NNIISS 22 –– FFrraaggeenn && AAnnttwwoorrtteenn

In diesem spannenden CyberTalk-Interview mit dem Check Point VP of Engineering für EMEA, PPeetteerr SSaannddkkuuiijjll, wird die NIS 2-Richtlinie erklärt und erläutert, was Kunden in der EU über bewährte Praktiken der Cybersicherheit wissen müssen. Was ist die NIS-2-Richtlinie und welche Organisationen sind von ihr betroffen? PPeetteerr:: Die NIS-2-Richtlinie ist eine Reihe von Cybersicherheitsrichtlinien und -anforderungen, die von der Europäischen Union (EU) festgelegt wurden. Es wird die neue Grundlage für die Cybersicherheitsverpflichtungen von Organisationen in vielen Sektoren, die als kritisch für die Wirtschaft gelten, einschließlich der Anbieter digitaler Dienste und der Betreiber essentieller Dienste. Sie verlangt die Umsetzung geeigneter Maßnahmen zur Sicherung ihrer Netzwerke und Informationssysteme. Alle 27 EU-Mitgliedstaaten müssen diese neuen Verpflichtungen bis September 2024 in ihre nationalen Gesetze aufnehmen. Welche Maßnahmen wird die EU ergreifen, um die Anforderungen der NIS-2-Richtlinie durchzusetzen? PPeetteerr:: Wenn eine Organisation die Anforderungen der Richtlinie nicht einhält, kann sie mit einer Reihe von rechtlichen Konsequenzen konfrontiert werden, darunter Geldbußen und andere Strafen. Darüber hinaus kann die Nichteinhaltung dazu führen, dass Kunden oder andere Parteien, die durch unzureichende Cybersicherheitsmaßnahmen geschädigt werden, rechtliche Schritte einleiten. Um sicherzustellen, dass dies ernst genommen wird, ist in der Richtlinie klar festgelegt, dass die Einhaltung der Vorschriften nachgewiesen werden muss und dass fehlendes Bewusstsein keine Entschuldigung ist. Letzteres wird alle Beteiligten, von IT- Managern über CISOs bis hin zum Vorstand, dazu bringen, sich der Problematik bewusst zu werden und entsprechende Maßnahmen zu ergreifen. Die Geldstrafen, die verhängt werden können, können eine persönliche Haftung nach sich ziehen. Was ist "Schritt 1" für Organisationen, um sich auf das Erscheinen dieser neuen Gesetzgebung vorzubereiten? PPeetteerr:: Das Bewusstsein und eine programmatische Überprüfung des aktuellen Zustands sind der Schlüssel. Die Denkweise muss nach außen und nicht nach innen gerichtet sein. Irgend- wann sind Organisationen so wichtig für die Wirtschaft geworden, dass sie nicht mehr durch Unwissenheit oder Untätigkeit entschuldigt werden können, wenn es zu Störungen kommt.

This exciting CyberTalk interview with Check Point VP of Engineering for EMEA, Peter Sandkuijl, explains the NIS-2 directive and what EU customers need to know about cybersecurity best practice.

What is the NIS-2 Directive and which organizations are affected by it? Peter: The NIS-2 Directive is a set of cybersecurity guidelines and requirements established by the European Union (EU). It will become the new foundation for the cybersecurity obligations of organizations in many sectors considered critical to the economy, including digital service providers and essential service operators. It requires the implementation of suitable measures to secure its networks and information systems. All 27 EU member states must incorporate these new obligations into their national laws by September 2024.

What measures will the EU take to enforce the requirements of the NIS-2 Directive? Peter: If an organization fails to comply with the requirements of the Directive, it may face a range of legal consequences, including fines and other penalties. In addition, non-compliance may result in legal action being taken by customers or other parties harmed by inadequate cyber security measures. To ensure that this is taken seriously, the Directive clearly states that compliance must be demonstrated and that lack of awareness is no excuse. The latter will ensure that everyone involved, from IT managers and CISOs to the board of directors, is aware of the problem and takes appropriate measures. The fines that may be imposed may result in personal liability.

What is “Step 1” for organizations to prepare for the advent of this new legislation? Peter: Awareness and a programmatic review of the current state are key. The mindset must be directed outwards and not inwards. At some point, organizations have become so important to the economy that they can no longer be excused by ignorance or inaction when disruptions occur.

Q U E S T I O N S & A N S W E R S

NIS-2 Directive

NNIISS 22 –– FFrraaggeenn && AAnnttwwoorrtteenn

Wie müssen die meisten Unternehmen ihre bestehenden Prozesse anpassen, um die neuen Anforderungen zu erfüllen? PPeetteerr:: Unternehmen, die über eine Cybersicherheitspolitik verfügen, die die Geschäftskontinuität und die damit verbundenen Risiken berücksichtigt, haben nur wenig zusätzliche Arbeit. Unternehmen, die dies nicht tun, haben möglicherweise noch einiges an Arbeit vor sich. Bewertung und Risikoanalyse, Schulung des Sicherheitsbewusstseins auf allen Ebenen und Umsetzung technischer Maßnahmen - all dies muss möglicherweise geschehen, bevor das Gesetz in Kraft tritt. Wie wird die NIS-2-Richtlinie den C-Levels neue Verantwortlichkeiten im Bereich der Cybersicherheit übertragen? PPeetteerr:: C-Levels gibt es in allen Formen und mit sehr unterschiedlichen Hintergründen. Einige von ihnen haben Cybersicherheit in der Vergangenheit als reine IT-Angelegenheit betrachtet. Die NIS-2-Richtlinie wird sie dazu veranlassen, besser zu verstehen, dass die fortschreitende digitale Transformation, die Massenspeicherung privater Daten und die wirtschaftliche Bedeutung, die ihre Organisation hat, ein Risiko für die Gesellschaft darstellen können und dass sie daher als Person eine Verantwortung tragen. Die persönliche Haftung, potenzielle rechtliche Schritte, Bußgelder und die Verpflichtung, jedes Problem innerhalb von 24 Stunden an die Behörden zu melden, werden eine wesentliche Motivation für Verhaltensänderungen sein. Die Tatsache, dass externe Parteien potenziell Einfluss auf die Dienstleistungen eines Unternehmens nehmen können, wird dazu führen, dass die gesamte Lieferkette unter die Lupe genommen werden muss. Dies bedeutet, dass die Führungsebenen eine Strategie für Dritte entwickeln müssen, die einen großen Auswirkungen auf Unternehmen weltweit haben wird, nicht nur auf Unternehmen in der EU. Wie können IT-Teams die technischen und betrieblichen Prozesse verbessern, um den Auflagen gerecht zu werden? Gibt es neue Technologien, die sie integrieren sollten? PPeetteerr:: Die NIS 2 ist eine Richtlinie, die weder eine Checkliste noch Mindestanforderungen enthält. Sie beschreibt einen "angemessenen Schutz", der natürlich offen für Interpretationen ist. Als Mindestanforderung können wir jedoch davon ausgehen, dass das Fehlen von Firewall- und Intrusion-Prevention-Technologien im Netzwerk, ein ausreichender Schutz der Endgeräte, die Implementierung von Mehrfaktor-Authentifizierung, Datenverschlüsselung und Zugangsbeschränkung sowie andere bewährte Techniken zu einem schwierigen Gespräch führen werden, sollte etwas passieren. Haben Sie weitere Erkenntnisse über bewährte Sicherheitspraktiken, die Unternehmen dabei helfen können, sich auf die bevorstehenden NIS-2-Anforderungen vorzubereiten, und die gleichzeitig die Sicherheit erhöhen und das Risiko verringern können? PPeetteerr:: Es gibt keine Patentlösung, keine Checkliste und schon gar keine schnelle Lösung. Die Tatsache, dass dies nun in der gesamten EU gleichzeitig umgesetzt wird, ist ein Zeichen dafür, dass die Branche und die Wirtschaft reifer werden und die Unternehmen entsprechend handeln müssen. Es gibt eine Verantwortung, und sie verdient es, wahrgenommen zu werden. Der beste Weg nach vorn besteht darin, zunächst die aktuelle Situation zu analysieren, einen Fahrplan mit klaren Zielen und Zeitvorgaben zu erstellen und damit zu beginnen. Dies wird sich auf die gesamte Organisation auswirken und kann in einigen Branchen tiefgreifende Auswirkungen auf

How do most companies have to adapt their existing processes to meet the new requirements? Peter: Companies that have a cyber security policy that takes into account business continuity and the associated risks have little extra work. Companies that do not do this may still have some work to do. Assessment and risk analysis, security awareness training at all levels and implementation of technical measures – all this may need to happen before the law comes into force.

How will the NIS-2 Directive give C-Levels new responsibilities in the area of cyber security? Peter: C-Levels come in all shapes and sizes and with very different backgrounds. Some of them have viewed cyber security as a purely IT issue in the past. The NIS-2 Directive will make them better understand that the ongoing digital transformation, the mass storage of private data and the economic importance that their organization has can pose a risk to society, and that they therefore have a responsibility as an individual. Personal liability, potential legal action, fines and the obligation to report any problem to the authorities within 24 hours will be a major motivation for behavioral change. The fact that external parties can potentially influence a company’s services will mean that the entire supply chain will have to be scrutinized. This means that senior management will need to develop a strategy for third parties that will have a major impact on companies worldwide, not just those in the EU.

How can IT teams improve technical and operational processes to meet the requirements? Are there new technologies that you should integrate? Peter: The NIS-2 is a directive that contains neither a checklist nor minimum requirements. It describes “adequate protection”, which is of course open to interpretation. However, as a minimum requirement, we can assume that the lack of firewall and intrusion prevention technologies on the network, adequate endpoint protection, implementation of multi-factor authentication, data encryption and access restriction, and other best practices will make for a difficult conversation should something happen.

Do you have any other insights on security best practices that can help organizations prepare for the upcoming NIS-2 requirements while increasing security and reducing risk? Peter: There is no one-size-fits-all solution, no checklist and certainly no quick fix. The fact that this is now being implemented across the EU at the same time is a sign that the industry and the economy are maturing and companies need to act accordingly. There is a responsibility, and it deserves to be acknowledged. The best way forward is to first analyze the current situation, create a roadmap with clear goals and timelines and get started. This will impact the entire organization and, in some industries, can have a profound effect on internal company culture, budget setting, hiring and more.

Where should companies expect difficulties in complying with NIS-2 and where can they find support? Peter: As this is a process and not a product, companies with a less mature approach to cybersecurity may struggle to reach an appropriate level of maturity within a reasonable timeframe.

NIS-2 - Questions & Answers

How are companies like Check Point helping business leaders prepare for the NIS-2 directive and the changes it brings? Peter: Companies like Check Point have a lot of experience in dealing with risks and their prevention. As the market and the threat landscape evolve, so does the technology and the companies that use it. However, it is important to mention that not everything can be solved with technology. Processes and technologies are equally important. This means that companies should demand to be informed first and not look for a quick fix. Security awareness, and documented and tested processes, are just as important. Cybersecurity solution providers must play an important role as advisors and focus on customer benefits and interests before pursuing their own commercial objectives.

Is there anything else you would like to tell our readers? Peter: As a long-time security enthusiast and evangelist, I am delighted that cyber security is being taken out of the IT corner and that companies are being held accountable for storing private data and providing services to the economy. I hope that people will see the good in it and not get fed up with a flood of marketing material and FUD. I would encourage everyone to find out more about the topic and start the process early. Cyber security drills will become as common as fire drills.

Peter Sandkuijl, VP Sales Engineering, EMEA Peter is an experienced security expert with over 25 years of experience. His previous positions at Check Point include Technical Product Manager, Technical Manager Benelux, SE Manager Northern Europe, EMEA SE High-End Solutions and Head of Network Security solutions, EMEA. He lives in the Netherlands.

For more information on NIS-2, see “Will the EU’s new cyber security law change the game?” , published on Cyber Talk, Cyber Security News and Insights for Executives.

© 2024 Check Point Software Technologies Ltd All rights reserved.

NNIISS 22 –– FFrraaggeenn && AAnnttwwoorrtteenn

Wie müssen die meisten Unternehmen ihre bestehenden Prozesse anpassen, um die neuen Anforderungen zu erfüllen? PPeetteerr:: Unternehmen, die über eine Cybersicherheitspolitik verfügen, die die Geschäftskontinuität und die damit verbundenen Risiken berücksichtigt, haben nur wenig zusätzliche Arbeit. Unternehmen, die dies nicht tun, haben möglicherweise noch einiges an Arbeit vor sich. Bewertung und Risikoanalyse, Schulung des Sicherheitsbewusstseins auf allen Ebenen und Umsetzung technischer Maßnahmen - all dies muss möglicherweise geschehen, bevor das Gesetz in Kraft tritt. Wie wird die NIS-2-Richtlinie den C-Levels neue Verantwortlichkeiten im Bereich der Cybersicherheit übertragen? PPeetteerr:: C-Levels gibt es in allen Formen und mit sehr unterschiedlichen Hintergründen. Einige von ihnen haben Cybersicherheit in der Vergangenheit als reine IT-Angelegenheit betrachtet. Die NIS-2-Richtlinie wird sie dazu veranlassen, besser zu verstehen, dass die fortschreitende digitale Transformation, die Massenspeicherung privater Daten und die wirtschaftliche Bedeutung, die ihre Organisation hat, ein Risiko für die Gesellschaft darstellen können und dass sie daher als Person eine Verantwortung tragen. Die persönliche Haftung, potenzielle rechtliche Schritte, Bußgelder und die Verpflichtung, jedes Problem innerhalb von 24 Stunden an die Behörden zu melden, werden eine wesentliche Motivation für Verhaltensänderungen sein. Die Tatsache, dass externe Parteien potenziell Einfluss auf die Dienstleistungen eines Unternehmens nehmen können, wird dazu führen, dass die gesamte Lieferkette unter die Lupe genommen werden muss. Dies bedeutet, dass die Führungsebenen eine Strategie für Dritte entwickeln müssen, die einen großen Auswirkungen auf Unternehmen weltweit haben wird, nicht nur auf Unternehmen in der EU. Wie können IT-Teams die technischen und betrieblichen Prozesse verbessern, um den Auflagen gerecht zu werden? Gibt es neue Technologien, die sie integrieren sollten? PPeetteerr:: Die NIS 2 ist eine Richtlinie, die weder eine Checkliste noch Mindestanforderungen enthält. Sie beschreibt einen "angemessenen Schutz", der natürlich offen für Interpretationen ist. Als Mindestanforderung können wir jedoch davon ausgehen, dass das Fehlen von Firewall- und Intrusion-Prevention-Technologien im Netzwerk, ein ausreichender Schutz der Endgeräte, die Implementierung von Mehrfaktor-Authentifizierung, Datenverschlüsselung und Zugangsbeschränkung sowie andere bewährte Techniken zu einem schwierigen Gespräch führen werden, sollte etwas passieren. Haben Sie weitere Erkenntnisse über bewährte Sicherheitspraktiken, die Unternehmen dabei helfen können, sich auf die bevorstehenden NIS-2-Anforderungen vorzubereiten, und die gleichzeitig die Sicherheit erhöhen und das Risiko verringern können? PPeetteerr:: Es gibt keine Patentlösung, keine Checkliste und schon gar keine schnelle Lösung. Die Tatsache, dass dies nun in der gesamten EU gleichzeitig umgesetzt wird, ist ein Zeichen dafür, dass die Branche und die Wirtschaft reifer werden und die Unternehmen entsprechend handeln müssen. Es gibt eine Verantwortung, und sie verdient es, wahrgenommen zu werden. Der beste Weg nach vorn besteht darin, zunächst die aktuelle Situation zu analysieren, einen Fahrplan mit klaren Zielen und Zeitvorgaben zu erstellen und damit zu beginnen. Dies wird sich auf die gesamte Organisation auswirken und kann in einigen Branchen tiefgreifende Auswirkungen auf

NIS-2 - Questions & Answers

https://www.cybertalk.org/2023/05/05/will-the-eus-new-cyber-security-law-change-the-game/