutschen Recht aussehen werden: Sie setzen mittelständische Betriebe mit mangelhaft aufgestellter Cyberabwehr unter Druck. Unternehmen sollten sich jetzt überlegen, mit welcher Technologie sie ihre IT darauf vorbereiten wollen.

NIS 2 will Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau festlegen. Die Gesetzgeber in den einzelnen Ländern müssen bis 17. Oktober 2024 die im Dezember 2022 veröffentlichten Richtlinien in nationales Recht umsetzen. Dessen Inhalte bleiben unklar. Auch die DSGVO schrieb kaum konkrete technische Maßnahmen vor, als es um das Umsetzen europäischer Vorgaben zum Datenschutz ging.

Sicher ist aktuell nur eines: Die Zahl der betroffenen Betriebe wird steigen, ebenso die Anforderungen an die IT-Sicherheit. Höhere Strafen an Betriebe werden möglicherweise zwei Konsequenzen haben: IT-Versicherungen legen die Messlatte noch höher, um eine Police auszustellen und versuchen, bestimmte Schäden ganz vom Schutz herauszunehmen. Hacker können versuchen, maximale Lösegelder zu fordern, solange diese noch unter der angedrohten höheren Strafe bleiben. Doch auch die Anbieter von Managed-Security-Diensten oder die Fachdistribution der IT sollten sich auf eine zunehmende Nachfrage nach Diensten und beraterischer Kompetenz einstellen.

Zwei Fragen stellen sich vor allem:

Frage 1: Sind die neuen Regeln für mein Unternehmen relevant?
Viele Verantwortliche denken, dass ihr Betrieb keine wesentliche oder wichtige Rolle für die öffentliche Versorgung im Sinne von NIS 2 spielt. Von geschätzt 3,4 Millionen Unternehmen in Deutschland (Stand 2021) ist für rund 3,3 Millionen durch Ihre geringe Größe (unter 50 Mitarbeiter) NIS nicht relevant. Es bleiben aber mindestens rund 90.000 andere Betriebe mit mehr als 50 Mitarbeitern, die aufgrund ihrer Größe und bei entsprechendem Umsatz in Frage kommen. Laut Ansicht des Gründers und Vorstands von Hisolutions, Timo Kob, wissen "rund 80 Prozent der Unternehmen nicht, dass sie von NIS 2 betroffen sind." Seinem Urteil nach dürften die Vorgaben für zusätzlich 40.000 deutsche Firmen gelten. Im Umfeld der allein von der Betriebsgröße relevanten Unternehmen spielt NIS 2 also schon bald eine Rolle. Und, wenn man der oben durchgeführten Kalkulation folgt, für fast jede zweite Organisation eine Neue.

Zudem kommen die zukünftigen Betroffenen aus den verschiedensten Branchen. NIS 2 unterscheidet zwischen wesentlichen und wichtigen Bereichen. Schon zu den wesentlichen Sektoren zählen nicht nur Versorgungsbetriebe im engeren KRITIS-Sinn. In der IT sind Betreiber digitaler Infrastrukturen und Managed Service Provider bereits als essenziell aufgeführt. Noch weiter geht die Liste der wichtigen Betriebe: In der IT sind es die Hersteller von Elektronik und Computern, digitale Marktplätze, soziale Netzwerke und Suchmaschinen, Forschungsinstitute, weite Teile der Produktion, Elektronik, Lebensmittel, Chemie, Fahrzeugbau, Medizinprodukte, Maschinenbau und Postdienste.

Partner von Managed Security Services werden sich also auf mehr Anfragen dieser Unternehmen einstellen müssen. Das erschließt ihnen neue Chancen für das Servicegeschäft. Aber sie benötigen dafür entsprechend kompetente Mitarbeiter oder externe Hilfe.

Frage 2: Welche Vorgaben der IT-Sicherheit kann ich wie abbilden?
Artikel 21 der NIS-2-Regel beschreibt grundlegende Kriterien für Cybersicherheitsmaßnahmen, um die IT und Netzwerke ihrer kritischen Dienste zu schützen. Doch welche IT-Technologien können diese Anforderungen abbilden?

Viele der Kriterien verlangen vor allem zweierlei: Die einfache und vollständige Sichtbarkeit und das kontinuierliche Monitoring der Vorgänge im Datenverkehr eines Unternehmens im Netzwerk einerseits sowie der Prozesse am Endpunkt andererseits. Wer den Netzverkehr etwa durch eine Network Detection and Response (NDR) ständig überwacht, kann Risiken und Angriffe im Netz frühzeitig erkennen und verfolgen. Eine Endpoint Detection and Response (EDR) erkennt die Exekution der Attacken und führt Abwehrmaßnahmen durch.

Für mehrere der in der EU-NIS2-Vorgabe aufgelisteten Punkte lässt sich so die Grundlage schaffen:
>> • Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
>> • Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme; Bewältigung von Sicherheitsvorfällen

Eine kontinuierliche NDR entdeckt die Kontaktaufnahme eines Command-and-Control-Servers mit dem infizierten Endpunkt. Dieser Datenverkehr ist für die Cyberkriminellen zentral, um dadurch ein angegriffenes System zu steuern. Eine KI-basierte und sich permanent optimierende NDR erkennt atypische Vorgänge im Netz, wie etwa eine Datenexfiltration, durch den Abgleich mit einem erlernten Normalmodell der IT. Sie kann Muster der immer komplexeren und gezielteren Advanced Persistent Threats (APT) identifizieren, bei denen Hacker sich zunächst still im Netz bewegen, ehe sie zuschlagen.

NDR weist durch eine Analyse des böswilligen Eintritts in die IT auf die Lücken hin, die Hacker bei einem Folgeangriff ausnutzen könnten. Für die Abwehr übernimmt dann die EDR die tragende ausführende Rolle, denn sie stoppt Prozesse – wie etwa das Verschlüsseln durch Ransomware – und blockt ein betroffenes System entweder automatisch oder nach Alarm an den IT-Administrator durch dessen Maßnahmen. Wer außerdem nach der Analyse des Angriffs im Netz und am Endpunkt weiß, wie die Cyberkriminellen einmal vorgegangen sind, kann sich für die Zukunft mit neuen Sicherheitsrichtlinien schützen.

## • Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
Für das Krisenmanagement liefern NDR und EDR in Fast-Echtzeit die relevanten Informationen, um einen Angriff zu erfassen. Sicherheitsexperten aus einer Managed Detection and Response (MDR) können diese beurteilen und im Ernstfall eingreifen. Schon jetzt benötigen die meisten mittelständischen Unternehmen externe Hilfe, wenn sie ihre Cybersicherheit ernst nehmen. Mit NIS 2 wird dieser Bedarf weiter steigen.

Wichtig ist zudem der Schutz des Backups. Denn die Sicherungen gehören ebenfalls zu den Zielen der Hacker. NDR bemerkt ungewöhnliche Zugriffe von unbekannten IP-Adressen auf ein Backup, eine EDR verhindert das Verschlüsseln oder Löschen der gesicherten Daten. Ransomware-Angriffe verlieren so ihr zentrales Argument: die drohende Nichtverfügbarkeit von Informationen.

## • Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
Die Supply Chain von neuer Software oder von deren Updates ist spätestens seit Kaseya als Sicherheitsrisiko bekannt. Updates von Hardware-, Software- und IT-Dienstanbietern können Vehikel für skalierbare Angriffe sein. Nicht umsonst sind Managed Security Provider ein essenzieller Sektor für NIS. Eine solche Attacke hinterlässt Spuren im Netzverkehr und führt selbstredend durch Installation einer Malware zu einem verräterischen Prozess auf dem Endpunkt.

## • Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation
Audio- und Video-Applikationen generieren neue und oft umfangreiche Datenströme. Eine auf künstlicher Intelligenz basierende NDR- und EDR-KI lernt diese Vorgänge als normal und legitim zu erkennen und an den Normalverkehr der IT-Abläufe anzupassen. Sie identifiziert deshalb ohne False Alarms ein davon abweichendes außergewöhnliches Verhalten. Wichtig ist hier: Solche Applikationen sollten auf zentral verwalteten Systemen mit IP-Adresse und Standardbetriebssystemen laufen, um in eine NDR oder EDR eingebunden zu sein.

Es ist an der Zeit, sich schon jetzt auf NIS 2 vorzubereiten. Auch die Suche nach einem Versicherungsschutz für IT-Risiken sollte man schon jetzt starten. Ebenso wichtig ist das Einrichten von Grundlagentechnologien der IT-Sicherheit sowie das Einholen externer Dienstleister für eine kontinuierlich verstärkte Abwehr und einer professionellen Rechtsberatung. Die Hacker warten nicht - und auch der Gesetzgeber nicht mehr lange. (ForeNova: ra)

eingetragen: 03.04.23
Newsletterlauf: 21.07.23

ForeNova: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Datenschutz erfordert technische Präzision

    Moderne Unternehmensarchitekturen stellen hohe Anforderungen an eine Consent Management Platform (CMP). Nur mit tiefer technischer Integration lassen sich Datenschutz und Nutzerfreundlichkeit effektiv umsetzen - das zeigen aktuelle Entwicklungen in Regulatorik und Praxis. Die Zeiten einfacher Cookie-Banner sind vorbei: In modernen Unternehmensumgebungen muss eine Consent Management Platform mehr leisten als die bloße Einholung einer Zustimmung.

  • Bewertung der Kreditwürdigkeit

    Wer in Anleihen investieren möchte, sollte die Unterschiede zwischen Staats- und Unternehmensanleihen kennen. Beide bieten Chancen aber auch unterschiedliche Risiken. Dieser Artikel zeigt, worauf es bei der Einschätzung von Bonität, Rendite und Sicherheit ankommt.

  • Compliance-Verstöße: Identitäten im Blindflug

    Rund 40 Prozent der Unternehmen verzichten laut einem aktuellen Bericht noch immer auf moderne Identity-Governance- und Administration-Lösungen (IGA). Das ist nicht nur ein organisatorisches Defizit - es ist ein ernstzunehmender Risikofaktor. Denn der Umgang mit digitalen Identitäten ist in vielen Organisationen noch immer ein Flickwerk aus manuellen Abläufen, intransparenten Prozessen und veralteter Technik. Während Cloud-Umgebungen rasant wachsen und Compliance-Anforderungen zunehmen, bleiben zentrale Fragen der Zugriffskontrolle oft ungelöst.

  • So schützen Sie sich vor Anlagebetrug

    Wer im Internet nach lukrativen Geldanlagemöglichkeiten sucht, sollte vorsichtig sein. Oft werden hohe Renditen auch für kleine Anlagebeträge versprochen. Was auf den ersten Blick verlockend klingt, kann Sie schnell um Ihr Geld bringen!

  • Risiko für Wirtschaftlichkeit & Compliance

    Die Begeisterung für KI-Modelle hält ungebrochen an - doch sie hat eine Schattenseite: Systeme wie GPT o3 und o4-mini werden zwar immer leistungsfähiger, halluzinieren aber immer häufiger. Bei Wissensfragen im sogenannten SimpleQA-Benchmark erreichen sie Fehlerquoten von bis zu 79 Prozent - ein alarmierender Wert, der selbst die Entwickler bei OpenAI ratlos zurücklässt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen