Basis für Risikomanagement und Meldepflichten für die Cyber-Sicherheit in vielen Bereichen

[datensicherheit.de, 08.12.2022] Andy Norton, „European Cyber Risk Officer“ bei Armis, geht in seiner aktuellen Stellungnahme auf die neuen EU-weiten Vorschriften zur Stärkung der Cyber-Sicherheit und Widerstandsfähigkeit ein: Die überarbeitete „Richtlinie zur Sicherheit von Netz- und Informationssystemen“ (NIS2) dient demnach als Basis für Risikomanagement und Meldepflichten für die Cyber-Sicherheit in vielen Bereichen, wie etwa digitale Infrastruktur, Verkehr, Energie und Gesundheit.

Foto: Armis

Andy Norton: Gemeinsame Mindestanforderungen und Maßnahmen zur Stärkung der Cyber-Sicherheit sind notwendig

Sicherheitskritische Netz- und Informationssysteme besser vor Cyber-Angriffen schützen

Mitte November 2022 wurde laut Norton durch das Europäische Parlament ein Abkommen beschlossen, welches die sicherheitskritischen Netz- und Informationssysteme besser vor Cyber-Angriffen schützen soll.

„Die neue Richtlinie soll dabei helfen, den rechtlichen Rahmen in allen EU-Staaten zu nivellieren. Dafür sind gemeinsame Mindestanforderungen und Maßnahmen zur Stärkung der Cyber-Sicherheit notwendig.“

Die neuen Rechtsvorschriften stellten nicht einfach nur weitere Punkte auf einer Liste mit Compliance-Regeln dar, die man abhaken könnt. Norton erläutert: „So sehen bereits die bestehenden NIS-Vorschriften vor, dass angemessene und verhältnismäßige Kontrollen unter Verwendung modernster Technologien durchgeführt werden müssen.“

Eine Mindestanforderung: Durchführung einer angemessenen Cyber-Risikoanalyse

Mit NIS2, der jüngsten Überarbeitung der bestehenden Gesetzgebung, werde ein höheres Straf- und Bußgeldniveau eingeführt. „Bisher basierten die Bußgelder auf Verstößen gegen die Cyber-Sicherheit, doch im Entwurf des NIS2-Gesetzes wird in Artikel 18 ein Mindestmaß an konformen Funktionen vorgeschrieben, die eine wesentliche oder wichtige Einrichtung einführen muss“, berichtet Norton. Bei Nichteinführung dieser Mindestanforderungen drohten der Organisation nun empfindliche Bußgelder in Höhe von bis zu zehn Millionen Euro oder zwei Prozent der weltweiten Einnahmen gemäß Artikel 31.

Die erste der Mindestanforderungen sei die Durchführung einer angemessenen Risikoanalyse. Norton kommentiert: „Dies allein bedeutet für die meisten sicherheitsrelevanten Unternehmen und Einrichtungen ein großes Problem.“ Denn die Risikoanalyse basiere auf dem Verständnis der kritischen „Assets“ (Geräte im Unternehmen), wobei für die meisten Organisationen ein aktuelles und genaues Verzeichnis dieser Anlagen entweder nicht vorhanden, veraltet oder bestenfalls unvollständig sei.

Abschließend betont Norton: „Von großer Bedeutung ist hierbei, dass Organisationen die Stabilität ihrer IT-Sicherheitsarchitektur nachweisen können.“ Dafür benötigten sie eine adäquate und umfassende Risikoanalyse – entsprechend den NIS2-Vorschriften.

DEKRA erinnert an aktuelle Vorschriften für die Aufzugsprüfung

[datensicherheit.de, 20.05.2021] Aufzugbetreiber müssten künftig Cyber-Attacken und Software-Pannen an ihren Anlagen aktiv vorbeugen – die Software gehöre jetzt gemäß den aktualisierten Vorschriften bei der Aufzugsinspektion zum vorgeschriebenen Prüfumfang, informiert der DEKRA e.V. in einer aktuellen Erinnerung.

Foto: DEKRA e.V.

Aufzugsanlagen: Digitale Steuerung, Überwachung und Wartung verursachen Anfälligkeiten

Aufzugsanlagen zunehmend mit dem Internet verbunden

Aufzugsanlagen seien zunehmend mit dem Internet verbunden. „Sie werden digital gesteuert, überwacht und gewartet und werden damit anfällig für Software-Fehler und Hacker-Attacken.“ Ein Szenario könnte sein, dass zum Beispiel durch Software-Manipulation der Aufzug gestoppt und die Geschwindigkeit oder Fahrtrichtung verändert werden. Bei vernetzter Gebäudetechnik würde zudem der Zugriff auf andere Funktionen smarter Gebäude möglich.

Aufzugs-Betreiber, -Wartungsfirmen oder -Hersteller müssen Updates aktiv melden

Um dieses Sicherheitsrisiko zu minimieren, sei mittlerweile die Software in die Prüfgrundlage für Zugelassene Überwachungsstellen (ZÜS) wie DEKRA aufgenommen worden. Der Prüfsachverständige halte nun bei der Hauptprüfung und wiederkehrenden Prüfung die aktuellen Softwarestände fest. Betreiber, Wartungsfirma oder Hersteller müssten eventuelle Updates aktiv an die beauftragte ZÜS melden.

Nur 43,5% der geprüften Aufzugsanlagen in Deutschland mängelfrei

Aufzugsanlagen in Deutschland wiesen einen unterschiedlichen Wartungszustand auf und hätten Mängel, so Beobachtungen der DEKRA-Sachverständigen. So seien laut „Anlagensicherheitsreport 2020“ der Zugelassenen Überwachungsstellen nur 43,5 Prozent von 607.000 geprüften Aufzüge im Berichtsjahr 2019 in Deutschland mängelfrei gewesen. 4.200 (0,7 Prozent) der überprüften Aufzüge hätten „gefährliche Mängel“ aufgewiesen und seien entweder umgehend ausgebessert oder vorübergehend stillgelegt worden. „Knapp zwölf Prozent wiesen ,sicherheitserhebliche Mängel‘ auf, die von Betreibern nachgebessert und dann erneut begutachtet werden mussten.“

Weitere Informationen zum Thema:

datensicherheit.de, 18.05.2021
Cybersecurity-Risikoprozess: Leitfaden für IT-Entscheider