NIS2 und KRITIS - welche Auswirkungen haben diese Normen auf IT-Systeme und Firmennetze?

In der digitalen Welt sind IT-Netzwerke das Rückgrat vieler Organisationen und essentiell für den Betrieb kritischer Infrastrukturen. Um die Sicherheit dieser Netzwerke zu gewährleisten, gibt es in Deutschland und der EU spezielle Regelungen, die auf den Schutz dieser Infrastrukturen abzielen: die KRITIS-Gesetze und die NIS2-Richtlinie. Beide stellen sicher, dass die Betreiber kritischer Infrastrukturen (KRITIS) ihre Netzwerke und Systeme gegen Cyberangriffe und andere Sicherheitsrisiken absichern. In diesem Text wird erläutert, wie IT-Netzwerke in diesem Kontext betrachtet werden und welche Anforderungen die KRITIS-Gesetze und NIS2 an deren Sicherheit stellen.

1. KRITIS-Gesetze und deren Bedeutung für IT-Netzwerke und IT-Systeme

Das deutsche KRITIS-Gesetz (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) dient dem Schutz kritischer Infrastrukturen in Deutschland, die für das Funktionieren der Gesellschaft und Wirtschaft unerlässlich sind. Diese Infrastrukturen umfassen beispielsweise:

• Energieversorgung (Strom, Gas, Wasser)
• Telekommunikationsnetzwerke
• Verkehrsinfrastrukturen
• Finanz- und Bankensysteme
• Gesundheitswesen

 
Für Betreiber von KRITIS ist es entscheidend, ihre IT-Netzwerke gegen potenzielle Gefahren abzusichern. Das KRITIS-Gesetz fordert von den Betreibern die Umsetzung von Mindestanforderungen an die IT-Sicherheit. Diese beinhalten unter anderem:

• Identifikation und Schutz von Schwachstellen: Betreiber müssen ihre IT-Infrastrukturen und Netzwerke regelmäßig auf Schwachstellen untersuchen und sicherstellen, dass Sicherheitslücken geschlossen werden.
• Notfallmanagement und Resilienz: Betreiber müssen Maßnahmen zur Gewährleistung der Resilienz ihrer IT-Netzwerke ergreifen, um im Falle eines Ausfalls oder Angriffs den Betrieb aufrechtzuerhalten.
• Meldung von Sicherheitsvorfällen: Betreiber von KRITIS müssen sicherheitsrelevante Vorfälle, die ihre IT-Netzwerke betreffen, unverzüglich dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden.

Das Ziel dieser gesetzlichen Vorgaben ist es, kritische Infrastrukturen vor Störungen und Angriffen zu schützen, die schwerwiegende Auswirkungen auf die Gesellschaft und Wirtschaft haben könnten.

2. NIS2-Richtlinie und ihre Anforderungen an IT-Netzwerksicherheit

Auf EU-Ebene setzt die NIS2-Richtlinie (Richtlinie über die Sicherheit von Netz- und Informationssystemen) einen rechtlichen Rahmen für die Sicherheit von IT-Netzwerken und -Systemen in Mitgliedstaaten der Europäischen Union. Sie gilt für Organisationen, die wesentliche Dienstleistungen erbringen, darunter auch Unternehmen aus dem Bereich der kritischen Infrastrukturen. Die NIS2-Richtlinie erweitert und stärkt die Anforderungen der ursprünglichen NIS-Richtlinie (Netz- und Informationssicherheit) aus dem Jahr 2016.

Die wichtigsten Anforderungen der NIS2 an IT-Netzwerke sind:

• Sicherheitsmanagement: Organisationen müssen ein angemessenes Sicherheitsmanagement implementieren, das Risiken für ihre IT-Netzwerke identifiziert und adressiert. Dies umfasst sowohl technische als auch organisatorische Maßnahmen, die die Verfügbarkeit, Integrität und Vertraulichkeit der Netzwerke sicherstellen.
• Berichterstattungspflichten: Auch die NIS2-Richtlinie verlangt eine unverzügliche Meldung von Sicherheitsvorfällen. Betreiber von IT-Netzwerken, die als Betreiber wesentlicher Dienste (Essential Service Operators) gelten, müssen schwerwiegende Vorfälle innerhalb von 24 Stunden melden.
• Schwachstellenmanagement und regelmäßige Audits: IT-Netzwerke müssen regelmäßig auf Schwachstellen untersucht werden. Darüber hinaus sind regelmäßige Audits zur Überprüfung der Sicherheitsmaßnahmen und der Einhaltung der gesetzlichen Anforderungen notwendig.
• Supply Chain Security: NIS2 betont die Bedeutung der Cybersicherheit in der Lieferkette. IT-Netzwerke dürfen nicht nur intern abgesichert werden, sondern auch durch die Auswahl und Überwachung von Drittanbietern und Partnern.

Die NIS2-Richtlinie zielt darauf ab, die Cybersicherheit im gesamten Binnenmarkt der EU zu verbessern und sicherzustellen, dass Organisationen robuste und widerstandsfähige IT-Netzwerke betreiben, die gegen potenzielle Cyberbedrohungen gewappnet sind.

3. Anforderungen an IT-Netzwerke im Kontext von KRITIS und NIS2

Sowohl die KRITIS-Gesetze als auch die NIS2-Richtlinie fordern von Organisationen, dass sie ihre IT-Netzwerke vor Angriffen und Bedrohungen schützen, um die Kontinuität ihrer kritischen Dienste zu gewährleisten. Die Anforderungen an diese Netzwerke lassen sich in verschiedenen Bereichen zusammenfassen:

• Zugangskontrollen und Authentifizierung: Es müssen strenge Zugangskontrollen implementiert werden, um unbefugten Zugriff auf kritische IT-Systeme und -Netzwerke zu verhindern. Multi-Faktor-Authentifizierung und starke Passwortrichtlinien sind oft verpflichtend.
• Verschlüsselung: Die Datenkommunikation in IT-Netzwerken muss verschlüsselt werden, um die Vertraulichkeit und Integrität der übertragenen Informationen zu wahren.
• Firewall- und Intrusion Detection Systeme (IDS): Der Einsatz von Firewalls, Intrusion Prevention Systemen (IPS) und Intrusion Detection Systemen (IDS) ist erforderlich, um unbefugte Zugriffe und Angriffe auf Netzwerke zu erkennen und zu verhindern.
• Backup- und Wiederherstellungsmaßnahmen: Im Falle eines Ausfalls oder eines Cyberangriffs müssen Backup-Strategien und Wiederherstellungspläne für IT-Netzwerke und kritische Daten vorhanden sein.
• Schulung und Awareness: Mitarbeiter müssen regelmäßig in der Cybersicherheit geschult werden, um das Risiko menschlicher Fehler und sozialer Ingenieurtechniken zu minimieren.

4. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz liegt aktuell nur im Entwurf vor. Es soll erlassen werden, um die Anforderungen der NIS2-Richtlinie auf nationaler Ebene umzusetzen und die Cybersicherheit zu stärken. Es konkretisiert und erweitert die Regelungen des bisherigen IT-Sicherheitsgesetzes, um den steigenden Anforderungen an die Sicherheit von Netzwerken und Informationssystemen gerecht zu werden.

Die wichtigsten Bestimmungen des Gesetzes umfassen:

• Erweiterte Meldepflichten: Betreiber von kritischen Infrastrukturen und wesentlichen Diensten müssen nun innerhalb kürzester Zeit (innerhalb von 24 Stunden) auf sicherheitsrelevante Vorfälle reagieren und diese melden. Diese Anforderungen sollen sicherstellen, dass Schwachstellen schnell erkannt und behoben werden.
• Erhöhung der Sicherheitsanforderungen: Das Gesetz legt strengere Anforderungen an die Sicherheit von Netzwerken und Informationssystemen fest, insbesondere im Hinblick auf das Risikomanagement und die Implementierung technischer Sicherheitsmaßnahmen wie Verschlüsselung und Authentifizierung.
• Verstärkter Schutz der Lieferketten: Das Gesetz erweitert die Anforderungen an die Sicherheit der Lieferkette und fordert, dass Unternehmen ihre Lieferanten und Dienstleister auf die Einhaltung von Cybersicherheitsstandards überprüfen.
• Erweiterte Zuständigkeiten und Durchsetzung: Es wurden neue Regelungen zur Verantwortung der zuständigen Behörden eingeführt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt eine zentrale Rolle bei der Überwachung und Durchsetzung der Cybersicherheitsanforderungen.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz trägt dazu bei, dass die Umsetzung der NIS2-Richtlinie in Deutschland effektiv und nachhaltig erfolgt. Es sorgt dafür, dass Deutschland seine Rolle als führender Akteur in der europäischen Cybersicherheitsstrategie festigt und die Widerstandsfähigkeit der IT-Netzwerke gegen Bedrohungen weiter stärkt.

5. Fazit

Informationssicherheit spielen eine zentrale Rolle im Schutz kritischer Infrastrukturen. Die KRITIS-Gesetze, die NIS2-Richtlinie und das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz stellen sicher, dass Betreiber dieser Infrastrukturen ihre Netzwerke und Systeme gegen Cyberangriffe und andere Gefährdungen absichern. Sie verlangen die Implementierung von Sicherheitsmaßnahmen wie Schwachstellenmanagement, Notfallmanagement und kontinuierliche Audits, um die Widerstandsfähigkeit und Sicherheit der IT-Netzwerke zu gewährleisten. Durch die Einhaltung dieser Anforderungen wird der Schutz kritischer Dienste und der reibungslose Betrieb in einer zunehmend vernetzten Welt sichergestellt.