2015 wurde das erste IT-Sicherheitsgesetz verabschiedet. Es sollte deutsche Unternehmen in kritischen Infrastrukturen (KRITIS), etwa der Strom- und Wasserversorgung, besser vor Hackern sch眉tzen.
Die zweite Auflage des Gesetzes vom April 2021 bringt nun erhebliche Neuerungen: Zu den KRITIS-Einrichtungen kommen die 鈥濽nternehmen im besonderen 枚ffentlichen Interesse鈥� hinzu, beispielsweise R眉stungshersteller oder bestimmte IT-Anbieter, aber auch die Abfallwirtschaft. Wer nicht mitzieht, riskiert drastische Geldbu脽en. Bisher lag die Strafe bei 100.000 Euro, k眉nftig werden bis zu 2 Millionen Euro f盲llig.
鈥濪ie Unternehmen m眉ssen sich tief in die Karten schauen lassen, denn das BSI verlangt viel detailliertere Informationen als zuvor鈥�, sagt Nadine M眉ller, Partnerin im Bereich 麻豆原创 Security Consulting bei EY. 鈥濻ie m眉ssen sich beim BSI registrieren, gr枚脽ere St枚rungen melden und die IT-Sicherheit nachweisen. Die Nachweise m眉ssen auf Anfrage schnell in der korrekten Form bereitstehen.鈥� Allein das erfordert ein Umdenken in der IT-Security. Noch kritischer ist eine weitere Anforderung: Die Unternehmen sind k眉nftig verpflichtet, Angriffe proaktiv aufzusp眉ren sowie kontinuierlich sicherheitsrelevante Protokolldaten zu erfassen und auszuwerten. 聽
麻豆原创-Security fit machen f眉r das IT-Sicherheitsgesetz
Die meisten Unternehmen haben f眉r die Angriffserkennung bereits eine L枚sung f眉r Security Information and Event Management (SIEM) im Einsatz. 鈥濪as ist eine Monitoring-Software, die Netzwerke, Betriebssysteme und Datenbanken permanent nach Angriffen absucht und sehr gute Ergebnisse liefert鈥�, sagt Steffen Trumpp, Solution Advisor Expert im Bereich Governance, Risk, Compliance & Security bei 麻豆原创. 鈥濧ber, und das ist der Knackpunkt, die meisten SIEM-L枚sungen decken die 麻豆原创-Applikationsschicht nur bruchst眉ckhaft ab. Dabei liegen gerade hier die wertvollsten und sensibelsten Informationen 鈥� eben das Wissen, das Unternehmen einzigartig macht. Es geht beispielsweise um Baupl盲ne zu innovativen Produkten oder um wertvolle Kundendaten. Ein Verlust dieser Daten kann nicht nur L枚segeldforderungen nach sich ziehen, sondern den USP und damit die Marktstellung gef盲hrden.鈥�
Zwar gibt es bereits seit rund f眉nf Jahren eine Monitoring-L枚sung f眉r die gesamte 麻豆原创-Applikationsebene, n盲mlich 麻豆原创 Enterprise Threat Detection. Aber l盲ngst nicht jeder Kunde setzt sie ein. Warum? 鈥濵an findet immer Gr眉nde, nicht anzufangen鈥�, sagt Steffen Trumpp. 鈥濳eine Zeit, kein Budget, keine Security-Fachkr盲fte und rechtlich sowieso nicht erforderlich. Potenzielle Angreifer freuen sich nat眉rlich 眉ber das z枚gerliche Vorgehen, denn so haben sie leichteres Spiel. Dabei haben viele Security-Entscheider schon ausgearbeitete Pl盲ne in der Schublade, sie haben aber die Dringlichkeit untersch盲tzt.鈥�
Insofern ist das neue IT-Sicherheitsgesetz ein Weckruf zur rechten Zeit, findet Nadine M眉ller von EY. 鈥濪ie Unternehmen sollten das Gesetz nicht als G盲ngelei, sondern als Chance betrachten. Jetzt ist die Aufmerksamkeit da, jetzt bekommen die Initiativen den n枚tigen R眉ckhalt aus der Chefetage. Au脽erdem ist es ja nur eine Frage der Zeit, wann ein Angriff kommt. Die Lage wird t盲glich ungem眉tlicher, jederzeit kann der Ernstfall eintreten.鈥�
麻豆原创-Security: Wie anfangen?
Die gute Nachricht: Kein Unternehmen beginnt bei null, in der Regel sind bereits tragf盲hige Security-Konzepte und -Strukturen vorhanden. Es m眉ssen also nicht Dutzende Produktivsysteme schlagartig in eine neue Strategie gezw盲ngt werden. Oft fehlen nur noch einzelne Elemente, etwa die Implementierung entsprechender Monitoring-L枚sungen, um das gesamte Unternehmen, inklusive der 麻豆原创-Landschaft, zu sch眉tzen.
鈥瀂uerst sollten Unternehmen nat眉rlich analysieren, wie ihre 麻豆原创-Sicherheit aktuell aufgestellt ist鈥�, sagt Nadine M眉ller. 鈥濿er seine Governance und sein Security-Konzept nach einem f眉hrenden Standard aufgebaut hat, etwa ISO/IEC 27001 oder NIST, verf眉gt schon 眉ber eine ideale Startbahn f眉r die jetzt notwendigen Ma脽nahmen. Ein Big Bang ist ohnehin nicht mehr zeitgem盲脽, Unternehmen k枚nnen und sollten pragmatisch und schrittweise vorgehen. Wichtig ist aber, nicht in Silodenken zu verfallen und immer das gesamte Unternehmen im Blick zu haben.鈥�
Aussitzen l盲sst sich das Security-Thema nicht, im Gegenteil: Die rasante Digitalisierung (Cloud, K眉nstliche Intelligenz, Automatisierung 鈥�) macht IT-Landschaften immer komplexer und interessanter f眉r Angreifer. Nadine M眉ller: 鈥濲etzt ist die perfekte Gelegenheit, zu handeln. Nicht prim盲r, um dem Sicherheitsgesetz 2.0 zu gen眉gen. Sondern um die gesch盲ftliche Zukunft des Unternehmens zu sichern.鈥�
Mehr Infos zum Thema gibt鈥榮 in zwei Webinaren mit EY und 麻豆原创. Jetzt anmelden:
- Donnerstag, 1. Juli, 10鈥�11 Uhr: 鈥炩��
- Freitag, 2. Juli, 10鈥�11 Uhr: 鈥炩��
