Bereitet euch auf NIS2 vor

Nun, das ist passiert ...

Wie sich herausstellt, war der 17. Oktober der Stichtag, bis zu dem die Länder die EU-Verordnung in nationales Recht umsetzen sollten. Ich finde keinen Hinweis darauf, dass Finnland dies bereits abgeschlossen hat. Laut dieser praktischen Quelle befindet sich Finnland vielmehr in Phase 3. Mit anderen Worten: Ein Entwurf wurde eingereicht, aber noch nicht verabschiedet. Das ist schon okay, Finnland – ich war mit meinen Hausaufgaben auch immer zu spät!

Das ist keineswegs nur ein finnisches Problem. Nur vier Länder – Belgien, Ungarn, Kroatien und Lettland – befinden sich in Phase 4 und haben diese Vorgaben vorzeitig umgesetzt. Diese Länder bekommen einen Goldstern!

In Phase 2 (Beginnende Entwicklung) befinden sich Dänemark, Frankreich, Irland und Rumänien. Bulgarien, Estland, Malta, Portugal und Spanien sind in Phase 1 (Minimale Fortschritte oder Informationen).

Wie man es von EU-Gesetzgebung erwarten würde, rollt der Fels langsam den Hügel hinab. Ob das bedeutet, dass diejenigen, die NIS2 noch nicht einhalten, mit einer Art Amnestie rechnen können, darüber lässt sich streiten. Ohne klaren Stichtag könnte NIS2 jederzeit in finnisches Recht überführt werden.

Geschichte von NIS2

Die Richtlinie zur Netzwerk- und Informationssicherheit (NIS), die die Europäische Union ursprünglich 2016 verabschiedete, sollte die Cybersicherheit in den Mitgliedstaaten stärken. Mit der Weiterentwicklung der digitalen Landschaft wurde deutlich, dass die ursprüngliche NIS-Richtlinie dringend aktualisiert werden musste. Das führte zur NIS2-Richtlinie.

• 2016 – Die ursprüngliche NIS-Richtlinie wird verabschiedet, um die Cybersicherheit in der EU zu verbessern.

• Dezember 2020 – Die Europäische Kommission schlägt die NIS2-Richtlinie vor.

• Mai 2022 – Die EU-Institutionen erzielen eine politische Einigung über NIS2.

• November 2022 – Das Europäische Parlament verabschiedet die NIS2-Richtlinie formell.

• Januar 2023 – NIS2 tritt in Kraft.

• Oktober 2024 – Die EU-Mitgliedstaaten müssen NIS2 in nationales Recht umsetzen.

• Oktober 2024 – Merkwürdiger Schwebezustand, in dem unklar ist, ob das Gesetz in Kraft ist oder nicht (ihr seid hier).

• April 2025 – Die EU-Mitgliedstaaten müssen der Europäischen Kommission sechs Monate nach der Umsetzung von NIS2 in nationales Recht eine Liste der ermittelten wesentlichen und wichtigen Einrichtungen vorlegen.

NIS2 führt umfassendere Anforderungen, einen erweiterten Geltungsbereich und – vielleicht am wichtigsten – strengere Sanktionen ein.

Der neue Geltungsbereich der EU

Die NIS2-Richtlinie erweitert den Geltungsbereich von NIS deutlich. Unter NIS unterlagen nur Betreiber wesentlicher Dienste und Anbieter digitaler Dienste den Anforderungen. NIS2 erweitert dies auf weitere kritische Sektoren, darunter:

• Energie (einschließlich Strom-, Gas- und Ölsektor).

• Verkehr (Luft-, Schienen-, Wasser- und Straßenverkehr).

• Banken und Finanzdienstleistungen.

• Gesundheitssektor (Krankenhäuser, Labore, pharmazeutische Produktion).

• Öffentliche Verwaltung (nationale und regionale Behörden).

• Weltraum (Satellitendienste und Bodenstationen).

Mittelgroße und große Unternehmen in diesen Sektoren müssen die Vorgaben nun erfüllen. Das bedeutet, dass auch Unternehmen, die bislang möglicherweise nicht als kritisch galten, aber in wichtigen Lieferketten eine Rolle spielen, jetzt in den Geltungsbereich der Richtlinie fallen.

Zentrale Maßnahmen

Strengere Anforderungen an die Meldung von Vorfällen

Unternehmen müssen „angemessene und verhältnismäßige“ Sicherheitsmaßnahmen umsetzen, um die Risiken für ihre Systeme zu bewältigen.

Dazu gehören:

• Prävention von Vorfällen: Systeme und Daten vor potenziellen Sicherheitsverletzungen schützen.

• Geschäftskontinuität: Widerstandsfähigkeit während und nach Cybervorfällen sicherstellen.

• Erkennung von Vorfällen: Monitoring implementieren, um Sicherheitsverletzungen frühzeitig zu erkennen.

• Reaktion und Wiederherstellung: Verfahren entwickeln, um wirksam auf Vorfälle zu reagieren und den Betrieb schnell wiederherzustellen.

Auch die Meldefristen wurden verschärft. Unternehmen müssen erhebliche Cybersicherheitsvorfälle innerhalb von 24 Stunden nach ihrer Entdeckung den zuständigen Behörden melden; ein Abschlussbericht ist innerhalb eines Monats fällig. Werden Vorfälle nicht innerhalb dieser Frist gemeldet, kann dies zu Sanktionen führen.

Was das für DevOps und Platform Engineering bedeutet

Observability ist entscheidend. Zu verstehen und melden zu können, was in euren Systemen passiert, ist von zentraler Bedeutung. 24 Stunden von der Entdeckung bis zur Meldung sind extrem kurz, und sich mit Logging-Systemen auseinanderzusetzen, um die Auswirkungen eines Vorfalls zu verstehen, kann viel Zeit kosten.

Wenn ihr mehr über Observability hören möchtet, empfehle ich unsere Episode des DevOps Sauna Podcasts mit Charity Majors.

Management von Risiken in der Lieferkette und durch Dritte

Eine willkommene Ergänzung von NIS2 ist der Fokus auf die Sicherheit von Lieferketten und Drittanbietern. Die Richtlinie verlangt von Unternehmen sicherzustellen, dass externe Anbieter, Auftragnehmer und Dienstleister die NIS2-Standards einhalten. Das gilt insbesondere für Unternehmen, die stark auf externe IT-Services, Cloud-Anbieter oder andere Infrastrukturpartner angewiesen sind.

Ein wirksames Sicherheitsmanagement für die Lieferkette umfasst:

• Gründliche Risikobewertungen externer Anbieter durchführen.

• Vertragliche Verpflichtungen festlegen, die Cybersecurity Best Practices durchsetzen.

• Die Compliance externer Anbieter kontinuierlich überwachen.

Was das für DevOps und Platform Engineering bedeutet

Drei Worte: Software. Supply. Chain. Wahrscheinlich beziehen eure Builds Abhängigkeiten von Drittanbietern ein. Derzeit ist noch nicht vollständig klar, wo die Verantwortung für das Management der Sicherheit solcher Abhängigkeiten liegen wird. Von der Free Software Foundation Europe gab es Rückmeldungen zum Fokus von NIS2 auf Geschäftsbeziehungen und dazu, wie sich dies auf Anbieter von FOSS auswirken könnte.

Der kluge Schritt besteht jetzt darin, jeden Baustein eurer Lieferkette zu prüfen, indem ihr SBOMs und Review Boards für Open Source implementiert.

Risikobasierte Ansätze

Im Gegensatz zu präskriptiven Standards verlangt NIS2 einen risikobasierten Ansatz für Cybersecurity. Das bedeutet, dass Unternehmen die spezifischen Risiken bewerten müssen, denen sie ausgesetzt sind – einschließlich möglicher Bedrohungen für ihren Betrieb, ihre Lieferanten und ihre Kunden – und ihre Sicherheitsmaßnahmen entsprechend anpassen.

Was das für DevOps und Platform Engineering bedeutet

Wenn ihr bisher noch nie an einer Threat-Modeling-Übung teilgenommen habt, solltet ihr euch darauf vorbereiten. Beginnt damit, euren gesamten Datenfluss abzubilden, und überlegt, wie Vertrauen von der Entwicklung bis zum Deployment funktioniert. Die Risiken für euer Unternehmen zu verstehen, sie abzubilden und für alle eine Strategie zur Behebung zu entwickeln, ist ein guter Ausgangspunkt. Danach geht es um Weiterentwicklung und Iteration.

Verantwortlichkeit, Zusammenarbeit und Sanktionen

Drei Aspekte von NIS2 sind für DevOps und Platform Engineering weniger unmittelbar relevant, sollten aber besprochen werden. Wenn ihr sie kennt, versteht ihr genau, womit wir es zu tun haben werden.

Zur Verantwortlichkeit: NIS2 betont die Rolle von Führung und Governance in der Cybersicherheit. Die Richtlinie schreibt vor, dass das Top-Management die Verantwortung für Cybersicherheitsmaßnahmen übernehmen muss. Organisationen müssen einen CISO (Chief Information Security Officer) oder eine vergleichbare Person benennen, die für die Cybersicherheit verantwortlich ist. Zudem muss der Vorstand über Cybersicherheitsrisiken und -strategien informiert werden.

Zur Zusammenarbeit: NIS2 fördert eine stärkere Zusammenarbeit zwischen den EU-Mitgliedstaaten und schafft ein strukturiertes Netzwerk für den Informationsaustausch und gemeinsame Maßnahmen zur Cyberresilienz. Die Mitgliedstaaten werden dazu angehalten, Computer Security Incident Response Teams (CSIRTs) einzurichten, um auf Cybersicherheitsbedrohungen zu reagieren und bei Vorfällen großen Ausmaßes zusammenzuarbeiten.

Diese grenzüberschreitende Zusammenarbeit umfasst auch den Aufbau des European Cyber Crises Liaison Organisation Network (ECLON), einer Struktur zur Bewältigung groß angelegter Cybersicherheitskrisen auf EU-Ebene.

Und schließlich strengere Sanktionen: NIS2 führt härtere Strafen für Organisationen ein, die die festgelegten Anforderungen nicht erfüllen. Bei schwerwiegenden Verstößen gegen die Richtlinie drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Damit sind die Sanktionen nach NIS2 mit denen der DSGVO vergleichbar.

Bereitet euch auf die Anforderungen von NIS2 vor

Bei Eficode unterstützen wir Kunden aktiv dabei, ihre DevOps- und Platform-Engineering-Systeme auf die strengen Anforderungen von NIS2 vorzubereiten.

Wir haben Bedrohungsmodelle für CI/CD-Systeme entwickelt, Toolchains rund um Software-BOMs und Pipeline-Sicherheit aufgebaut und Reporting-Funktionen durch erweitertes Observability ausgebaut. Mit uns als Partner können Organisationen sicherstellen, dass ihre Infrastrukturen sicher, compliant und auf die bevorstehenden regulatorischen Änderungen vorbereitet sind.