Cyberangriff auf französische Supermärkte: Warum NIS2 und CRA mehr als Bürokratie sind
„Angriffe auf Nicht-IT-Geräte, also das Internet der Dinge (IoT), sollten niemanden mehr überraschen. Die Probleme sind bekannt: offen erreichbare Systeme, mangelnde Absicherung und fehlende Updates. Genau darum soll es mir hier aber nicht primär gehen“, kommentiert Udo Schneider, Governance, Risk & Compliance Lead, Europe bei Trend Micro.
Er wolle den Blick auf das Vorgehen der Europäischen Union (EU) richten. Regularien wie die NIS2-Richtlinie (Network and Information Security Directive 2), der Cyber Resilience Act (CRA) und ähnliche Vorgaben hätten in den letzten Jahren viel Kritik erhalten. Seiner Meinung nach oft zu Unrecht. Im Kern verlangten sie Dinge, die aus Cybersicherheitssicht eigentlich selbstverständlich sein sollten: kein Hype-Marketing, kein Feenstaub, sondern ein Mindestmaß an Security, dessen Umsetzung im Interesse jedes Unternehmens liegen sollte. Im Kontext dieses Vorfalls möchte er drei Punkte aus NIS2 in Erinnerung rufen.
Security-Mindestmaßnahmen: Sie sollen genau solche Probleme verhindern: verwundbare, von außen erreichbare Geräte, die kritische Prozesse beeinflussen können.
Der All-Hazards-Risk-Ansatz: NIS2 schreibt einen expliziten Risikoansatz vor, der alle Risiken umfasst. Ein IT-Risiko, das zu einem Versorgungsproblem anwachsen kann, fällt aus seiner Sicht eindeutig darunter. Selbst wenn das IT-Risiko isoliert betrachtet fälschlicherweise als gering eingestuft wird, gleichen die nachfolgenden Auswirkungen auf die Lebensmittelversorgung, den Gesundheitsschutz und den Filialbetrieb diese Fehleinschätzung aus.
Lieferketten im eigentlichen Sinne: Im Kontext von NIS2 wird meist nur von IT- oder Software-Lieferketten gesprochen. In diesem Fall gab es jedoch einen Übersprung von der Cyberwelt in die reale Welt. Genau das adressiert NIS2: Cybersecurity-Probleme, die sehr schnell physische und gesellschaftliche Auswirkungen haben können.
„Betrachten wir nun die andere Seite: Während NIS2 die Betreiber in den Fokus rückt, richtet sich der CRA stärker an Hersteller und Inverkehrbringer. Im Kontext des Vorfalls hätte der Betreiber – auch auf Grundlage von NIS2 (sofern er betroffen ist) – Pflichten zur Absicherung und Aktualisierung der Systeme. Auf Herstellerseite entsteht durch den CRA ebenfalls eine Verantwortung: Updates während der geplanten Supportzeit bereitzustellen und vor möglichen Verwundbarkeiten zu warnen – auch bei älteren Systemen“, so Udo Schneider.
„Deshalb möchte ich den Fokus wieder auf die EU lenken. Ja, viele sind von der Regulierung genervt. Oft höre ich das Argument, solche Vorgaben seien überflüssig, da sie lediglich bewährte Verfahren verlangen. Genau an dieser Stelle hake ich ein: Ja, NIS2 und CRA verlangen im Kern Best Practices. Wenn alle diese Best Practices im Sinne des Fortbestehens der eigenen Organisation konsequent umsetzen würden, hätten wir viele dieser Probleme nicht und bräuchten weniger Regulierung. Die Realität sieht leider anders aus. Entsprechende Best Practices sind seit Jahren dokumentiert, etwa von der ENISA (European Union Agency for Cybersecurity) und dem BSI (Bundesamt für Sicherheit in der Informationstechnik), wenn auch oft als nicht rechtlich bindende Empfehlungen. Nur halten sich eben nicht alle daran.“
Entsteht daraus eine Gefahr für die Resilienz des Binnenmarktes, der eine der zentralen Säulen der EU ist, dann sei die regulatorische Reaktion nachvollziehbar. Wenn starke Empfehlungen nicht ausreichen, werde reguliert. Dass solche Vorfälle weiterhin passieren, zeige aus seiner Sicht deutlich, dass dieser Schritt notwendig war und ist. „EU-Blaming hin oder her“, so Udo Schneider abschließend.
