Absolut notwendige Initiative

Vor dem Hintergrund rasant zunehmender Cyberangriffe und der fortschreitenden Digitalisierung soll das neue IT-Sicherheitsgesetz die IT-/OT-Sicherheit kritischer Infrastrukturen (Kritis) verbessern. Unternehmen und Organisationen aus Bereichen wie Energie, Wasser, Ernährung, Gesundheit, Transport und Verkehr, IT und Telekommunikation, Finanz- und Versicherungswesen und auch Entsorgung müssen seit Mai 2023 umfassendere Sicherheitsrichtlinien erfüllen. Durch die Absenkung der Schwellenwerte werden zudem deutlich mehr Organisationen als bisher in die Pflicht genommen.

Der Status quo zeigt jedoch, dass in vielen Fällen noch Nachholbedarf besteht, der die Betreiber im wahrsten Sinne des Wortes teuer zu stehen kommen kann. Denn schwächere Sicherheitsmaßnahmen bedeuten nicht nur einen geringeren Schutz – und damit ein erhöhtes Risiko für die Business Continuity und die Versorgungssicherheit –, es drohen auch empfindliche Bußgelder von bis zu 20 Mio. Euro, wenn die Anforderungen nicht erfüllt werden.

Was sind die Anforderungen?

Eine der wichtigsten neuen Anforderungen ist der Einsatz von Systemen zur Angriffserkennung, verbunden mit einer gesetzlichen Nachweispflicht. Organisationen müssen in der Lage sein, Anomalien zu identifizieren, um Angriffe frühzeitig zu erkennen und Gegenmaßnahmen zu ergreifen, z.B. mit einem SIEM-System. Darüber hinaus sind Organisationen verpflichtet, ihre IT-Infrastruktur regelmäßig zu aktualisieren und Schwachstellen, die ein Einfallstor für Angreifer darstellen, zu patchen.

Dies ist ein Artikel aus unserer Print-Ausgabe 5/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Für den Fall eines Angriffs müssen Reaktions- und Notfallpläne vorliegen, die festlegen, wer im Ernstfall wann und in welcher Reihenfolge bestimmte Aufgaben übernimmt, um den Schaden zu minimieren oder zu verhindern. Für den Fall, dass Hacker und Cyberkriminelle trotz Präventionsmaßnahmen erfolgreich sind, wird ein Disaster-Recovery-Plan gefordert, der im Falle eines Angriffs eine schnellstmögliche Wiederaufnahme des Betriebs ermöglicht. Für kritische Infrastrukturen ist dies von entscheidender Bedeutung.

Wichtige Initiative, komplexe Umsetzung

Das IT-Sicherheitsgesetz 2.0 ist eine wichtige und absolut notwendige Initiative – insbesondere, weil sich die Cybersicherheitslage weiter verschärft und kritische Infrastrukturen immer stärker in den Fokus von Cyberkriminellen rücken – auch unter dem Eindruck aktueller geopolitischer Konflikte und des Cyberkriegs im Kontext des Angriffs Russlands auf die Ukraine. Der Stichtag zum 1. Mai verdeutlicht die Notwendigkeit adäquater Maßnahmen für Organisationen mit Versorgungsverantwortung. Ferner, werden sich die Anforderungen an die IT-Sicherheit und die Ausweitung der Anwendungsbereiche durch den EU-Beschluss zu NIS2 im nächsten Jahr weiter verschärfen.

Bildquelle: Arctic Wolf