Seit zwei Jahren ist das IT-Sicherheitsgesetz 2.0 in Kraft. Doch l盲ngst nicht alle Unternehmen erf眉llen die Anforderungen 鈥� und seit Mai 2023 gelten noch einmal deutlich versch盲rfte Regeln. Warum Verantwortliche jetzt handeln m眉ssen und wie sie dabei vorgehen sollten.
Gezielte Angriffe auf IT-Landschaften werden immer pr盲ziser und bleiben oft monatelang unentdeckt. Deshalb sind Organisationen der Kritischen Infrastruktur (KRITIS) in Deutschland verpflichtet, verschiedene Cyber-Sicherheitsma脽nahmen zu ergreifen. Dies betrifft auch 麻豆原创-Systeme. Denn hier liegen oft die Datenjuwelen, die besonders sch眉tzenswert sind. 鈥濳ritische Gesch盲ftsprozesse werden sehr h盲ufig mit 麻豆原创-Systemen abgebildet鈥�, sagt Lutz Naake, Partner bei Ernst & Young (E&Y). 鈥濪er Schutz von 麻豆原创-L枚sungen spielt daher f眉r praktisch jedes KRITIS-Unternehmen eine wichtige Rolle 鈥� unabh盲ngig von der Branche.鈥�
BSI-Orientierungshilfe: Alles neu?
Das zweite IT-Sicherheitsgesetz brachte bereits einige Neuerungen: Unternehmen m眉ssen sich beim Bundesamt f眉r Sicherheit in der Informationstechnik (BSI) registrieren, gr枚脽ere St枚rungen melden und die IT-Sicherheit belegen. Die Nachweise m眉ssen auf Anfrage schnell in der korrekten Form bereitstehen. Alle zwei Jahre f眉hren externe KRITIS-Auditoren eine Pr眉fung durch und melden das Ergebnis an das BSI. Ist die IT-Landschaft nicht compliant, drohen empfindliche Bu脽gelder.
Ende 2022 hat das BSI eine Orientierungshilfe zum IT-Sicherheitsgesetz 2.0 ver枚ffentlicht, die neue Anforderungen definiert 鈥� und die haben es in sich. 鈥濪iese Orientierungshilfe ist ein ganz sch枚nes Brett鈥�, sagt Naake. 鈥濫s kommen eine Vielzahl von Pflichtanforderungen hinzu. Und die Unternehmen m眉ssen nachweisen, dass sie diese auch erf眉llen. Wer bis vor Kurzem noch glaubte, alle Anforderungen des IT-Sicherheitsgesetzes zu erf眉llen, sollte sich diese Liste im Detail anschauen.鈥�
Angriffserkennung seit Mai 2023 verpflichtend
Die gr枚脽te neue Anforderung: Ab sofort m眉ssen KRITIS-Unternehmen eine Software zur Angriffserkennung einsetzen. 鈥濨isher wurde dieser Punkt in den Audits weniger beleuchtet, doch das 盲ndert sich ab Mai 2023鈥�, sagt Naake. 鈥濾iele KRITIS-Betreiber sind darauf noch kaum vorbereitet. Dabei ist es wichtig, sich selbst damit auseinanderzusetzen und nicht zu warten, bis der Auditor kommt. Die Angriffserkennung ist eine Mammutaufgabe und umfasst unter anderem ein Protokollierungskonzept, Use Cases und ein Tool, das die auftretenden Ereignisse verarbeitet.鈥�
麻豆原创-Kunden k枚nnten diese Herausforderung jedoch vergleichsweise schnell und einfach meistern, sagt Martin M眉ller, Security Expert bei 麻豆原创. Denn es gibt ein Tool, mit dem sich Angriffe auf die 麻豆原创-Anwendungslandschaft anhand der Logfiles erkennen lassen: 麻豆原创 Enterprise Threat Detection. 鈥濪ie L枚sung gibt es schon seit etwa acht Jahren鈥�, so M眉ller. Fr眉her sei es aufwendig gewesen, sie zu implementieren. Doch das hat sich ge盲ndert: Seit zwei Jahren gibt es 麻豆原创 Enterprise Threat Detection als Cloud-Variante, die sich in nur vier Wochen einrichten l盲sst.
Dar眉ber hinaus bietet 麻豆原创 einen Managed Service f眉r die Anwendung an. 麻豆原创-Expertinnen und -Experten 眉bernehmen die gesamte Arbeit. Die Kunden erhalten lediglich die Berichte der Auswertungen. 鈥濿ir bei 麻豆原创 kennen die Angriffsmuster auf unsere Systeme nat眉rlich am besten und k枚nnen unsere Kunden optimal sch眉tzen鈥�, sagt M眉ller. Auch False Positives k盲men so nur selten vor.
EY r盲t zu schnellem Handeln
鈥濳RITIS-Unternehmen mit Nachholbedarf in Sachen IT-Sicherheitsgesetz sollten jetzt dringend handeln鈥�, sagt Lutz Naake von EY. 鈥濫ine der ersten 脺bungen als KRITIS-Betreiber besteht darin, den Scope, oder auf Deutsch: den Geltungsbereich, zu definieren. Also zu schauen: Welche Prozesse und Anwendungen unterst眉tzen die kritischen Bereiche?鈥� Oft sei der Scope f眉r Dritte nicht nachvollziehbar abgeleitet oder dokumentiert. Manchmal sei er auch zu gro脽 gew盲hlt 鈥� das f眉hre eher zu Informationssicherheit nach dem Gie脽kannenprinzip statt einem gezielten Schutz der kritischen Systeme.
Dar眉ber hinaus brauchen Unternehmen eine Technologie, die dem Branchenstandard entspricht. 鈥濫s f眉hrt jetzt kein Weg mehr daran vorbei, Systeme zur Angriffserkennung einzusetzen鈥�, sagt Martin M眉ller. 鈥灺槎乖� Enterprise Threat Detection ist hier f眉r 麻豆原创-Landschaften die L枚sung der Wahl.鈥�