Cyberbedrohungen
Verbesserungen und Umsetzung der NIS2-Richtlinie
Das Europäische Parlament hat im Januar 2023 die NIS2-Richtlinie in Kraft gesetzt. Welche Änderungen für die Betreiber wesentlicher Dienste sind darin enthalten und wie können Unternehmen die Compliance-Anforderungen am besten umsetzen?
Die erste Richtlinie für Netz- und Informationssysteme (EU 2016/1148) wurde 2016 mit dem Ziel eingeführt, die grundlegende Cybersicherheit in allen EU-Mitgliedstaaten zu verbessern. Unter anderem verlangt die Richtlinie von den Mitgliedstaaten, Teams für die Reaktion auf Computer-Sicherheitsvorfälle (Computer Security Incident Response Teams, CSIRTs) und eine zuständige nationale Cybersicherheitsbehörde zu aufzusetzen.
Die Network and Information Systems (NIS)-Richtlinie gilt für Betreiber wesentlicher Dienste (Operators of Essential Services, OES) in jedem Land. Die OES müssen angemessene Cybersicherheitsmaßnahmen aufsetzen und schwere Vorfälle an die zuständige nationale Behörde melden.
Die OES-Sektoren, die die NIS-Richtlinie einhalten müssen, sind: Energie, Transport, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasserversorger und Anbieter digitaler Infrastrukturen. Die Frist für die Einhaltung der NIS-Richtlinie endete im November 2018.
Einführung von NIS2
Am 16. Januar 2023 trat die NIS2-Richtlinie (EU 2022/2555) in Kraft. Sie muss von allen Mitgliedstaaten bis zum 17. Oktober 2024 angenommen werden. Die NIS2 baut auf den Errungenschaften der ursprünglichen Richtlinie auf und trägt den immer entschlosseneren und besser ausgerüsteten Bedrohungsakteuren und der wachsenden Zahl von Cyberangriffen auf Unternehmen Rechnung.
Die wichtigsten Änderungen in der neuen NIS2-Richtlinie sind:
- Die Erweiterung um „wichtige Einrichtungen“, die die Vorschriften einhalten und Bericht erstatten müssen. Dazu gehören die Abwasseraufbereitung, die öffentliche Verwaltung, die Raumfahrt, Post- und Kurierdienste, die Abfallwirtschaft, die chemische Industrie, die Lebensmittelindustrie, das verarbeitende Gewerbe und verschiedene Anbieter von IT-Rechenzentren und digitalen Services.
- Persönliche Haftung für Vorfälle durch Firmenchefs.
- Straffere Zusammenarbeit zwischen den Mitgliedsstaaten.
- Die Umsetzung verbindlicher Maßnahmen zum Cyber-Risikomanagement.
- Verpflichtende Mitarbeiterschulungen und Audits.
- Bußgelder und Strafen im Falle der Nichteinhaltung.
Der Weg zur Einhaltung der Vorschriften
Die NIS2-Richtlinie beschreibt die zu erreichenden Ziele. Es ist die Aufgabe jedes Mitgliedstaates, diese Ziele in nationales Recht umzusetzen. Die lokale Umsetzung kann jedoch je nach den spezifischen Umständen von Mitgliedstaat zu Mitgliedstaat unterschiedlich sein.
Die NIS2-Richtlinie schreibt den Organisationen keinen spezifischen Rahmen für die Compliance vor. Das NIST Cybersecurity Framework wäre jedoch ein guter Ausgangspunkt dafür. Es deckt die NIS2-Ziele ab und ist sowohl für IT- als auch für OT-Netzwerkumgebungen relevant.
Das NIST Cybersecurity Framework basiert auf fünf Kernfunktionen:
- Identifizieren - Sie kennen alle Ihre Ressourcen und Ihre Angriffsfläche.
- Schützen - Implementieren Sie die Sicherheitsvorkehrungen.
- Erkennen - Rechtzeitige Erkennung von Cybersicherheitsvorfällen.
- Reagieren - Plan zur Eindämmung der Auswirkungen.
- Wiederherstellen - Aufrechterhaltung der Ausfallsicherheit und Wiederherstellung der Services nach einem Angriff.
NIS2: Direktive mit Biss – wie die EU Cybersicherheit neu definiert
Sie können sich in diesem Webinar informieren.
Weitere Informationen zur NIS2-Richtlinie können Sie auf unserer Webseite entnehmen.
Trend Micro bietet mehrschichtige Fähigkeiten zur Unterstützung der Compliance mit NIS2. Sie werden über eine zentralisierte Plattform bereitgestellt, um den Zugriff, die Verwaltung und die Nutzung zu erleichtern.
Unsere Lösungen decken alle Ebenen der IT-Umgebung ab, von E-Mail und Endgeräten bis hin zu Netzwerken, Servern und hybriden Cloud-Umgebungen. Der Schwerpunkt liegt auf der Verschlankung von Funktionen, indem so viele wie möglich von einer einzigen Plattform aus angeboten werden, mit der Option der SaaS-Bereitstellung
Unsere Flaggschiff-Cybersicherheitsplattform unterstützt ein robustes Risikomanagement für Angriffsflächen, schichtenübergreifenden Schutz in hybriden Umgebungen und XDR der nächsten Generation, um Kunden dabei zu unterstützen, cyberbezogene Risiken im gesamten Unternehmen besser zu verwalten.
Die Plattform schützt jede Ebene der IT-Infrastruktur eines Unternehmens, einschließlich Endpunkte, Server, E-Mail, Cloud Services, Netzwerke, 5G und OT (Betriebstechnologie). Es gibt auch Unterstützung für die Hybrid-Cloud von einer einzigen Plattform aus. Integrationen von Drittanbietern ergänzen die Trend Micro-Bedrohungsdaten für die erweiterte Erkennung und Reaktion (XDR) sowie die proaktive, präventionsbasierte Sicherheit. Durch die Identifizierung und Behebung potenzieller Risiken wie Schwachstellen und Gefährdungen neben der Erkennung und Reaktion unterstützt Trend Vision One externe und interne ASRM-Initiativen zur Förderung von Zero Trust.
Die Plattform beinhaltet auch einen generativen KI Assistenten, Companion, der darauf ausgerichtet ist, die Arbeit von Analysten zu erleichtern, die Zahl der Alerts zu minimieren und Sicherheitsabläufe (SecOps) zu verbessern.
Da Cyberangriffe immer komplexer und raffinierter werden, müssen Cybersecurity-Teams flexibel genug sein, um Bedrohungen schnell zu erkennen und darauf zu reagieren. Trend Service One eliminiert das Rauschen von falsch-positiven Alarmen, indem es hochgradig zuverlässige Alarme liefert, die von globalen Threat Intelligence-Analysten und den neuesten Techniken zur Bedrohungsjagd validiert wurden.
Trend Service One beinhalten 24/7/365 Premium Support Service, Erkennung von gezielten Angriffen, Managed XDR sowie Incident Response.
Schließlich bieten wir standardisierte und maßgeschneiderte Produktschulungen und ein anpassbares Phishing-Simulationstool, um Mitarbeiter über Best Practices im Bereich der Cybersicherheit aufzuklären und das Risiko menschlicher Fehler zu verringern.
Insgesamt kann Trend Unternehmen die Cybersicherheitslösungen, Services und Fachkenntnisse zur Verfügung stellen, die sie benötigen, um die NIS2-Vorschriften einzuhalten und die allgemeine Cybersicherheitslage zu verbessern.