NIS-2-Richtlinie: Welche Maßnahmen die Industrie jetzt umsetzen muss

1. Risikomanagement

Jedes Unternehmen ist einer Vielzahl von Risiken ausgesetzt, die über den Cyber-Bereich hinaus alle Assets, Personen und Geschäftsniederlassungen bis hin zu immateriellen Werten wie dem geistigen Eigentum und Reputation betreffen können. Diese Risiken unter Berücksichtigung individueller Faktoren zu identifizieren, nach Bedrohungspotenzial einzuschätzen und schließlich einzudämmen, ist Aufgabe des Risikomanagements.

Als Standard hierfür hat sich das Anlegen eines Informationssicherheits-Managementsystems (ISMS) etabliert, welches alle Schritte der Risikoverwaltung und -mitigierung umfasst. Organisationen, die wie TRIOVEGA eine Zertifizierung nach der internationalen ISO 27001-Norm durchlaufen haben, sind mit ihrem ISMS auch gut auf die NIS-2-Richtlinie vorbereitet. Die meisten Anforderungen an den Umgang mit Risiken sind in den beiden Frameworks ähnlich ausgelegt.

Nicht zu unterschätzen ist der kontinuierliche Aufwand, den die Aktualisierung des ISMS aufgrund veränderter Bedrohungslagen und Anpassungen nach Sicherheitsvorfällen bedeuten wird. Unvermeidliche Restrisiken müssen zudem in Absprache mit der Geschäftsleitung überprüft und akzeptiert werden.

Darüber hinaus kommt den OT-Umgebungen in der Industrie beim Risikomanagement besondere Bedeutung zu. Viele Risiken, denen Produktionslinien ausgesetzt sind, wurden noch nie systematisch erfasst und sind daher unbekannt. Gerade die lange Laufzeit der Anlagen, die oftmals softwareseitig nicht aktualisiert werden können, macht die OT aber besonders anfällig für Cyberangriffe. Betroffene Industrieunternehmen sollten deswegen sorgfältig alle Assets und Risiken im Produktionsbereich identifizieren und spezielle Mitigierungsmaßnahmen anstoßen, um bestmöglich auf NIS-2 vorbereitet zu sein.

3. Business Continuity und Wiederherstellungspläne

Für die Industrie ist die kontinuierliche Aufrechterhaltung des Produktionsbetriebs von zentraler Bedeutung und spielt daher auch in der NIS-2 eine große Rolle. Für den Ernstfall müssen Wiederherstellungspläne vorliegen und regelmäßige Backups aller relevanten Daten durchgeführt werden. In den Produktionslinien ist auf ein sinnvolles Maß an Redundanz zu achten, um die Ausfallsicherheit zu erhöhen.

Je weiter der Grad an Automatisierung in der Fertigung vorangeschritten ist, desto schneller kann die Wiederaufnahme des Betriebs nach einem Vorfall gelingen. TRIOVEGA automatisiert mit individuellen Lösungen für seine Kunden beispielsweise die Maschinenparametrisierung. So können Anlagen effektiv verwaltet und im Notfall zeitnah wieder hochgefahren werden, ohne dass Daten verloren gehen.

5. Zugriffskontrollen und Rechtemanagement

Im Rahmen der Informationssicherheit wird der physische Zugang zu Büroräumen und Fabrikgebäuden in den meisten Betrieben bereits streng kontrolliert. Aber auch im digitalen Raum fordert die NIS-2 die Umsetzung eines lückenlosen Zugriffs- und Rechtemanagements, mit dem die Sicherheit der IT-Systeme und angeschlossener Netzwerke erhöht wird.

Mitarbeitenden sollten klar definierte Benutzerrollen zugewiesen werden, die den Zugriff über alle Systeme der Organisation hinweg regeln und dabei auf etablierte Best Practices zurückgreifen, wie dem Principle of least privilege; also der Vergabe der jeweils minimalen Rechte, die zur Ausübung einer Aufgabe notwendig sind. Auf vielen Shopfloors werden diese Rechte aus Gewohnheit etwas großzügiger vergeben, weswegen diese Vorgehensweise einige Veränderungen im Arbeitsalltag des Produktionspersonals mit sich bringen wird.