Warum KMU dringend in IT-Security investieren sollten

Security-Maßnahmen erforderlich
NIS2-Richtlinie: Warum KMU dringend in IT-Security investieren sollten

KRITIS-Unternehmen müssen bis Ende 2024 die NIS2-Richtlinie umgesetzt haben. Wer nun hier aufhört zu lesen, weil er glaubt, nicht in die KRITIS-Klasssifikation zu fallen, könnte falsch liegen. Denn künftig wird das deutlich mehr Branchen betreffen als bislang.

253 IT-Störungen bei kritischer Infrastruktur wurden dem BSI seit dem Ausbruch des Ukraine-Krieges allein bis Ende Oktober 2022 gemeldet. Das passt ins Bild, wenn Security-Anbieter warnen, dass bei einer weiteren Eskalation des Konflikts andere Länder stärker als zuvor in den Fokus staatlich motivierter Cyberangriffe geraten könnten. Und manche sind es bereits ohne es zu wissen, wie Eset befürchtet. „Es ist nicht auszuschließen, dass Computersysteme kleinerer Versorgungsunternehmen, z.B. lokale Energieversorger bereits erfolgreich infiltriert wurdenׅ“, so Thorsten Urbanski, Director Marketing und PR bei Eset.

Darum geht es bei NIS2

Um Unternehmen, Menschen, Lieferketten und die Infrastruktur abzusichern und allgemeingültige Rahmenbedingungen zu schaffen, gibt es Regelwerke. Eines davon ist die DSGVO, ein anderes die NIS-Richtlinie. NIS steht dabei für Network and Information Security. Die aktuelle NIS2-Fassung ist Nachfolger von NIS1, einer Richtlinie, die es seit 2016 gibt und bereits damals Betreiber kritischer Infrastrukturen verpflichtete, Maßnahmen zur Sicherstellung von Cybersecurity umzusetzen.

Das hat nicht so ganz funktioniert. Einerseits, weil das EU-Recht in den einzelnen Ländern nicht einheitlich umgesetzt wurde, andererseits weil die Überwachung der Umsetzung nicht geregelt war. Genau das soll mit NIS2 jetzt anders werden. Und es gibt noch einen weiteren gravierenden Unterschied: Von NIS2 sind weit mehr Unternehmen betroffen, als das mit NIS1 der Fall war. Und weit mehr als viele landläufig glauben. Zwar sind weiterhin kleine und Kleinstunternehmen von der NIS2-Direktive kaum betroffen. In der Richtlinie sind Schwellwerte von mindestens 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz festgelegt. Doch zur kritischen Infrastruktur zählen nun deutlich mehr Branchen als noch 2016. Und für manche Branchen fällt eben auch die Mitarbeitergrenze, wenn sie alleiniger Anbieter eines Dienstes in einem Land sind. Konkret bedeutet dies, dass künftig auch Branchen wie Abwasserbetriebe, Öffentliche Verwaltung, Abfallwirtschaft, Kurierdienste, Lebensmittel- Produktion, -Verarbeitung und -Handel unter die Regelung fallen.

Wahrnehmung und Wirklichkeit

Diese Richtlinie trifft auf eine Wirtschaft, die auf die wachsende Zahl der Cyberangriffe und die damit verbundenen, nötigen IT-Security-Maßnahmen noch nicht vorbereitet sind. „46,79 Prozent der Verantwortlichen kämpfen noch immer mit fehlenden Budgets und/oder Personal,“ zitiert Urbanski die Umfrage zum „Stand der IT-Sicherheit 2023“, die Eset durchgeführt hat. Erstaunlich ist auch die Wahrnehmung der Bedrohungslage. Während fast 80 Prozent der Befragten in einer Studie des Eco-Verbandes glauben, dass die deutsche Wirtschaft nur unzureichend gegen Cybercrime gewappnet ist, sind sich über 50 Prozent derselben Gruppe sicher, dass ihr eigenes Unternehmen sehr wohl gut bis sehr gut abgesichert ist.

Beruhigend ist allerdings, dass 57,75 Prozent der von Eset Befragten den finanziellen Aufwand für IT-Security in den nächsten 3 Jahren als Hoch oder sogar sehr Hoch einschätzen. Lediglich 3,74 Prozent rechnen mit geringen oder mäßigen Mehrkosten.

Weitere Erkenntnisse aus der Umfrage:

• Technologischer Nachholbedarf vor allem bei KMU

• Der Stellenwert von IT-Security wächst rapide

• Bewusstsein für die aktuelle Bedrohungslage

• Verantwortliche schätzen und suchen Orientierung

Im nächsten Schritt muss es dann darum gehen passende Lösungen zu finden und zu implementieren. Umso wichtiger wird das, wenn man parallel dazu den Mindestanforderungskatalog aus dem NIS2-Regelwerk liest, der nicht nur Mitarbeitertrainings, sondern auch die Lieferkette und Zutrittskontrollen umfasst.

• Policies: Richtlinien für Risiken und Informationssicherheit

• Incident Management: Prävention, Detektion und Bewältigung von Cyber Incidents

• Business Continuity: BCM mit Backup Management, DR, Krisen Management Supply Chain: Sicherheit in der Lieferkette — bis zur sicheren Entwicklung bei Zulieferern

• Einkauf: Sicherheit in der Beschaffung von IT und Netzwerk-Systemen

• Effektivität: Vorgaben zur Messung von Cyber- und Risiko Maßnahmen

• Training: und Cyber-Security-Hygiene

• Kryptographie: Vorgaben für Kryptographie und wo möglich Verschlüsselung

• Persönlich: Personalsicherheit

• Authentication: Einsatz von Multi Factor Authentisierung und SSO

• Kommunikation: Einsatz sicherer Sprach-, Video- und Text-Kommunikation

• Notfall-Kommunikation: Einsatz gesicherter Notfall-Kommunikations-Systeme

Angesichts überlasteter IT-Abteilungen, fehlender Fachkräfte und einer zunehmenden Digitalisierung ist deshalb für viele Unternehmen der Schritt hin zum Outsourcing der IT-Security-Aufgaben künftig wahrscheinlich. Denn laut der Eset-Befragung nutzen erst knapp 35 Prozent der Unternehmen einen Dienstleister.

(ID:49269224)