Cybersicherheit strategisch angehen: Mit NIS-2 konformer Datenspeicherung

Alles scheint normal zu laufen, doch plötzlich geht nichts mehr: Kein Zugriff mehr auf Ordner, fehlender Zugang zu verschlüsselten Daten – ein einfacher Angriff, aber die gesamte ­Infrastruktur steht still, als hätten die Hacker den Stecker gezogen. Szenen wie diese will niemand erleben – schon gar nicht im eigenen Unternehmen. Gleichzeitig steigt aber die Wahrscheinlichkeit, dass sich ein solcher Moment so oder so ähnlich ereignet – das zeigen unter anderem die Zahlen des aktuellen Bundeslagebild Cyberkriminalität. Um solchen Cyberangriffen auf kritische ­Infrastrukturen und dem auf sie folgenden Chaos vorzubeugen, hat die EU die NIS-2-Richtlinie zur Netz- und Informationssicherheit erlassen. Im Vergleich zur bisherigen NIS-Richtlinie erweitert NIS-2 den Anwendungsbereich und verschärft die Anforderungen. Unternehmen verschiedenster Branchen, insbesondere solche mit kritischen Dienstleistungen, müssen sicherstellen, dass ihre IT-Sicherheitsstrategien höchsten Standards entsprechen. Dies erfordert umfassende Investitionen in Cybersecurity-Lösungen und die Etablierung eines robusten Datenmanagements.

Wesentliche Neuerungen der NIS-2-Richtlinie

© DataCore Software GmbH

• 1. Erweiterter Anwendungsbereich:
  Neben den klassischen Sektoren wie Energie und Transport umfasst NIS-2 nun auch Gesundheitswesen, Banken und digitale Infrastruktur.
• 2. Strengere Meldepflichten und Reaktionszeiten: 
  Sicherheitsvorfälle müssen schnellstmöglich gemeldet und entsprechende Maßnahmen ergriffen werden, um weitere Schäden zu verhindern.
• 3. Erhöhte Bußgelder und Haftung: Verfehlungen können für Unternehmen hohe Geldstrafen und für Führungskräfte persönliche Haftung bedeuten.

Die Richtlinie verfolgt das Ziel, die gesamte EU besser gegen Cyberangriffe zu wappnen und die Abwehrkraft durch gemeinsame Standards und eine engere Zusammenarbeit der Mitglieds­staaten zu steigern. Für Unternehmen bedeutet das, dass ihre Cyber­security-Strategien und -Infrastrukturen den Vorgaben entsprechen müssen und sie dafür Sorge tragen sollten, die neuen Regularien möglichst reibungslos in ihre bestehende Sicherheitsstrategie einzubetten. Dafür haben Verantwortliche nicht mehr unendlich Zeit. Zwar konnte der ursprüngliche Zeitplan für die Umsetzung der NIS-2-Richtlinie in nationales Recht nicht eingehalten werden, zum Frühjahr 2025 werden Betriebe aber voraussichtlich NIS-2-konform sein müssen. 

Datenarchive als Angriffsziel: Regeln für NIS-2-konforme Cybersecurity

Daten sind das Herzstück moderner Unternehmen und das Hauptangriffsziel von Cyberkriminellen. Dabei geraten auch Daten­archive und Backups zunehmend mehr unter Beschuss – denn sie erhalten sensible und für den Geschäftsbetrieb kritische Informationen. Dabei dienen Datenarchive als wertvolle Ressourcen in Unternehmen nicht nur als Angriffsziel, sondern auch als Hebel für die Erpressung – in Form von Ransomware oder Datendiebstahl. Die Angreifer drohen dabei, die gestohlenen Daten zu veröffentlichen oder Systeme lahmzulegen und bringen damit den Ruf und die finanziellen Strukturen von Unternehmen massiv in Gefahr. Wer also im Zuge der Vorbereitung auf NIS-2 die eigenen IT-Sicherheitsstrategien überprüft, sollte dabei auch auf Archive und Backups und deren Absicherung blicken und Backups als strategische Komponente von Cybersicherheit verstehen. Denn: Kommt es zum Cybervorfall, sorgt ein gesichertes Backup auch dafür, den Regelbetrieb zügig wiederherzustellen.

Zudem sieht auch NIS-2 vor, dass Unternehmen im Bereich Datenspeicherung und -management besondere Maßnahmen ergreifen. Dabei sollten diese Aspekte berücksichtigt werden:

• Daten schützen: Unternehmen müssen sicherstellen, dass ihre Maßnahmen zur Speicherung und Verarbeitung von Daten sowohl die Sicherheit als auch die Unversehrtheit der Daten gewährleisten. 
• Daten archivieren: Organisationen sollten ihre Richt­linien zur Datenaufbewahrung regelmäßig überprüfen und gegebenenfalls anpassen, um sicherzustellen, dass Daten nur so lange wie nötig aufbewahrt werden und während dieser Zeit sicher gespeichert sind.
• Daten übertragen: Für Unternehmen mit globaler Präsenz umfasst die NIS2 auch die Anforderungen für grenzüberschreitende Datenübertragungen. Sie müssen sicherstellen, dass sie die Sicherheitsvorgaben aller relevanten Rechtsordnungen einhalten und ihre Datenmanagementpraktiken den internationalen Standards für Datensicherheit entsprechen.

Erfolgsfaktoren leistungsstarker Datenspeicherung

Wer also nun das Momentum nutzen und eine sichere und zugleich leicht zugängliche Archivlösung etablieren will, sollte darauf ­achten, dass die gewählte Softwarelösung im Bereich Datenspeicher unbedingt einige Kernaspekte erfüllt. Dazu gehören:

• 1. Robuste Speicherung und schnelle Wiederherstellung: 
  Die gewählte Lösung sollte es erlauben, Daten sicher zu speichern und im Ernstfall schnell wiederherzustellen. So wird der Geschäfts­betrieb stabilisiert und die Verluste durch Ausfallzeiten minimiert. Möglich wird dies beispielsweise durch synchrone Mehrfachreplikation. Sie dient als Schutz gegen Hardware Defekte oder Elementarschäden mit nahtloser, aktiv-aktiv Bereitstellung an zwei oder mehr Standorten. Zusätzlich kann mittels asynchroner Replikation, aktiv-passiv über weite Distanzen an zusätzlichen Standorten gespeichert werden, die räumlich weiter voneinander entfernt sind. Fällt der primäre Standort aus, erfolgt entweder ein automatisches oder manuelles Failover zu einem weiteren Standort. Ist die Gefahr gebannt, können die Daten wieder synchronisiert werden. Außerdem sollten regelmäßige Backups, Snapshots und kontinuierliche Datenprotokollierung (CDP) Teil des Leistungsportfolios sein.
• 2. Regelmäßiges Testing, auch im laufenden Betrieb: 
  Um Sicherheitslücken erst gar nicht entstehen zu lassen, sollte die Lösung Data-Recovery-Tests während des normalen Betriebes unterstützen.
• 3. Anomalieerkennung und Automati­sierung: 
  Die Lösung sollte in der Lage sein, verdächtige Aktivitäten frühzeitig zu erkennen und viele Prozesse der Wiederherstellung automatisiert durchzuführen. So können Cyberattacken effektiver abgewehrt werden.
• 4. Sicherheits- und Datenintegrität: 
  Die gewählte Lösung sollte sicherstellen können, dass archivierte Daten unveränderlich und vor Manipulationen geschützt sind. Das gelingt beispielsweise durch Verschlüsselung der Daten im Ruhezustand und während der Übertragung über SSL. Hier besteht – je nach Angebotsumfang – auch die Chance, dass die gewählte Lösung gleichzeitig für die Einhaltung von FIPS 140-2 sorgen kann. Außerdem sollten Sicherheitsmaßnahmen wie rollenspezifische Zugangskontrollen und Authentifizierung oder Erfassung von Datenmanipulation durch Logging und Hashing für umfassende Sicherheit und Datenintegrität sorgen.
• 5. Nutzungsfreundlichkeit: 
  Die beste Lösung nützt nichts, wenn sie nicht tagtäglich verwendet wird. Deshalb sollten Verantwortliche bei der Auswahl einer passenden Softwarelösung für ihre Datenarchive darauf achten, dass diese mit einer intuitiven Bedienoberfläche, hoher Kompatibilität mit anderen Systemen und einem übersichtlichen Dashboard punktet.

Unternehmen langfristig für die Zukunft wappnen

Mit der NIS-2-Richtlinie betritt die EU ein neues Zeitalter der Cybersicherheit. Diese ist dabei keineswegs ein Schönwettergesetz, sie ist ein Regelwerk, das IT-Sicherheitsstrategien zwingend aufrüstet, so als ob jedes Unternehmen permanent unter Beschuss stünde. Die passende Cybersecurity-Lösung bietet hier eine wertvolle Unterstützung, indem sie Datenarchive als integralen Bestandteil der Sicherheitsstrategie positioniert, eine schnelle Wiederherstellung nach Angriffen ermöglicht und durch eine benutzerfreundliche, zentrale Infrastruktur die kontinuierliche Einhaltung der NIS-2-Vorgaben gewährleistet. Unternehmen profitieren von einer sicheren Datenumgebung, die die Einhaltung gesetzlicher Vorgaben vereinfacht und dabei hilft, ihre kritischen Geschäftsprozesse gegen die zunehmenden Cyberbedrohungen abzusichern. 

Autor:
Alexander Best
Senior Director Product Management
DataCore Software GmbH