NIS-2-Richtlinie IT-Security in der Produktion: Die große Expertenumfrage

Anbieter zum Thema

Trend Micro (EMEA) Ltd.

Sophos TechnologyGmbH

Claroty GmbH

secunet Security Networks AG

Rhebo GmbH

mehr weniger

Siemens

genua gmbh

TÜV Süd AG

PSI Software SE | Business Unit Discrete Manufacturing

IGZ Ingenieurgesellschaft für logistische Informationssysteme mbH

weniger

Ab dem 17. Oktober müssen viele Unternehmen die Vorgaben der EU NIS-2-Richtlinie in Deutschland zur Cybersicherheit erfüllen. Besonders hart trifft es dabei die Industrie. Denn diese verfügt nicht nur über IT-Netze, sondern auch über OT-Systeme, die durch ihre weitreichende Vernetzung denselben Cyberbedrohungen ausgesetzt sind wie die IT. Im Gegensatz zu IT-Umgebungen sind aber OT-Netzwerke weniger abgesichert. Wie gut sind nun die deutschen Unternehmen auf NIS2 vorbereitet, und wie können diese die NIS2-Anforderungen zielgerichtet umsetzen? Die Antworten liefern uns zehn Experten. 

Fragen an die Experten

• 1. Ab 17. Oktober 2024 müssen viele deutsche Industrieunternehmen die Vorgaben der neuen EU-IT-Sicherheitsrichtlinie NIS-2 erfüllen. Welche neuen Anforderungen an die Cybersicherheit bringt diese Richtlinie mit sich?

• 2. Wie sind Ihrer Meinung nach kleine und mittelständische Produktionsunternehmen darauf vorbereitet?

• 3. Wie können Unternehmen die NIS2-Anforderungen zielgerichtet umsetzen und wo können sie dafür Unterstützung erhalten?

Umsetzung der NIS-2-Richtlinie: Erweiterte Cybersicherheit für IT- und CPS-Systeme

1. Durch die NIS2-Richtlinie müssen Unternehmen ihre ­Risiken systematischer identifizieren und bewerten, ihre Incident-Management-Prozesse verbessern und ihre Cyber­sicherheitsmaßnahmen regelmäßig überprüfen und anpassen. Dabei besteht die Gefahr, dass sich die Unternehmen nur auf die Absicherung ihrer IT-Systeme konzentrieren und vernachlässigen, dass immer häufiger cyber-physische Systeme (CPS) das Ziel von Cyberangriffen sind. Hierzu zählen vor allem Anlagen in der Fertigung, aber auch Gebäudemanagementsysteme. Auch diese müssen Teil einer zukunftssicheren und NIS2-konformen Cybersecurity-Strategie sein.

2. Viele der betroffenen Unternehmen wissen noch gar nicht, dass sie unter die neue Gesetzgebung fallen. Sie sollten sich entsprechend an ihren Verband oder das BSI wenden, und dann mit ihren Security-Partnern die wesentlichen Punkte in Angriff nehmen.

3. Die betroffenen Unternehmen müssen über Lösungen nachdenken, die neben der IT auch die Absicherung von CPS sicherstellen, um die NIS2-Vorgaben einhalten zu können. Hierzu bedarf es einer Plattform, die alle wesentlichen Elemente der OT-Sicherheit beinhaltet wie Transparenz, Schwachstellenmanagement, Bedrohungserkennung und sicheren Fernzugriff, sowie Partner, die bei der Umsetzung und Implementierung solcher Strategien helfen. Claroty

NIS-2-Richtlinie Deutschland: Anforderungen und Vorbereitungsbedarf in der Operational Technology

1. Die in §30 Absatz 2 genannten Maßnahmen können insbesondere von produzierenden Industrieunternehmen, die zu den besonders wichtigen Einrichtungen gehören, erhebliche Veränderungen erfordern. Viele der genannten Maßnahmen wie die ‚Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung‘ sind für die Kommunikations-IT Standard, aber nicht für die Operational Technology (OT) in der Produktion. Die Maßnahmen sind aber grundsätzlich als Mindestanforderungen in allen Bereichen, das heißt auch in der OT, zu sehen. Zudem werden die Geschäftsleitungen in die Verantwortung genommen. Es bestehen Billigungs-, Überwachungs- und Schulungspflichten sowie Ersatzansprüche bei Verletzung dieser Pflichten.

2. Unser Eindruck ist, dass viele potenziell betroffene Unter­nehmen bisher noch nicht gründlich geprüft haben, ob sie unter die Vorgaben der neuen NIS-2-Richtlinie Deutschland fallen. Dementsprechend gibt es dort noch keine ausgereiften Pläne für die Umsetzung, insbesondere in der Produktion. In Anbetracht potenzieller Ersatzansprüche an die Geschäftsleitung ist hier eine intensivere Vorbereitung dringend erforderlich.

3. Wir raten Unternehmen dazu, sich mit ihren Peers zu vernetzen, in einen intensiven Erfahrungsaustausch zu treten und voneinander zu lernen. Hier können Industrienetzwerke wie das vom Fraunhofer IAO moderierte ‚Innovationsnetzwerk IT-Sicherheit in der Produktion‘ oder Veranstaltungen wie der ‚OT-Security-Day Stuttgart‘ einen Beitrag leisten.

NIS-2-Richtlinie Deutschland: Neue Anforderungen und der Weg zur Compliance

1. Hier muss man unterscheiden: Für die etwa 500 bisher als ‚Kritis‘ eingestuften Unternehmen ergeben sich im Wesentlichen Klarstellungen und minimale Anpassungen der Prozesse und Meldeketten. Es wird hauptsächlich die Erfahrung der letzten Jahre in der Zusammenarbeit von Kritis-Unternehmen und dem Staat beziehungsweise dem BSI umgesetzt. Für die neu als ‚Kritis‘ eingestuften Unternehmen ergibt sich vor allem die Notwendigkeit, ein funktionierendes Informationssicherheits-Managementsystem zu etablieren.

2. Ich befürchte, die meisten Mittelständler wissen noch gar nicht, dass sie möglicherweise betroffen sind. Viele kleine Firmen operieren unter der Annahme, dass die diversen Regulierungen für sie nicht gelten und sie sich deshalb nicht damit beschäftigen müssen. Da sich jedoch sowohl bei den Grenzwerten als auch bei den betroffenen ‚Kritis-Sektoren‘ Änderungen ergeben, ist es für alle Unternehmen wichtig zu prüfen, ob sie unter die Regulierung fallen.

3. Wenn Unternehmen sicher sind, dass sie unter die NIS-2-Richtlinie fallen, erscheinen die Anforderungen wie ein großer Berg. Man sollte sich aber das Ziel der Regulierung vor Augen halten: Es geht nicht darum, Aufwand und Papier zu erzeugen. Sondern darum, die betroffenen Unternehmen vor den Auswirkungen von Cyberangriffen zu schützen. Und da dieser Schutz nicht von außen aufgesetzt werden kann, sondern von ­innen heraus im Unternehmen verankert sein muss, reicht es nicht, dass der Staat eine große Firewall am Internetzugang platziert. Jedes Unternehmen muss hier selbst aktiv werden. Genua

Erweiterung der Cybersicherheitspflichten: Ganzheitliche Ansätze für KMUs und industrielle Infrastrukturen

1. Vor allem steigt die Zahl der gesetzlich zu ganzheitlicher Cybersicherheit verpflichteten Unternehmen allein in Deutschland von 5.000 auf knapp 30.000. Dabei geht es nicht nur um Firewalls und Virenscanner in der Unternehmens-IT. Ganzheitlich bedeutet, dass auch die OT-Netze, also die industrielle Infrastruktur, und die Lieferkette inklusive der Subunternehmen einbezogen werden müssen.

2. Für viele KMUs ist dieser ganzheitliche Cybersicherheit­s­ansatz neu. Insbesondere die OT-Sicherheit wird noch stark vernachlässigt. Obwohl gerade dort die Angriffsflächen groß und die Ausbreitung nach erfolgreicher Netzwerk-Kompromittierung einfach sind. Ich sehe deshalb vor allem vier Herausforderungen: Erstens: Die kritischen Assets in der OT zu identifizieren und auf bestehende Risiken zu analysieren. Zweitens: Die unausweichlichen Risiken aus der Lieferkette und den betriebenen OT-Systemen unter Kontrolle zu bringen. Drittens: Ein effizientes Angriffserkennungssystem in der industriellen Infrastruktur zu etablieren. Und viertens: Eigenes Know-how im Bereich der OT-Sicherheit aufzubauen.

3. Meine Empfehlung ist, strukturiert an das Thema heranzugehen sowie Meilensteine für die Umsetzung zu defi­nieren und klar zu priorisieren. Entscheidend sind dabei die zur Verfügung stehenden Ressourcen sowie die Ergebnisse der Risikoanalyse und Schwachstellenbewertung. Letztere ist Grundlage, um zu verstehen, was in der eigenen OT los ist und welche Risiken dort existieren. Ein solcher Plan dient auch als Basis beim externen Audit. Die Unterstützung von extern ist unumgänglich, da das Finden und Anlernen von eigenem Personal mit Blick auf den Arbeitsmarkt mühselig ist. Unternehmen würden bis zur notwendigen Umsetzung zu viel Zeit verlieren. Rhebo

NIS-2 Compliance: Neue Anforderungen und Unterstützungsmöglichkeiten für Industrieunternehmen

1. Für Industrieunternehmen bringt NIS-2 neue Spielregeln und damit neue Aufgaben. So müssen sie sich registrieren und Cybersicherheitsvorfälle nach fest definierten Vorgaben in einem mehrstufigen Prozess an die zuständigen Behörden melden. Unternehmen müssen zudem ein aktives Risikomanagement einführen und sich an Standards halten, beispielsweise für Netzwerk- und Systemsicherheit, Vorfallbehandlung, Krisenmanagement sowie zu sicheren Lieferketten und Asset Management. Darüber hinaus müssen Schutzmechanismen und eingesetzte Technologien dem Stand der Technik entsprechen. Eine Zertifizierungspflicht zur Darstellung der Compliance kann durch die Nationalstaaten zusätzlich gefordert und eingeführt werden.

2. Leider eher schlecht. Häufig mangelt es an Budget, den Ressourcen und vor allem dem Bewusstsein über den Nut­zen und die Chancen, die mit der NIS-2-Richtlinie in Deutschland einhergehen. Denn die geforderten Sicherheitsvorkehrungen sollen vor allem das Geschäftsmodell der Unternehmen und ihr Fortbestehen langfristig sichern. Mit den aktuellen Herausforderungen im Mittelstand, wie der gesamtwirtschaftlich angespannten Lage und den vielen Transformationsprozessen, gerät dies leider in den Hintergrund.

3. Secunet bietet Unternehmen mit dem NIS-2-Check-up eine Standortbestimmung, die ihnen Aufschluss über ihre Compliance-Situation gibt und potenzielle Sicherheits­lücken aufdeckt. Mit dieser Basis geht es in fünf Schritten an die Umsetzung: Betroffenheitsanalyse, Anforderungen prüfen, Meldeprozesse vorbereiten beziehungsweise vorhandene Umsetzungen hierzu anpassen, Sicherheitskonzepte, Informationssicherheitsmanagement inklusive Business Continuity Management etablieren, Risikomanagement im definierten Geltungsbereich umsetzen. Wichtig ist vor allem eines: Jetzt handeln. Denn die NIS-2-Richtlinie kommt, daran führt kein Weg vorbei.

NIS-2-Richtlinie in Deutschland: Umfassende Cybersicherheitsanforderungen für die Industrie

1. Die NIS-2-Richtlinie hat einen signifikant erweiterten Anwendungsbereich. Das hat zur Folge, dass nunmehr ein großer Teil der Industrie Cybersicherheitsvorgaben implementieren muss. Unternehmen, die von der NIS-2-Richtlinie betroffen sind, haben verschiedene Pflichten wie Registrierung, Umsetzung von Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Meldung von erheblichen Sicherheitsvorfällen und Informationspflichten gegenüber Kunden. Zu den umzusetzenden Maßnahmen gehören zum Beispiel Konzepte in Bezug auf die Risikoanalyse und Sicherheit der Informationssysteme sowie die Sicherheit in der Lieferkette. Die Richtlinie legt zudem fest, dass Cybersicherheit eine allgemeine Compliance-Aufgabe der Geschäftsleitung ist.

2. Kleine Unternehmen sind bis auf wenige Ausnahmen nicht von der NIS-2-Richtlinie betroffen. Mittelständler sind sehr unterschiedlich darauf vorbereitet. Sie haben oft nur begrenzte finanzielle und personelle Mittel, was die Umsetzung umfangreicher Cybersicherheitsmaßnahmen erschwert. Die NIS-2-Richtlinie erfordert ein tiefes Verständnis der gesetzlichen Anforderungen sowie der notwendigen technischen, operativen und organisatorischen Maßnahmen. Hinzu kommt, dass viele KMU sich der spezifischen Anforderungen und Risiken im Bereich der Cyber­sicherheit nicht ausreichend bewusst sind. Zudem nutzen einige Unternehmen veraltete Systeme, die schwerer abzusichern und anfälliger für Cyberangriffe sind.

3. Wir verfolgen den Defense-in-Depth-Ansatz, basierend auf drei Säulen: Anlagensicherheit, Netzwerksicherheit und Systemintegrität. Alle Säulen orientieren sich an den Empfehlungen der Industrienormenreihe IEC 62443. Für die Umsetzung empfehlen wir dringend, auf externe Beratung mit Know-how sowohl in der Industrie als auch im Bereich Cybersecurity zu setzen. Das bietet Siemens: Unsere Cybersecurity-Experten analysieren den vorhandenen Cybersecurity-Status, entwickeln eine Roadmap und unterstützen bei der Umsetzung der notwendigen Maßnahmen.

NIS-2-Richtlinie Deutschland: Neue Verantwortlichkeiten und umfassende Cybersecurity-Maßnahmen

1. Grundsätzlich fordert die Richtlinie den Einsatz einer modernen Cybersecurity-Strategie, also etwas, das eigentlich bereits in den Unternehmen implementiert sein sollte. Was sich durch NIS-2 ändert, sind vor allem die Auswirkungen bei Cyberangriffen oder Verstößen gegen IT-sicherheitsrechtliche Vorschriften, Es drohen der Geschäftsführung nun auch zivil- und strafrechtliche Konsequenzen, wenn sie ihre Pflichten zur Sicherstellung der Digital Compliance vorsätzlich oder fahrlässig verletzten.

2. Bei unseren Channel habe ich einen positiven Eindruck. Das Thema NIS2 spielt bereits seit vielen Monaten eine wichtige Rolle für unsere Partner, und nach unserer Auffassung wird die dort empfundene Dringlichkeit auch an die Kunden weitergegeben. Dieser Eindruck spiegelt sich auch im regen Interesse an unseren NIS2-Infoveranstaltungen sowohl beim Channel als auch beim Endkunden wider. Die breite Diskussion und vor allem die begleitenden Handlungsempfehlungen geben gerade KMUs eine lange benötige Leitplanke für ihre Cybersecurity-Aktivitäten.

3. Bei ihrem Risikomanagement dürfen die Verantwortlichen nicht allein auf technische Maßnahmen setzen, sondern müssen menschliche Expertise einbinden. Unternehmen stehen vor der Herausforderung, diese Angriffe bereits in der Entstehungsphase zu stoppen. Hierzu sind spezialisierte Bedrohungsexperten notwendig, die allerdings nur in den seltensten Fällen intern zur finden sind. Die Lösung für dieses Dilemma bieten MDR-Services (Managed Detection and Response) mit Experten, die die IT-Infrastruktur rund um die Uhr überwachen und gegebenenfalls Abwehrmaßnahmen ergreifen. Sophos

Implementierung der NIS-2-Richtlinie: Mindeststandards und umfassendes Risikomanagement für IT-Sicherheit

1. Die Richtlinie schreibt vor, dass Unternehmen ein Mindestmaß an IT-Sicherheit (Technologie, Schulung und Prozesse) einführen müssen. Des Weiteren sind die bewerteten Cyber­risiken und entsprechenden Mitigierungsmaßnahmen lückenlos zu dokumentieren und die zuständigen staatlichen Stellen bei einem Vorfall umgehend zu informieren.

2. NIS-2 legt einen Mindeststandard für die IT-Sicherheit fest, der für die betroffenen Unternehmen nunmehr verpflichtend gilt. Die geforderten Maßnahmen stellen somit keine grundlegende Neuerung dar, sondern entsprechen dem Mindeststandard aus Risikobetrachtungssicht. Es sind keine wesentlichen Überraschungen zu erwarten. In der Praxis zeigt sich jedoch, dass selbst dieses Mindestmaß häufig nicht erreicht wird. Bis zum Inkrafttreten im Oktober ist daher bei vielen Unternehmen noch eine Aufstockung notwendig.

3. Es ist nicht ausreichend, lediglich einige technische Maßnahmen in der eigenen Infrastruktur zu implementieren. Die Erfüllung der technischen Schutzmaßnahmen ist nur ein Aspekt, der sich vergleichsweise einfach bewerkstelligen lässt. Darüber hinaus erfordert NIS-2 aber einen umfassenden, risikobasierten Ansatz zur Beurteilung, Bewertung und zum Betrieb der Infrastruktur. Eine entsprechende Dokumentation sowie gegebenenfalls ein Reporting sind ebenfalls erforderlich. Sollten entsprechende Prozesse (wie ein ISMS) im Unternehmen noch nicht eingeführt sein und auch nicht gelebt werden, ist es dringend zu empfehlen, auf die Hilfe von Dienstleistern zurückzugreifen, die bei der Einführung dieser Prozesse unterstützen können. Die folgende technische Umsetzung der (Sicherheits-)Maßnahmen stellt dabei lediglich einen kleinen und nachgelagerten Teil dar. Trend Micro

Erweiterte Sicherheitsmaßnahmen unter NIS-2: Was Unternehmen jetzt tun müssen

1. Die NIS-2-Richtlinie zielt darauf ab, ein noch höheres Maß an Netzwerk- und Informationssicherheit in der EU zu gewährleisten. Im Vergleich zu ihrer Vorgängerin NIS-1 erhöht sie den Radius der betroffenen Unternehmen und verschärft die Sicherheitsanforderungen. Ferner legt NIS-2 detailliertere Meldepflichten fest. Zu den Mindestmaßnahmen gehören unter anderem erhöhte Anforderungen an die Bereiche Risikomanagement, Meldung von Sicherheitsvorfällen, Business Continuity, Supply Chain, Kryptographie, Personal, Zugriff und Asset-Management sowie Authentifizierung und Awareness.

2. Wenn betroffene kleine und mittelständische Unternehmen bereits ein Informationssicherheits-Managementsystems (ISMS) etabliert haben, sollten keine schwer umsetzbaren Anforderungen mehr auftreten. Sollten sie sich aber noch nicht mit dem Thema auseinandergesetzt haben, gibt es einen dringenden Handlungsbedarf. Ein mögliches ‚Abwarten‘ ist aufgrund der aktuellen Sicherheitsvorfälle nicht zu empfehlen. Neben der Schadensbewältigung durch einen Sicherheitsvorfall kommen eventuell noch Bußgelder dazu.

3. Es gibt verschiedene Wege, um das Ziel der NIS-2-Konformität zu erreichen. Zunächst sollten Unternehmen sich durch eine Prüfung der Betroffenheit einen Überblick über den Status quo verschaffen. Ein Weg ist dann die Implementierung und Etablierung eines ISMS nach ISO 27001 oder BSI-IT-Grundschutz, mit dem viele der NIS-2-Anforderungen abgedeckt werden. Zudem liefert die NIS-2-Richtlinie in Deutschland Unternehmen konkrete Maßnahmen, und auch das BSI stellt bereits erste Informationen bereit. Wir bei TÜVIT unterstützen Unternehmen mit unterschiedlichen Leistungen, die Einhaltung der NIS-2-Anforderungen zu belegen.

Herausforderungen und Unterstützungsangebote für Unternehmen in kritischen Sektoren

1. Für mittlere und große Unternehmen in kritischen Sektoren besteht mit NIS-2 die Verpflichtung, Mindeststandards für das Risikomanagement und Cybersicherheitsmaßnahmen zu erfüllen. Auch kleinere Unternehmen mit hohem Risikoprofil sind betroffen. Diese Unternehmen müssen sich beim BSI registrieren und Vorfälle binnen 24 Stunden melden. Neben Maßnahmen, die sich an ISO 27001 orientieren, müssen sie zusätzliche Anforderungen wie die Sicherung der Lieferkette erfüllen. Manager können bei Nichteinhaltung der Sicherheitsanforderungen persönlich haftbar gemacht werden.

2. In Sachen Cybersicherheit und NIS-2-Richtlinie Deutschland ist in kleinen und mittelständischen Produktionsunternehmen noch viel zu tun, insbesondere, da Cyberangriffe immer komplexer werden. Es besteht großer Bedarf an Weiterbildungen zu KI und Cybersicherheit sowie an funktionsübergreifenden Fähigkeiten. Zusätzlich kommen mit anderen neuen Regulierungen wie dem Cyber Resilience Act der EU weitere Pflichten auf die Hersteller von digitalen Produkten zu. Insgesamt sind Unternehmen in ­Sachen Cybersecurity stark gefordert, aber oft überfordert mit der konkreten Umsetzung.

3. Gemäß NIS-2 sind Managementverantwortliche verpflichtet, sich mit IT-Risikomanagement vertraut zu machen. Ein halbtägiges Seminar der TÜV-SÜD-Akademie vermittelt die wesentlichen Inhalte von NIS-2 und stellt sicher, dass erforderliche Kontrollen durchgeführt werden können. Gap-Analysen helfen Unternehmen, potenzielle Schwachstellen zu identifizieren und ein ISMS nach ISO 27001 einzuführen. Für Unternehmen, bei denen der Verdacht auf Lücken in der Lieferkettensicherheit besteht, sind spezielle NIS-2-Assessments sinnvoll. Auch hierbei bietet TÜV SÜD umfangreiche Unterstützung an.