Wichtige Cybersicherheitsanforderungen für NIS2: Zertifikatsverwaltung und PKI

Cybersicherheit hat heute für jeden Einzelnen und jede Organisation höchste Priorität. Und mit der zunehmenden Digitalisierung steigt auch die Bedrohung durch Cyberangriffe - die Einhaltung von Sicherheitsvorschriften ist daher wichtiger denn je.

Against this backdrop, organizations must start preparing for NIS2, an updated framework from the European Union designed to further enhance the security and resilience of critical infrastructure. 

To help security teams with NIS2 compliance, Keyfactor recently led a webinar focused on strengthening cybersecurity through robust certificate management and public key infrastructure (PKI). Specifically, we discussed the expanded definition of critical infrastructure under the NIS2 Directive and the key cybersecurity requirements for compliance, how PKI and digital certificates are critical to establishing trust and secure communications, and the role of certificate management and PKI security in enabling compliance and strengthened defense against cyber threats.

Eine Einführung in NIS2

We’re experiencing more cyber incidents than ever, and the types of threats continue to evolve. This landscape requires organizations of all kinds to be ready to manage risks efficiently and share information about potential incidents to ensure a proper response.

Die NIS2-Richtlinie trägt dieser Entwicklung Rechnung, und da die Frist für die Umsetzung durch die EU-Mitgliedstaaten im September 2024 abläuft, müssen Unternehmen mit der Planung und Budgetierung beginnen, um ihre Sicherheitspraktiken entsprechend anzupassen. Hier finden Sie einen Überblick über das, was Sie wissen müssen, um loszulegen:

Wie verbessert und erweitert NIS2 die NIS1?

In den fast sieben Jahren seit Inkrafttreten der NIS1 haben globale Ereignisse wie COVID, Unterbrechungen der Lieferkette und geopolitische Veränderungen Schwachstellen in der Sicherheit aufgezeigt, die zu einer steigenden Zahl von Vorfällen geführt haben. Darüber hinaus gab es große Unterschiede in der Art und Weise, wie die EU-Mitgliedstaaten die NIS1 umsetzten, was zu Verwirrung führte, insbesondere aufgrund mangelnder Klarheit über die erforderlichen Schwellenwerte für die Einhaltung.

Mit NIS2 sollen diese Probleme gelöst werden. Insbesondere hat die NIS2 bereits zu einer stärkeren Zusammenarbeit zwischen den Mitgliedstaaten geführt, sie umfasst mehr Sektoren, um den Erfassungsbereich auf etwa 20 Mal mehr Organisationen als die NIS1 auszudehnen, und sie verfolgt bei der Durchsetzung einen "Zuckerbrot-und-Peitsche"-Ansatz, ähnlich wie die DSGVO, indem sie mehr Strafmaßnahmen für die Nichteinhaltung einführt.

Wer sollte sich für NIS2 interessieren?

NIS2 betrifft alle Einrichtungen, die wesentliche oder wichtige Dienstleistungen für die europäische Wirtschaft und Gesellschaft erbringen, einschließlich Unternehmen und Zulieferer. Zu den von NIS2 erfassten Sektoren gehören "wichtige Einrichtungen" und "wesentliche Einrichtungen". Unverzichtbare Einrichtungen sind z. B. Unternehmen des Gesundheitswesens, der Energiewirtschaft und des Verkehrssektors, für die eine Unterbrechung der Dienste schwerwiegende Folgen für die Gesellschaft oder die Wirtschaft haben könnte. Zu den wichtigen Einrichtungen gehören Produktionsunternehmen, Postdienste, die Abfallwirtschaft und digitale Anbieter wie Suchmaschinen, soziale Netzwerke und Online-Marktplätze.

Obwohl die NIS2 beide Arten von Sektoren abdeckt, unterscheiden sich die Anforderungen an die Einhaltung der Vorschriften für beide. Wesentliche Unternehmen müssen beispielsweise regelmäßiger Audits durchführen als wichtige Unternehmen. Aber auch kleinere Unternehmen sind nicht zwangsläufig ausgeschlossen, da die Mitgliedstaaten bestimmte Anforderungen in ihrem Zuständigkeitsbereich aktualisieren können, z. B. indem sie mehr Audits von Anbietern staatlicher Dienstleistungen verlangen.

Wie sieht es mit open-source aus?

NIS2 erkennt den Wert von open-source Cybersecurity-Tools und -Standards an, insbesondere wenn es darum geht, die Kosten für kleine und mittlere Unternehmen zu minimieren. Allerdings verlangt die Richtlinie, dass Organisationen, die diese open-source Lösungen nutzen, diese auch nachhaltig einsetzen. 

So heißt es beispielsweise in Erwägungsgrund 52: "Open-source Cybersecurity-Werkzeuge und -Anwendungen können zu einem höheren Grad an Offenheit beitragen und sich positiv auf die Effizienz der industriellen Innovation auswirken. Offene Standards erleichtern die Interoperabilität zwischen Sicherheitswerkzeugen, was der Sicherheit der industriellen Akteure zugute kommt".

Wie fügt sich NIS2 in das Gesamtbild der Cybersicherheit ein?

NIS2 is one of many directives, standards, and regulations used worldwide and often used in combination with others. The exact standards that apply to each company depend on vertical and geography, among other factors, but it’s important to be aware of each of these global requirements. In general, we are moving into a time when companies must have a greater awareness and better implementation of cybersecurity and risk management policies.

Vorbereitung auf die NIS2: Was die betroffenen Einrichtungen jetzt tun müssen

Es ist wichtig, jetzt mit der Planung und Budgetierung für NIS2 zu beginnen, da die Einhaltung der neuen Richtlinie je nach Sektor, Geografie und Einhaltung anderer Standards, einschließlich NIS1, eine Erhöhung des Budgets um bis zu 10-20 % erfordern könnte.

Was genau beinhaltet die Einhaltung der Vorschriften? Auf höchster Ebene müssen die Unternehmen "geeignete und verhältnismäßige technische und betriebliche Maßnahmen ergreifen". Damit wird der Tatsache Rechnung getragen, dass ein Vorfall, der sich auf bestimmte Organisationen auswirkt, einen Lawineneffekt haben könnte, der andere Unternehmen oder die Gesellschaft im Allgemeinen stark beeinträchtigt. Folglich müssen Organisationen - insbesondere solche, die als wichtige Einrichtungen gelten - ihre Sicherheitsmaßnahmen mit Blick auf diese nachgelagerten Auswirkungen vorbereiten. 

Um damit zu beginnen, müssen die Unternehmen zwei entscheidende Schritte unternehmen:

• Self-assessment: A self-assessment is important for any type of security compliance. This assessment should review potential risks and response measures, that way team members can take steps to proactively mitigate risks and ensure appropriate response protocols are in place. Taking these steps helps better prepare teams, reduce risk, and ensure business continuity when an incident does occur.
• Reporting: The reporting requirement in NIS2 is much stricter than the reporting requirement in NIS1, requiring organizations to have a live status of compliance at all times. This requires a deep understanding of incident reporting and business continuity practices as well as high visibility throughout the organization, meaning a simple spreadsheet won’t suffice. Additionally, it’s important to note that the C-suite and board have direct responsibility for this reporting, which makes training on protocols equally as critical.

Insgesamt bietet die Vorbereitung auf die NIS2-Konformität eine hervorragende Gelegenheit, alle bestehenden Technologien zu aktualisieren, da instabile Infrastrukturen wahrscheinlich nicht das erforderliche Maß an Geschäftskontinuität bieten. In vielen Fällen werden Unternehmen feststellen, dass die Auslagerung bestimmter Supportleistungen mehr Fachwissen und Übersicht bietet, als sie intern bereitstellen können.

Das Gesamtbild verstehen: Wo PKI und Zertifikatsmanagement in die NIS2-Konformität passen

PKI and certificate management become especially important for organizations to get right when it comes to NIS2 compliance. That’s because the new directive requires organizations to introduce zero trust principles (e.g., through multi-factor authentication), regular software updates, network segmentation, identity and access management, code signing, and more – all of which rely on PKI and need proper certificate management to get right.

Wichtig ist, dass die Unternehmen proaktiv in die richtige Infrastruktur investieren und nicht warten, bis ein Problem auftritt. Diese Infrastruktur muss widerstandsfähig und skalierbar sein, um das erforderliche Maß an Geschäftskontinuität zu gewährleisten. Außerdem muss sie ein hohes Maß an Transparenz und Flexibilität bieten, um die gesamte Identitätslandschaft zu verstehen und bei Bedarf neue Zertifikate auszustellen.

Organisationen sollten sich zunächst auf drei Hauptbereiche konzentrieren:

• Take an inventory: Take an inventory of all services and identities to ensure everything is identified and that they are all compliant. Take measures to increase visibility and compliance as needed.
  
  
• Review services: Make sure that services don’t get overloaded. Often, organizations use the same infrastructure for two different purposes (e.g., external and internal needs), but this doesn’t hold up well in the long term and it creates more opportunities for risks.
  
  
• Introduce certificate lifecycle automation: Proper certificate lifecycle automation can help avoid outages, therefore providing business continuity. Certificate lifecycle automation allows teams to maintain visibility into certificates once they’re issued and easily replace them as needed, whether that’s because they’re expiring or are no longer trusted.

NIS2 steht vor der Tür: Ist Ihr Team vorbereitet?

Die Durchsetzung von NIS2 steht vor der Tür, und jetzt ist es an der Zeit, Maßnahmen zu ergreifen. Die neue Richtlinie verbessert und erweitert die NIS1, so dass selbst Organisationen, die die ursprüngliche Richtlinie bereits einhalten, Aktualisierungen vornehmen müssen.

Die Einhaltung von NIS2 sollte nicht auf die leichte Schulter genommen werden, und die Suche nach den richtigen Partnern kann den entscheidenden Unterschied ausmachen, wenn es darum geht, Risiken zu verringern und Strafen zu vermeiden.