Cyberangriff auf französische Supermärkte: Warum NIS2 und CRA mehr als Bürokratie sind
Aktualisiert: vor 4 Tagen
Udo Schneider, Governance, Risk & Compliance Lead, Europe bei Trend Micro, nimmt einen Cyberangriff auf französische Supermärkte zum Anlass, die Bedeutung europäischer Cybersecurity-Regulierung zu beleuchten. Er zeigt anhand von NIS2 und dem Cyber Resilience Act, warum Mindestmaßnahmen, ein umfassender Risikoansatz und die Verantwortung von Betreibern und Herstellern für die Resilienz eine wichtige Rolle spielen.
Angriffe auf Nicht-IT-Geräte, also das Internet der Dinge (IoT), solltenniemanden mehr überraschen. Die Probleme sind bekannt: offen erreichbareSysteme, mangelnde Absicherung und fehlende Updates. Genau darum soll esmir hier aber nicht primär gehen.
Ich möchte den Blick auf das Vorgehen der Europäischen Union (EU) richten.Regularien wie die NIS2-Richtlinie (Network and Information Security Directive2), der Cyber Resilience Act (CRA) und ähnliche Vorgaben haben in den letztenJahren viel Kritik erhalten. Meiner Meinung nach oft zu Unrecht. Im Kernverlangen sie Dinge, die aus Cybersicherheitssicht eigentlich selbstverständlichsein sollten: kein Hype-Marketing, kein Feenstaub, sondern ein Mindestmaß anSecurity, dessen Umsetzung im Interesse jedes Unternehmens liegen sollte. ImKontext dieses Vorfalls möchte ich drei Punkte aus NIS2 in Erinnerung rufen.
Drei NIS2-Aspekte im Fokus
Security-Mindestmaßnahmen: Sie sollen genau solche Problemeverhindern: verwundbare, von außen erreichbare Geräte, die kritischeProzesse beeinflussen können.
Der All-Hazards-Risk-Ansatz: NIS2 schreibt einen expliziten Risikoansatzvor, der alle Risiken umfasst. Ein IT-Risiko, das zu einemVersorgungsproblem anwachsen kann, fällt aus meiner Sicht eindeutigdarunter. Selbst wenn das IT-Risiko isoliert betrachtet fälschlicherweiseals gering eingestuft wird, gleichen die nachfolgenden Auswirkungen aufdie Lebensmittelversorgung, den Gesundheitsschutz und den Filialbetriebdiese Fehleinschätzung aus.
Lieferketten im eigentlichen Sinne: Im Kontext von NIS2 wird meist nurvon IT- oder Software-Lieferketten gesprochen. In diesem Fall gab esjedoch einen Übersprung von der Cyberwelt in die reale Welt. Genau dasadressiert NIS2: Cybersecurity-Probleme, die sehr schnell physische undgesellschaftliche Auswirkungen haben können.
Betrachten wir nun die andere Seite: Während NIS2 die Betreiber in den Fokusrückt, richtet sich der CRA stärker an Hersteller und Inverkehrbringer. ImKontext des Vorfalls hätte der Betreiber – auch auf Grundlage von NIS2 (soferner betroffen ist) – Pflichten zur Absicherung und Aktualisierung der Systeme. AufHerstellerseite entsteht durch den CRA ebenfalls eine Verantwortung: Updateswährend der geplanten Supportzeit bereitzustellen und vor möglichenVerwundbarkeiten zu warnen – auch bei älteren Systemen.
Wenn Best Practices nicht ausreichen
Deshalb möchte ich den Fokus wieder auf die EU lenken. Ja, viele sind von derRegulierung genervt. Oft höre ich das Argument, solche Vorgaben seienüberflüssig, da sie lediglich bewährte Verfahren verlangen. Genau an dieserStelle hake ich ein: Ja, NIS2 und CRA verlangen im Kern Best Practices. Wenn allediese Best Practices im Sinne des Fortbestehens der eigenen Organisationkonsequent umsetzen würden, hätten wir viele dieser Probleme nicht undbräuchten weniger Regulierung. Die Realität sieht leider anders aus.
Entsprechende Best Practices sind seit Jahren dokumentiert, etwa von der ENISA(European Union Agency for Cybersecurity) und dem BSI (Bundesamt fürSicherheit in der Informationstechnik), wenn auch oft als nicht rechtlichbindende Empfehlungen. Nur halten sich eben nicht alle daran.
Entsteht daraus eine Gefahr für die Resilienz des Binnenmarktes, der eine derzentralen Säulen der EU ist, dann ist die regulatorische Reaktionnachvollziehbar. Wenn starke Empfehlungen nicht ausreichen, wird reguliert.Dass solche Vorfälle weiterhin passieren, zeigt aus meiner Sicht deutlich, dassdieser Schritt notwendig war und ist. EU-Blaming hin oder her.
Gastbeitrag von Udo Schneider
Kommentare