Deep Observability und fünf weitere Schritte zur NIS-2-Konformität

Noch immer steht das genaue Datum nicht fest, ab wann die europäische NIS2-2 Richtline offiziell in Kraft treten wird. Das übergeordnete Ziel ist bekanntlich, die Cybersicherheit und -resilienz in Unternehmen auf europäischer und nationaler Ebene zu stärken. Sichtbarkeit bis zur Netzwerkebene (Deep Observability) wird daher immer entscheidender und wandelt sich für Unternehmen vom „Nice-to-have“ zum „Must-have“. [...]

Die unfreiwillige Schonfrist hält weiter an: noch immer gibt es kein genaues Datum, ab dem die EU-Richtlinie NIS-2 offiziell greifen soll. Trotzdem müssen sich Unternehmen – sofern noch nicht geschehen – auf diesen Tag vorbereiten, denn es steht eine Menge auf der Maßnahmenagenda. Schließlich ist es das Ziel, das Cybersicherheits- und Cyberresilienz-Niveau der EU möglichst schnell und effizient zu erhöhen.

Die NIS-2-Richtlinie gilt für alle Unternehmen, die mindestens 50 Mitarbeitende beschäftigen, über zehn Millionen Euro Umsatz erzielen und/oder in einer der 18 festgelegten kritischen Sektoren tätig sind. Ansonsten drohen ihnen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Wer unter diese Kriterien fällt, sollte also dringend mit den Vorbereitungen beginnen. Diese fünf Schritte, die die wesentlichen Vorgaben berücksichtigen, helfen bei der Umsetzung:

1. Risikobewusstsein stärken

Eines der Hauptbestandteile von NIS-2 ist das Risikomanagement, mit dem kritische Dienste und Infrastrukturen geschützt, Störungen vermieden und Auswirkungen von Sicherheitsvorfällen minimiert werden sollen. Betroffene Einrichtungen müssen daher sowohl technische als auch organisatorische Prozesse und Technologien implementieren, die Risiken schnell identifizieren, analysieren, bewerten und effektiv bewältigen können. Das Thema Cybersicherheit darf sich jedoch nicht nur auf die eigenen vier Wände beschränken. So sieht NIS-2 vor, dass betroffene Einrichtungen diese auch entlang ihrer Lieferketten zu gewährleisten haben. Regelmäßige Sicherheitsbewertungen und entsprechende Maßnahmen für alle Lieferanten und Partner sind demnach ein Muss.

2. Auf den Ernstfall vorbereiten

Es geht schon lange nicht mehr darum, das eigene Netzwerk lediglich zu isolieren, damit Cyberangreifer keine Chance auf einen Vorstoß haben. Vielmehr müssen sich Unternehmen auf die Eventualität eines Angriffs vorbereiten und mit den richtigen Mitteln dessen Auswirkungen auf kritische Dienste so niedrig wie möglich zu halten. Ein effektives Incident-Management hilft dabei, sowohl anormale Aktivitäten als auch akute Angriffe schnell zu erkennen und angemessen zu reagieren. Dies vereinfacht im Falle einer erfolgreichen Attacke die Wiederherstellung betroffener Systeme und Daten, was sowohl der allgemeinen Resilienz als auch der Geschäftskontinuität zugutekommt. Tatsächlich schreibt NIS-2 vor, dass Einrichtungen im Rahmen ihres Business-Continuity-Managements entsprechende Maßnahmen treffen – einschließlich Krisen- und Recovery-Pläne sowie regelmäßige Backups.

3. Dokumentations-, Nachweis- und Meldepflichten nicht vergessen

Ein strukturiertes Incident-Management hat noch einen weiteren Vorteil: Mit ihm können IT- und Sicherheitsteams Sicherheitsvorfällen und ihren Ursachen detailliert auf den Grund gehen. Das ist wichtig, denn mit der Einführung von NIS-2 sind Unternehmen dazu verpflichtet, diese der zuständigen Behörde innerhalb von 24 Stunden erstmals zu melden. Sowohl Erst- und Folgemeldungen als auch der Abschlussbericht müssen alle notwendigen Informationen wie eine Verlaufsbeschreibung, mögliche Ursache, angewandte Maßnahmen sowie Auswirkungen beinhalten. Neben der Meldepflicht müssen Betreiber kritischer Anlagen alle drei Jahre zusätzliche Nachweise aller umgesetzten Vorgaben erbringen; das Pendant für (besonders) wichtige Einrichtungen sind die Dokumentationspflicht sowie Stichproben. Um den Mehraufwand so gering wie möglich zu halten, sollten Unternehmen entsprechende Lösungen in Betracht ziehen, die die Berichterstattung und das Dokumentenmanagement wesentlich effizienter machen.

4. Sicherheitsmaßnahmen in den Alltag integrieren

In der Regel stellen die Mitarbeitenden selbst kritische Schwachstellen dar und werden von Cyberangreifern unter anderem mittels Social Engineering und Phishing gezielt ins Visier genommen. NIS-2 stellt deshalb verschiedene Anforderungen an sämtliche Prozesse und Technologien, die Teil des Arbeitsalltags eines jeden Kollegen sind. Kommunikation muss mittels Kryptografie verschlüsselt werden. Zugriffe auf Unternehmenssysteme müssen sowohl mithilfe von Multi-Faktor-Authentifizierung zusätzlich geschützt und zum Beispiel auf Grundlage des Zero-Trust-Konzepts gesteuert und eingeschränkt werden (Least Privilege). Darüber hinaus helfen regelmäßige Security-Schulungen dabei, das Sicherheitsbewusstsein der Belegschaft zu schärfen und sie für aktuelle Bedrohungen zu sensibilisieren.

5. Netzwerksichtbarkeit boosten

Auf Sichtbarkeit geht die NIS-2-Richtlinie nicht konkret ein. Sprich: Unternehmen sind nicht explizit dazu verpflichtet, die Sichtbarkeit innerhalb ihrer System- und Datenlandschaft zu erhöhen. Allerdings lassen sich Risiken, Schwachstellen und Vorfälle nur dann erkennen, bewerten und managen, wenn diese bekannt sind. Heutzutage ist das leichter gesagt als getan. Denn die IT-Umgebung von Unternehmen wächst mit jeder neuen Technologie und Lösung weiter, wird immer komplexer und bewegt sich zunehmend vom eigentlichen Kern weg. Dies wiederum macht es IT- und Sicherheitsteams nicht gerade einfach, den Überblick zu behalten und den umfassenden Schutz aller Systeme und Daten zu gewährleisten. Das Risiko von Blind Spots – zum Beispiel in Form lateralen East-West-Traffics oder verschlüsselten Datenverkehrs – wächst.

Da herkömmliche Sicherheitslösungen in dieser Umgebung schnell an ihre Grenzen stoßen, kommen Unternehmen langfristig nicht umhin, ihre Netzwerksichtbarkeit zu erhöhen. Am besten funktioniert das mit Deep Observability, das weit über traditionelles Metrik-, Event-, log- und Trace-basiertes Monitoring hinausgeht. Sämtliche Daten, die sich durch das Netzwerk bewegen (einschließlich des verschlüsselten und lateralen Datenverkehrs), werden in einem Layer zusammengeführt, der sich zwischen dem Netzwerk und den Sicherheits- und Monitoring-Lösungen befindet. Dort werden sie analysiert und erst dann an die Lösungen weitergeleitet. Im Zuge dessen werden auch bislang unbekannte Blind Spots aufgedeckt. Ein solch hoher Grad an Sichtbarkeit bildet zudem die Grundlage für Zero-Trust- und auf Least Privilege aufbauende Identity-and-Access-Management-Konzepte.