NIS 2: Es ist an der Zeit, sich darauf vorzubereiten

Gesundheit, Bildung, Behörden – Cyberkriminelle gehen verstärkt neue Bereiche des öffentlichen Lebens an. Ohne Zweifel ist es an der Zeit, die Cybersicherheit europaweit stärker zu regulieren. NIS 2 tut dies für die wesentlichen und wichtigen Bereiche der öffentlichen Versorgung. Ungeachtet davon, wie die Vorgaben der europäischen Vorlage im deutschen Recht aussehen werden: Sie setzen mittelständische Betriebe mit mangelhaft aufgestellter Cyberabwehr unter Druck.

Ein Beitrag von Thomas Krause, Regional Director DACH bei ForeNova.

NIS 2 will Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau festlegen. Die Gesetzgeber in den einzelnen Ländern müssen bis 17. Oktober 2024 die im Dezember 2022 veröffentlichten Richtlinien in nationales Recht umsetzen. Dessen Inhalte bleiben unklar. Auch die DSGVO schrieb kaum konkrete technische Maßnahmen vor, als es um das Umsetzen europäischer Vorgaben zum Datenschutz ging.

Sicher ist aktuell nur eines: Die Zahl der betroffenen Betriebe wird steigen, ebenso die Anforderungen an die IT-Sicherheit. Höhere Strafen an Betriebe werden möglicherweise zwei Konsequenzen haben: IT-Versicherungen legen die Messlatte noch höher, um eine Police auszustellen und versuchen, bestimmte Schäden ganz vom Schutz herauszunehmen.

Hacker können versuchen, maximale Lösegelder zu fordern, solange diese noch unter der angedrohten höheren Strafe bleiben. Doch auch die Anbieter von Managed-Security-Diensten oder die Fachdistribution der IT sollten sich auf eine zunehmende Nachfrage nach Diensten und beraterischer Kompetenz einstellen.

Zwei Fragen stellen sich vor allem:

Frage 1: Sind die neuen Regeln für mein Unternehmen relevant?
Viele Verantwortliche denken, dass ihr Betrieb keine wesentliche oder wichtige Rolle für die öffentliche Versorgung im Sinne von NIS 2 spielt. Von geschätzt 3,4 Millionen Unternehmen in Deutschland (Stand 2021) ist für rund 3,3 Millionen durch Ihre geringe Größe (unter 50 Mitarbeiter) NIS nicht relevant. Es bleiben aber mindestens rund 90.000 andere Betriebe mit mehr als 50 Mitarbeitern, die aufgrund ihrer Größe und bei entsprechendem Umsatz in Frage kommen.

Laut Ansicht des Gründers und Vorstands von Hisolutions, Timo Kob, wissen „rund 80 Prozent der Unternehmen nicht, dass sie von NIS 2 betroffen sind.“ Seinem Urteil nach dürften die Vorgaben für zusätzlich 40.000 deutsche Firmen gelten. Im Umfeld der allein von der Betriebsgröße relevanten Unternehmen spielt NIS 2 also schon bald eine Rolle. Und, wenn man der oben durchgeführten Kalkulation folgt, für fast jede zweite Organisation eine Neue.

Zudem kommen die zukünftigen Betroffenen aus den verschiedensten Branchen. NIS 2 unterscheidet zwischen wesentlichen und wichtigen Bereichen. Schon zu den wesentlichen Sektoren zählen nicht nur Versorgungsbetriebe im engeren KRITIS-Sinn. In der IT sind Betreiber digitaler Infrastrukturen und Managed Service Provider bereits als essenziell aufgeführt.

Noch weiter geht die Liste der wichtigen Betriebe: In der IT sind es die Hersteller von Elektronik und Computern, digitale Marktplätze, soziale Netzwerke und Suchmaschinen, Forschungsinstitute, weite Teile der Produktion, Elektronik, Lebensmittel, Chemie, Fahrzeugbau, Medizinprodukte, Maschinenbau und Postdienste.

Partner von Managed Security Services werden sich also auf mehr Anfragen dieser Unternehmen einstellen müssen. Das erschließt ihnen neue Chancen für das Servicegeschäft. Aber sie benötigen dafür entsprechend kompetente Mitarbeiter oder externe Hilfe.

Frage 2: Welche Vorgaben der IT-Sicherheit kann ich wie abbilden?
Artikel 21 der NIS-2-Regel beschreibt grundlegende Kriterien für Cybersicherheitsmaßnahmen, um die IT und Netzwerke ihrer kritischen Dienste zu schützen. Doch welche IT-Technologien können diese Anforderungen abbilden? Viele der Kriterien verlangen vor allem zweierlei: Die einfache und vollständige Sichtbarkeit und das kontinuierliche Monitoring der Vorgänge im Datenverkehr eines Unternehmens im Netzwerk einerseits sowie der Prozesse am Endpunkt andererseits.

Wer den Netzverkehr etwa durch eine Network Detection and Response (NDR) ständig überwacht, kann Risiken und Angriffe im Netz frühzeitig erkennen und verfolgen. Eine Endpoint Detection and Response (EDR) erkennt die Exekution der Attacken und führt Abwehrmaßnahmen durch.

Für mehrere der in der EU-NIS2-Vorgabe aufgelisteten Punkte lässt sich so die Grundlage schaffen:

• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
  
  
• Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme; Bewältigung von Sicherheitsvorfällen
  
  

Eine kontinuierliche NDR entdeckt die Kontaktaufnahme eines Command-and-Control-Servers mit dem infizierten Endpunkt. Dieser Datenverkehr ist für die Cyberkriminellen zentral, um dadurch ein angegriffenes System zu steuern. Eine KI-basierte und sich permanent optimierende NDR erkennt atypische Vorgänge im Netz, wie etwa eine Datenexfiltration, durch den Abgleich mit einem erlernten Normalmodell der IT. Sie kann Muster der immer komplexeren und gezielteren Advanced Persistent Threats (APT) identifizieren, bei denen Hacker sich zunächst still im Netz bewegen, ehe sie zuschlagen.

NDR weist durch eine Analyse des böswilligen Eintritts in die IT auf die Lücken hin, die Hacker bei einem Folgeangriff ausnutzen könnten. Für die Abwehr übernimmt dann die EDR die tragende ausführende Rolle, denn sie stoppt Prozesse – wie etwa das Verschlüsseln durch Ransomware – und blockt ein betroffenes System entweder automatisch oder nach Alarm an den IT-Administrator durch dessen Maßnahmen. Wer außerdem nach der Analyse des Angriffs im Netz und am Endpunkt weiß, wie die Cyberkriminellen einmal vorgegangen sind, kann sich für die Zukunft mit neuen Sicherheitsrichtlinien schützen.

• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
  
  

Für das Krisenmanagement liefern NDR und EDR in Fast-Echtzeit die relevanten Informationen, um einen Angriff zu erfassen. Sicherheitsexperten aus einer Managed Detection and Response (MDR) können diese beurteilen und im Ernstfall eingreifen. Schon jetzt benötigen die meisten mittelständischen Unternehmen externe Hilfe, wenn sie ihre Cybersicherheit ernst nehmen. Mit NIS 2 wird dieser Bedarf weiter steigen.

Wichtig ist zudem der Schutz des Backups. Denn die Sicherungen gehören ebenfalls zu den Zielen der Hacker. NDR bemerkt ungewöhnliche Zugriffe von unbekannten IP-Adressen auf ein Backup, eine EDR verhindert das Verschlüsseln oder Löschen der gesicherten Daten. Ransomware-Angriffe verlieren so ihr zentrales Argument: die drohende Nichtverfügbarkeit von Informationen.

• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern
  
  

Die Supply Chain von neuer Software oder von deren Updates ist spätestens seit Kaseya als Sicherheitsrisiko bekannt. Updates von Hardware-, Software- und IT-Dienstanbietern können Vehikel für skalierbare Angriffe sein. Nicht umsonst sind Managed Security Provider ein essenzieller Sektor für NIS. Eine solche Attacke hinterlässt Spuren im Netzverkehr und führt selbstredend durch Installation einer Malware zu einem verräterischen Prozess auf dem Endpunkt.

• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation
  
  

Audio- und Video-Applikationen generieren neue und oft umfangreiche Datenströme. Eine auf künstlicher Intelligenz basierende NDR- und EDR-KI lernt diese Vorgänge als normal und legitim zu erkennen und an den Normalverkehr der IT-Abläufe anzupassen. Sie identifiziert deshalb ohne False Alarms ein davon abweichendes außergewöhnliches Verhalten. Wichtig ist hier: Solche Applikationen sollten auf zentral verwalteten Systemen mit IP-Adresse und Standardbetriebssystemen laufen, um in eine NDR oder EDR eingebunden zu sein.

Es ist an der Zeit, sich schon jetzt auf NIS 2 vorzubereiten. Auch die Suche nach einem Versicherungsschutz für IT-Risiken sollte man schon jetzt starten. Ebenso wichtig ist das Einrichten von Grundlagentechnologien der IT-Sicherheit sowie das Einholen externer Dienstleister für eine kontinuierlich verstärkte Abwehr und einer professionellen Rechtsberatung. Die Hacker warten nicht - und auch der Gesetzgeber nicht mehr lange.