Der Ausfall von Crowdstrike/Microsoft im Juli 2024 war schlimm. Krankenhäuser, Notdienste, Banken, Fluggesellschaften, Fernsehsender und unzählige andere Organisationen waren betroffen. Die einzige gute Nachricht für die Hunderttausenden betroffenen Unternehmen war vielleicht, dass es sich nicht um einen Sicherheitsvorfall handelte, sondern um ein fehlerhaftes Cybersicherheitsupdate. So schlimm es auch war, es hätte noch viel schlimmer kommen können.

Abgesehen von den zahlreichen Lernmöglichkeiten zeigen die Ereignisse des „Crowdstrike Friday“, wie anfällig kritische Infrastrukturen sein können.

Ein guter Zeitpunkt also, um sich über die Fortschritte der NIS2-Richtlinie der Europäischen Union zu informieren, die Unternehmen dabei helfen soll, ihre Cybersicherheitsvorkehrungen auf den neuesten Stand zu bringen.

Die folgenden Ansichten stammen von Peter Sandkuijl von Check Point.

NIS2: Verordnung, Rahmen oder Leitfaden? Die NIS2 ist seit Januar 2023 in Kraft. Aber es gibt nicht viel, auf das man zeigen und sagen kann: „Das ist NIS2 in Aktion“. Anders als die Allgemeine Datenschutzverordnung (GDPR) oder der Digital Operational Resilience Act (DORA) ist NIS2 eher ein Leitfaden als eine Verordnung. Infolgedessen gibt es viele Grauzonen.

Bei DORA zum Beispiel können Banken nicht über das Umsetzungsdatum hinaus tätig sein, wenn sie nicht konform sind. Das ist bei NIS2 nicht der Fall. Niemand kommt vorbei und setzt Häkchen in Kästchen.

NIS2: Warum alle konform sind, bis sie es nicht mehr sind

1

Das bedeutet nicht, dass Organisationen nicht mit Geldstrafen belegt werden können, es bedeutet nur, dass im Rahmen von NIS2 jeder so lange konform ist, bis er es nicht mehr ist. Im Wesentlichen muss ein schwerwiegender Verstoß vorliegen, und bei der anschließenden Prüfung muss nachgewiesen werden, dass gegen die NIS2-Empfehlungen verstoßen wurde.

Obwohl NIS2 früher in Kraft tritt als DORA, ist der Zeitplan für NIS2 also viel langwieriger. Noch wird auf den ersten aufsehenerregenden Fall gewartet, bevor ein Präzedenzfall geschaffen werden kann. Was geschieht danach? Selbst das ist im Moment noch nicht ganz klar.

DORA. Wie viele Überschneidungen gibt es zwischen dieser Verordnung und NIS2? Das hängt davon ab, welche Aspekte man betrachtet. DORA ist zum Beispiel auf die Finanzdienstleistungsbranche beschränkt, während NIS2 für jede Organisation gilt, die für die EU-Wirtschaft von entscheidender Bedeutung ist. Der Anwendungsbereich von NIS2 ist also viel breiter, aber auch viel weniger rigoros. Die NIS2 umfasst nicht die Lieferkette, die eines der Schlüsselelemente von DORA ist. Mit NIS2 muss man nicht die Sicherheit der Lieferkette garantieren, sondern nur die der eigenen Organisation.

Technologisch gesehen sind jedoch viele der Faktoren dieselben. Es geht immer noch um Multifaktor- Authentifizierung, Segmentierung, Ausfallsicherheit, die Implementierung von Zero Trust und dergleichen mehr. Und all das ist sehr vergleichbar.

Wer also DORA-konform ist, wird auch NIS2-konform sein? Mit ziemlicher Sicherheit, aber nicht andersherum. Man muss auch bedenken, dass DORA speziell für Finanzdienstleistungsunternehmen gilt, es ist also nicht so, dass die gesamte Branche bereits Schritte zur Einhaltung der Vorschriften unternimmt.

Auf der anderen Seite ist NIS2 bei weitem nicht so anspruchsvoll wie DORA. Im Rahmen von DORA müssen Cyber-Resilienz-Tests, Red-Teaming und solche Dinge durchgeführt werden. Das ist nicht Teil von NIS2, es sei denn, man will es so. Es hängt sehr stark von der Reife der Organisation ab, wie weit sie gehen muss. Während einige also sehr strenge Rahmenwerke im DORA-Stil um NIS2 herum entwickeln, werden andere einfach sagen: „Hey, wir haben ein Intrusion Prevention System, wir sind gut“.

2

Es wird also eine Varianz geben? Zwei Organisationen können NIS2-konform sein, aber die eine ist vielleicht wesentlich sicherer als die andere? Ja. Es kommt ganz darauf an, wie man die Richtlinien versteht und wie man sie umsetzt. Die Auslegung von NIS2 bedeutet, dass man so lange unschuldig ist, bis die Schuld bewiesen ist. Wenn es in den letzten 10 Jahren keinen Verstoß gegeben hat, warum sollte es dann morgen einen geben? Das ist natürlich etwas zu kurz gedacht, aber es macht die Sache schwieriger. Es ist bereits sehr schwierig, Unternehmen dazu zu bringen, der Cybersicherheit Priorität einzuräumen, und das ist auch verständlich.

Angenommen, man ist im Lebensmitteleinzelhandel tätig. Das ist ein Geschäft mit hohen Umsätzen und niedrigen Margen. Bestenfalls 2-3%. Wenn also jemand daherkommt und sagt: „Sie müssen zwischen 10 und 12 % Ihres gesamten IT-Budgets in die Cybersicherheit investieren“, kann man sich vorstellen, wie die Reaktion ausfallen wird. Das ist übrigens ein normaler Prozentsatz, wenn man gute Arbeit leisten will, aber die Denkweise ist eine ganz andere - und das ist auch verständlich.

Selbst wenn man den Bedarf auf etwas wie NIS2 abstimmt, ist es immer noch schwierig, die richtige Unterstützung zu bekommen. Man denke nur an all die anderen Dinge, mit denen sich ein Einzelhändler befassen muss - Gesundheit und Sicherheit, Schadensverhütung, die Lieferkette. Es gibt eine endlose Liste. Und das gilt nicht nur für den Einzelhandel. Dies gilt für viele, viele Branchen, die unter die NIS2 fallen. Ein großer Teil der Aufgabe des CISO besteht also darin, die Leute dazu zu bringen, sich genug Gedanken zu machen, um Maßnahmen zu ergreifen.

Und wie sollten sie das tun? Nun, ein Teil der Arbeit wird ihnen abgenommen, wenn die ersten großen Fälle in die Schlagzeilen geraten. Nichts veranlasst die Vorstandsetage mehr dazu, Fragen zur Einhaltung der Vorschriften zu stellen, als wenn ein Unternehmen in ihrem Bereich von einem Verstoß betroffen ist. Das ist natürlich nicht gerade ein proaktiver Ansatz.

Letztlich geht es bei der Arbeit eines CISO darum, ein begrenztes Budget auszugleichen. Und dieses Budget wird sich erhöhen oder verringern, je nachdem, wie gut es gelingt, die Leute von der Notwendigkeit zu überzeugen, den Schutz zu verbessern. Deshalb ist es so wichtig, einen vielschichtigen Ansatz zu verfolgen. Wenn das Budget für Option A nicht ausreicht, muss man die Optionen B, C, D, E usw. in der Hinterhand haben, um das Risiko so gut wie möglich zu beherrschen. Es wird immer einen anderen Weg zum Erfolg geben.

Wie müsste man diese Aufgabe angehen? Zunächst sollte man jede Schwachstelle in seinem Netzwerk beseitigen. Emails. Firewalls. Datenbanken. Wenn jemand das durchbrechen kann, hat man ein Problem. Es braucht nur einen Fehler, einen Bug oder eine Zero-Day-Schwachstelle, und schon ist es passiert. Das ist ein zu großes Risiko.

Dieses Risiko wird auch noch größer werden. Die Situation um NIS2 wird sich verbessern. Es wird viel mehr Klarheit geben. Und niemand möchte das Unternehmen sein, das einen Administrator eine Richtlinienänderung vornehmen lässt, die alles zum Einsturz bringt. Selbst wenn es sich also vorerst nur um eine „Anleitung“ handelt, muss NIS2 sehr ernst genommen werden.

Weitere Informationen zu NIS2 und Unterstützung auf gibt es hier.

© 2024 Check Point Software Technologies Ltd. Alle Rechte vorbehalten. 3