Ein Compliance-Leitfaden für Industrieunternehmen Wichtige Cyberregulierungen in Europa

Anbieter zum Thema

secunet Security Networks AG

Cohesity GmbH

Pathlock Deutschland GmbH

TXOne Networks

Cyber Resilience Act, NIS-2 und die CER-Richtlinie: Die Cybersecurity-Gesetzeslage für Industrieunternehmen in Europa ist vielfältig und unübersichtlich. Doch durch die Umsetzung der unterschiedlichen regulatorischen Anforderungen kann dabei geholfen werden, Cyberangriffe erfolgreich abzuwehren. Und das ist auch dringend notwendig, denn die Zahl der Cyberangriffe nimmt zu.

Laut IDC Studie „Cybersecurity in DACH 2022“ waren im vergangenen Jahr 72 Prozent der Unternehmen in der DACH-Region von Ransomware betroffen. Doch wen betreffen die Regulierungen? Welche Pflichten entstehen daraus? Und welche Fristen müssen Industrieunternehmen beachten? Hier ein Überblick der wichtigsten Cybersecurity-Gesetze in Europa.

1. Directive on Security of Network and Information Systems (NIS-2 Richtlinie)

Die NIS-2 Richtlinie ist ein wichtiger Teil der EU-Digitalstrategie „Gestaltung der digitalen Zukunft Europas“ und die Weiterentwicklung der bereits 2016 erlassenen NIS Richtlinie. Ziel ist es, ein hohes Cybersicherheitsniveau auf europäischer Ebene sicherzustellen und damit den Binnenmarkt zu stärken. Die Richtlinie ist am 16. Januar 2023 in Kraft getreten. Die EU-Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, die Bestimmungen in nationale Gesetzgebung zu überführen.

Betroffene Wirtschaftszweige sind in zwei Kategorien unterteilt: essential/wesentlich - also Sektoren mit hoher Kritikalität - und important/wichtig - weitere kritische Sektoren. Unter erstere fallen beispielsweise Energie, Transport und Verkehr, Finanzmärkte, der Gesundheitssektor, digitale Infrastrukturen sowie die öffentliche Verwaltung. Weitere kritische Sektoren sind unter anderem Post- und Kurierdienstleistungen, produzierendes Gewerbe, Chemie sowie die Fertigung von Medizingeräten, elektronischen Geräten, Maschinen und Transportmitteln. Welche Unternehmen innerhalb der definierten Sektoren genau betroffen sind, wird durch die jeweilige nationale Gesetzgebung definiert.

Für Industrieunternehmen bringt NIS-2 neue Spielregeln und damit neue Aufgaben. So müssen sich Firmen registrieren und Cybersicherheitsvorfälle nach fest definierten Vorgaben an die zuständigen Behörden melden:

• Frühwarnung: Meldung innerhalb von 24 Stunden nach einem Vorfall

• Vorfallbenachrichtigung / Incident notification: Meldung innerhalb von 72 Stunden nach einem Vorfall

• Zwischenbericht / Intermediate Report

• Bericht über den Fortschritt der Vorfallbehandlung / Progress Report: im Falle von nicht gelösten Vorfällen ein Monat nach Vorfallbenachrichtigung

• Finaler Bericht / Final Report: innerhalb eines Monats nach Vorfallbenachrichtigung oder eines Monats nach abgeschlossener Vorfallbehandlung

• Freiwillige Berichterstattung möglich

Unternehmen müssen zudem ein aktives Risikomanagement einführen und sich an Standards beispielsweise für Netzwerk-/Systemsicherheit, Vorfallbehandlung, Krisenmanagement sowie zu sicheren Lieferketten und dem Asset Management halten. Schutzmechanismen und eingesetzte Technologien müssen dem Stand der Technik entsprechen. Eine Zertifizierungspflicht zur Darstellung der Compliance kann durch die Nationalstaaten gefordert und eingeführt werden.

Für den deutschen Markt bedeutet NIS-2, dass es eine Anpassung des bisher bestehenden IT-Sicherheitsgesetzes 2.0 bzw. ein neues Gesetz als Nachfolger zum derzeitigen IT-Sicherheitsgesetz 2.0 geben wird. KRITIS-Betreiber in Deutschland haben durch das IT-Sicherheitsgesetz bereits ein solides Fundament aufgebaut. So sind zum Beispiel Unternehmen, die ein Information Security Management System (ISMS) und die nötige vertrauenswürdige Cybersicherheitstechnologie implementiert haben, gut aufgestellt und müssen nur mit geringen Anpassungen rechnen.

2. EU Cyber Resilience Act – Cybersicherheit für vernetzte Produkte

Der Cyber Resilience Act (CRA) der EU ist ein Gesetzentwurf mit dem Ziel, Endverbraucher und Unternehmen vor Produkten mit unzureichenden IT-Sicherheitsfunktionen zu schützen. Zu diesem Zweck soll das Gesetz Anforderungen an Produkte mit digitalen Elementen hinsichtlich Entwicklung, Ausgestaltung und Produktion definieren und damit Cybersicherheit im gesamten Lebenszyklus sichern – unter anderem auch die Verfügbarkeit von Softwareupdates. Das Sicherheitsniveau von vernetzten Endprodukten soll dadurch erhöht werden, um Cyberkriminalität vorzubeugen. Das Gesetz wird voraussichtlich 2023 in Kraft treten. Danach haben die Betroffenen zwölf bis 24 Monate Zeit für die Umsetzung der neuen Anforderungen.

Von den Vorschriften betroffen sind Hersteller von Hard- oder / und Software sowie von Produkten, die solche Komponenten enthalten und in der EU vertrieben werden. Die Anforderungen werden je nach möglicher Auswirkung unterschieden. Für Produkte, die größere wirtschaftliche Bereiche betreffen, wie IoT- und Mobilfunkgeräte oder Betriebssysteme, werden strengere Vorschriften erwartet. So soll die Cybersicherheit bereits im Produktionsprozess bzw. bei der Konfiguration berücksichtigt werden („Security by Design and Default“) – beginnend mit der Planung eines Produktes bis in die Betriebsphase und einige Jahre nach dem Produktverkauf (bis zu fünf Jahre). Zusätzlich müssen Hersteller ausführlich Dokumentation führen. Das Bereitstellen von Softwarepatches und die aktive Kommunikation zu Sicherheitslücken und deren Fehlerbehebung ist ein weiterer wesentlicher Baustein der Regulierung. Des Weiteren müssen für betroffene Produkte klare und verständliche Bedienungs- bzw. Betriebsanleitungen zur Verfügung gestellt werden.

3. Directive on the resilience of critical entities

Die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) hat das Ziel, die physische Widerstandsfähigkeit kritischer Einrichtungen zu stärken. Die CER-Richtlinie ersetzt die alte Richtlinie 2008/114/EC und weitet den Anwendungsbereich aus. Durch diese neuen Vorschriften werden die EU-Mitgliedstaaten zur Identifikation von kritischen Einrichtungen und Stärkung von deren Widerstandsfähigkeit verpflichtet. Die CER-Richtlinie ist am 16. Januar 2023 in Kraft getreten. Die EU-Mitgliedstaaten haben bis zum 17. Oktober 2024 Zeit, die Bestimmungen in nationale Gesetzgebung zu überführen.

Betroffene Wirtschaftszweige sind gemäß der Richtlinie in die Kategorien wesentlich und wichtig unterteilt. Insgesamt elf Sektoren gehören zum Geltungsbereich, die sich teilweise mit der NIS-2 Richtlinie überschneiden: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln.

Unternehmen müssen sowohl organisatorische als auch technische Sicherheitsmaßnahmen umsetzen. Dazu zählt ein funktionsfähiges Risikomanagement, um Betriebsunterbrechungen zu verhindern. Ein Business Continuity Management System (BCMS) kann hier eine geeignete Maßnahme darstellen. Zudem sollen Unternehmen in der Lage sein, adäquat auf Cybersicherheitsvorfälle zu reagieren und dementsprechend einen Plan zur Vorfallbehandlung (Incident Management) zu definieren. Cybersicherheitsvorfälle sollen an die zuständigen Aufsichtsbehörden gemeldet werden. Diese können eigene Inspektionen und Audits durchführen und die Implementierung von angemessenen Maßnahmen einfordern.

Step by step zur Cybersecurity – das können Unternehmen jetzt tun

In fünf Schritten können Industrieunternehmen sich auf die Regulierungen vorbereiten:

• 1. Betroffenheit prüfen (Produkthersteller, Betreiber, Integratoren)

• 2. Anforderungen prüfen

• 3. Meldeprozesse vorbereiten bzw. vorhandene Umsetzungen hierzu anpassen

• 4. Sicherheitskonzepte, Informationssicherheitsmanagement (z.B. auf Basis ISO/IEC 27001 bzw. IEC 62443) inkl. Business Continuity Management etablieren

• 5. Risikomanagement im definierten Geltungsbereich umsetzen

Ob CRA, NIS-2 oder die CER-Richtlinie: Halten sich Unternehmen nicht an die Vorschriften, können die EU-Staaten Bußgelder verhängen. Diese betragen zum Beispiel beim CRA bis zu 15 Mio. Euro bzw. 2,5 Prozent des Jahresumsatzes. Umso wichtiger ist eine strukturierte und ganzheitliche Cybersecurity-Strategie. Neben technischen Maßnahmen wie der Absicherung der Netzwerke und Geräte zählt dazu auch ein Blick auf die Absicherung der Unternehmensprozesse und die Sensibilisierung für das Thema bei den Mitarbeitenden.

Über den Autor: Steffen Heyde arbeitet als Marktsegmentleiter für die Marktsegmente Critical & Digital Infrastructure in der Division Industrie bei Secunet. Zusätzlich vertritt Steffen Heyde das Unternehmen bei verschiedenen Verbänden, wie dem Bundesverband IT-Sicherheit (TeleTrusT) und dem Bitkom. Er ist seit über 25 Jahren in den Bereichen Cyber-, IT- bzw. OT-Sicherheit tätig. Als Berater war er vor allem in den Unternehmenszweigen Öffentliche Verwaltung, Finanz- und Versicherungswirtschaft, Versorgungswirtschaft (u.a. Energie, Wasser, Lebensmittel), Transport, Automotive und im produzierenden Gewerbe tätig.

(ID:49587318)