NIS2 erklärt: Warum jeder Sicherheitsverantwortliche eine Kryptografie-Strategie braucht

Jahrelang wurde Kryptografie als „Best Practice“ betrachtet: etwas, von dem Sicherheitsteams wussten, dass sie es gut beherrschen sollten, das aber von den Aufsichtsbehörden selten Zeile für Zeile geprüft wurde. Dies ist nun nicht mehr der Fall, da Vorschriften wie die Richtlinie über Netz- und Informationssicherheit (NIS) die Kryptografie in ihren Geltungsbereich aufnehmen. Tatsächlich ist NIS2, die neueste Version der NIS-Richtlinie, das erste EU-Gesetz zur Cybersicherheit, das Kryptografie ausdrücklich nennt und sie damit von einem internen Bestreben zu einer gesetzlichen Anforderung macht, deren Konsequenzen bis in die Führungsetage reichen.

Diese Veränderung ist für jeden Sicherheitsverantwortlichen von Bedeutung, dessen Organisation ein Interesse an der Einhaltung der Vorschriften hat. Im Rahmen von NIS2 ist eine dokumentierte Kryptografie-Richtlinie kein „Nice-to-have“, dessen Erstellung man auf später verschieben kann. Es handelt sich um etwas, das man möglicherweise vorlegen und nachweisen muss – gestützt durch Durchsetzungsbefugnisse, die erhebliche Geldbußen und die persönliche Haftung der Führungskräfte umfassen. Zu verstehen, was die Richtlinie verlangt, und eine Strategie zu entwickeln, die darauf abgestimmt ist, gehört nun zum Aufgabenbereich.

Was NIS2 ist und welchen Geltungsbereich es hat

NIS2 (Richtlinie (EU) 2022/2555) ist die aktualisierte Cybersicherheitsrichtlinie der Europäischen Union. Sie ersetzt die ursprüngliche NIS-Richtlinie und zeichnet sich durch einen deutlich breiteren Anwendungsbereich, eine Meldepflicht für Sicherheitsvorfälle sowie eine direkte Rechenschaftspflicht der Geschäftsleitung aus. In der Praxis werden dadurch weitaus größere Teile der EU-Wirtschaft in den Geltungsbereich gemeinsamer Cybersicherheitsverpflichtungen einbezogen.

Der Geltungsbereich ist beträchtlich. NIS2 umfasst schätzungsweise 160.000 Einrichtungen in 18 kritischen Sektoren und unterteilt diese Organisationen in zwei Stufen:

• Systemrelevante Einrichtungen sind in Sektoren mit hoher Kritikalität tätig, wie beispielsweise Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur und öffentliche Verwaltung.
• Wichtige Unternehmen sind in anderen regulierten Branchen tätig, darunter Postdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und digitale Dienstleister.

Beide Ebenen bringen Verpflichtungen mit sich. Die Umsetzung in nationales Recht ist seit Ablauf der Frist im Oktober 2024 uneinheitlich vorangeschritten, doch die Durchsetzungsbefugnisse und die unmittelbare Wirkung nehmen weiter zu, während die Mitgliedstaaten ihre Umsetzungsgesetze fertigstellen. Das Warten auf vollständige Klarheit in allen Rechtsordnungen ist keine sichere Strategie, wenn die zugrunde liegenden Verpflichtungen bereits gelten.

Artikel 21 Absatz 2 Buchstabe h: das Kryptografie-Mandat

Der Kern der Kryptografie-Verpflichtung ist in Artikel 21 verankert. Er verpflichtet die betroffenen Unternehmen zur Umsetzung von zehn Kategorien von Maßnahmen zum Cybersicherheits-Risikomanagement, wobei in einer davon Kryptografie ausdrücklich genannt wird: dokumentierte Richtlinien und Verfahren für den Einsatz von Kryptografie, die entsprechend der Größe und dem Risikoprofil des Unternehmens anzuwenden sind. Diese Anforderung wird durch übergeordnete Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung und gesicherte Kommunikation gemäß Artikel 21 Absatz 2 Buchstabe j untermauert.

Für Betreiber digitaler Infrastrukturen und Vertrauensdienste gehen die Erwartungen durch eine unmittelbar anwendbare Durchführungsverordnung noch weiter. Diese detaillierten Anforderungen beschreiben, was eine ausgereifte Kryptografie-Richtlinie tatsächlich beinhaltet, und es lohnt sich, sie genau zu lesen, da sie den Maßstab festlegen, an dem Prüfer die Einhaltung messen werden.

Im Kern dient die Richtlinie dem Schutz der Vertraulichkeit, Authentizität und Integrität von Daten, wobei der Geltungsbereich durch die unternehmensinterne Klassifizierung der Vermögenswerte und die Risikobewertung festgelegt wird. Aus dieser Klassifizierung müssen sich zwei Aspekte ableiten lassen:

1. Art, Stärke und Qualität des für jede Anlageklasse erforderlichen kryptografischen Schutzes, der sowohl gespeicherte als auch übertragene Daten umfasst.
2. Die daraus resultierende konkrete genehmigte Liste: Welche Protokolle, welche Algorithmen, welche Verschlüsselungsstärke sowie welche Lösungen und Anwendungspraktiken sind zugelassen?

Dies ist zudem die einzige Stelle im NIS2-Stack, an der kryptografische Flexibilität als ausdrücklich genannte Anforderung genannt wird. Soweit angemessen, sollte die Richtlinie einem Ansatz der kryptografischen Flexibilität folgen, damit Algorithmen entsprechend dem Stand der Technik angepasst werden können.

Das dritte Element ist die Schlüsselverwaltung, die den gesamten Lebenszyklus umfasst. Eine konforme Richtlinie regelt die Generierung, die Ausstellung und den Erhalt von Zertifikaten für öffentliche Schlüssel, die Verteilung und Aktivierung, die Speicherung und den autorisierten Zugriff, die Rotation, den Umgang mit Kompromittierungen, die Sperrung, die Wiederherstellung, die Sicherung und Archivierung, die Vernichtung, die Protokollierung und Prüfung sowie die Aktivierungs- und Deaktivierungsdaten, die die Schlüssel für einen definierten kryptografischen Zeitraum festlegen. Schließlich muss die Richtlinie in geplanten Abständen im Hinblick auf den aktuellen Stand der Kryptografie überprüft werden, damit sie nicht unbemerkt veraltet.

Warum dies eine der am besten überprüfbaren Anforderungen der Richtlinie ist

Die Kryptografie sticht im Rahmen von NIS2 besonders hervor, da sie konkret ist. Viele Maßnahmen des Risikomanagements lassen Raum für Interpretationen, doch eine schriftliche Kryptografie-Richtlinie ist entweder vorhanden und wird durchgesetzt oder sie existiert überhaupt nicht. Hier gibt es keinen Spielraum. Das macht Artikel 21 Absatz 2 Buchstabe h zu einer der am besten überprüfbaren Anforderungen der Richtlinie und zu einer derjenigen, die für eine Aufsichtsbehörde am einfachsten zu prüfen sind.

Bei diesem Test steht viel auf dem Spiel. Bei Nichteinhaltung drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Unternehmen – je nachdem, welcher Betrag höher ist – sowie bis zu 7 Millionen Euro oder 1,4 % für wichtige Unternehmen. Über die finanziellen Risiken hinaus können einige nationale Behörden die Geschäftsführung persönlich haftbar machen und sogar Führungsaufgaben aussetzen. Mit anderen Worten: Die Rechenschaftspflicht endet nicht beim Sicherheitsteam, sondern erstreckt sich auch auf die Personen, die die Risikomanagementmaßnahmen genehmigen und überwachen.

Entwicklung einer Kryptografie-Strategie, die den Anforderungen von NIS2 entspricht

Eine wirksame Reaktion auf NIS2 besteht nicht aus einer einzigen Kontrollmaßnahme. Es handelt sich vielmehr um eine Strategie, die die Bereiche abdeckt, in denen die Richtlinie direkt die Kryptografie betrifft. Sechs Kontrollbereiche übernehmen dabei den Großteil der Arbeit:

• Kryptografie und Verschlüsselungsrichtlinie. Eine dokumentierte Richtlinie, die zugelassene Algorithmen und Mindestschlüssellängen umfasst, mit Nachweisen dafür, dass sie im gesamten Unternehmensnetzwerk durchgesetzt wird.
• Vertraulichkeit der Daten im Ruhezustand und während der Übertragung. Modernste Verschlüsselung für gespeicherte und übertragene Daten, gestützt durch eine interne oder verwaltete PKI, die die Zertifikate ausstellt.
• Mehrfaktor- und kontinuierliche Authentifizierung. Kontinuierliche Authentifizierung für kritische Systeme und Administratorzugriff, die in der Regel über eine zertifikatsbasierte Authentifizierung umgesetzt wird.
• Sichere Kommunikation. Authentifizierte, verschlüsselte Kanäle für die interne Kommunikation und die Notfallkommunikation, einschließlich signierter Nachrichten und Anhänge.
• Kryptografische Sicherheit in der Lieferkette. Bewertung der Lieferanten hinsichtlich der Sicherheit ihrer kryptografischen Verfahren und ihrer Vorkehrungen zur Schlüsselverwahrung gemäß Artikel 21 Absatz 2 Buchstabe d.
• Schlüsselverwaltung und -rotation. Dokumentierte Schlüsselgenerierung, -rotation und -speicherung, gegebenenfalls unter Einsatz von Sicherheitsmodulen nach dem „ hardware “-Standard, sowie Vernichtungsverfahren mit lückenlosem Prüfpfad.

Zusammen verwandeln diese Bereiche eine gesetzliche Vorgabe in ein Betriebsmodell. Jeder einzelne liefert genau die Art von Nachweisen, nach denen bei einer aufsichtsrechtlichen Prüfung gesucht wird.

Von der Theorie auf dem Papier zur praktischen Umsetzung

Hier liegt der Punkt, den Sicherheitsverantwortliche am häufigsten übersehen: Ein Richtliniendokument ist nur die halbe Miete. Bei den NIS2-Aufsichtsprüfungen stehen dokumentierte Richtlinien sowie operative Nachweise im Mittelpunkt – nicht die Absicht allein. Ein Ordner, der bewährte Praktiken beschreibt, aber nie getestet wurde, trägt kaum dazu bei, das Risiko zu verringern. Unternehmen müssen Richtlinien und Verfahren festlegen, umsetzen und anwenden, um zu beurteilen, ob die Risikomanagementmaßnahmen wirksam umgesetzt und aufrechterhalten werden. Die Kontrollmaßnahmen müssen in der Praxis greifen, und Sie müssen dies nachweisen können.

Vorbereitung auf eine NIS2-Aufsichtsprüfung

NIS2-Prüfungen können proaktiv oder durch einen Vorfall ausgelöst werden, daher darf die Vorbereitung nicht erst in letzter Minute erfolgen. Der zuverlässigste Weg, sich vorzubereiten, besteht darin, die Fragen der Prüfer in eine feste Checkliste umzuwandeln:

• Dokumentation der Kryptografie-Richtlinien: Eine schriftliche Richtlinie zu Kryptografie und Verschlüsselung, die zugelassene Algorithmen, Schlüssellängen und Kriterien für die Ausmusterung von Algorithmen umfasst.
• Nachweis der Verschlüsselungsabdeckung: Nachweis, dass sensible Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt sind, einschließlich interner Systeme und nicht nur der nach außen gerichteten.
• Zertifikats- und Schlüsselverzeichnis: Alle Zertifikate und kryptografischen Schlüssel sind mit den Namen der Inhaber und den Ablaufdaten erfasst.
• Durchsetzung der MFA: Für alle Zugriffe auf Verwaltungs- und kritische Systeme ist eine Multi-Faktor- oder kontinuierliche Authentifizierung vorgeschrieben.
• Kryptografische Bewertung von Lieferanten: Direkte Lieferanten und Dienstleister werden hinsichtlich der Sicherheit ihrer kryptografischen Verfahren und der Schlüsselverwaltung bewertet.
• Genehmigung durch das Leitungsgremium: formelle Genehmigung und Überwachung der Maßnahmen zum Kryptografie-Risikomanagement durch das Leitungsgremium.

Zudem muss geprüft werden, ob andere Vorschriften, die durch NIS2 verbindlich werden, für Ihre Organisation gelten, und ob die Erfassung von Zertifikaten, die Zertifikatsverwaltung und die kryptografische Flexibilität in ein und dasselbe Programm integriert werden können. Am besten schneiden diejenigen Unternehmen ab, die ihr Bestandsverzeichnis, ihre Abdeckung und ihre Lieferantenbewertungen so führen, dass sie diese bereits morgen einem Prüfer vorlegen könnten – und nicht erst an dem Tag, an dem ein Vorfallbericht fällig ist.

Wie Keyfactor helfen Keyfactor

KeyfactorDie Plattform des Unternehmens wurde entwickelt, um die kryptografischen Vorgaben der NIS2 in verbindliche, nachweisbare Kontrollmaßnahmen umzusetzen – und nicht nur als bloße Absichtserklärungen auf dem Papier zu belassen.

• Sichere, signierte Kommunikation. SignServer Unterstützt authentifizierte, verschlüsselte Kanäle, einschließlich signierter Nachrichten und Anhänge, für die interne Kommunikation und die Notfallkommunikation.
• PKI-gestützte Verschlüsselung und zertifikatsbasierte Authentifizierung. EJBCA Bietet modernste Verschlüsselung für ruhende und übertragene Daten, gestützt auf eine interne oder verwaltete PKI, die die Zertifikate für die Vertraulichkeit und die zertifikatsbasierte Authentifizierung ausstellt.
• Dokumentierte und durchgesetzte Kryptografie-Richtlinie sowie Schlüsselverwaltung. Keyfactor Command bietet eine dokumentierte Kryptografie-Richtlinie, die zugelassene Algorithmen und Mindestschlüssellängen umfasst, sowie Verfahren zur Schlüsselgenerierung, -rotation und -vernichtung, die durch einen lückenlosen Prüfpfad abgesichert sind und unternehmensweit durchgesetzt werden.

Um einen detaillierteren Überblick darüber zu erhalten, wie sich diese Kontrollmaßnahmen auf die wichtigsten Vorschriften für Hersteller auswirken, laden Sie den „Cryptographic Compliance Guide for Manufacturing“ von Keyfactorherunter.

Handeln Sie und machen Sie sich bereit

NIS2 hat die Grenze zwischen guter Sicherheitspraxis und gesetzlicher Verpflichtung neu gezogen, und die Kryptografie befindet sich nun eindeutig auf der rechtlichen Seite dieser Grenze. Angesichts von Geldstrafen in Millionenhöhe und der drohenden persönlichen Haftung für Führungskräfte können Sicherheitsverantwortliche eine Kryptografie-Strategie nicht länger als Zukunftsaufgabe betrachten.

Die praktischen Ansatzpunkte sind klar: Bringen Sie Ihr Zertifikats- und Schlüsselinventar, Ihre Verschlüsselungsabdeckung sowie die kryptografischen Bewertungen Ihrer Lieferanten in einen auditfähigen Zustand, sichern Sie sich die formelle Freigabe durch die Geschäftsleitung und überprüfen Sie das gesamte Programm regelmäßig im Hinblick auf den aktuellen Stand der Technik. Wenn Sie eine strukturierte Vorlage als Grundlage benötigen, laden Sie den „Cryptographic Compliance Guide for Manufacturing“ herunter und fordern Sie eine Demo an, um zu erfahren, wie „ Keyfactor “ Ihnen bei der Umsetzung helfen kann.

Haben Sie Fragen zu NIS2? Wir haben die Antworten.

Was ist die NIS2-Richtlinie?

NIS2 (Richtlinie (EU) 2022/2555) ist die aktualisierte Cybersicherheitsrichtlinie der EU. Sie ersetzt die ursprüngliche NIS-Richtlinie und zeichnet sich durch einen erweiterten Anwendungsbereich, eine Meldepflicht für Sicherheitsvorfälle sowie eine direkte Rechenschaftspflicht der Geschäftsleitung in 18 Sektoren aus.

Ist für NIS2 eine Verschlüsselung erforderlich?

Artikel 21 Absatz 2 Buchstabe h schreibt dokumentierte Richtlinien und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung vor, die entsprechend der Größe und dem Risikoprofil des Unternehmens anzuwenden sind. Es ist das erste EU-Gesetz zur Cybersicherheit, in dem Kryptografie ausdrücklich genannt wird.

Wer muss die NIS2-Vorschriften einhalten?

Systemrelevante Unternehmen in Sektoren mit hoher Kritikalität wie Energie, Verkehr, Bankwesen, Gesundheitswesen und digitale Infrastruktur müssen die Vorschriften einhalten, ebenso wie wichtige Unternehmen in anderen regulierten Sektoren wie Postdienste, Abfallwirtschaft, Chemie und Lebensmittelproduktion.

Welche Sanktionen sind gemäß NIS2 vorgesehen?

Für wesentliche Unternehmen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Unternehmen drohen Geldbußen von bis zu 7 Millionen Euro oder 1,4 %.

Können Führungskräfte gemäß NIS2 persönlich haftbar gemacht werden?

Ja. Einige nationale Behörden können Führungskräfte persönlich haftbar machen, wenn sie es versäumen, die Cybersicherheitsmaßnahmen zu überwachen, und sie können sogar Führungsaufgaben aussetzen.

Was muss eine NIS2-Kryptografie-Richtlinie enthalten?

Dazu sind eine Klassifizierung der Ressourcen, genehmigte Algorithmen und Protokolle, Mindestschlüssellängen, Auslaufkriterien sowie der Nachweis der Durchsetzung im gesamten System erforderlich. Dies wird durch einen dokumentierten Prozess zur Schlüsselverwaltung und -rotation unterstützt, der den gesamten Lebenszyklus der Schlüssel abdeckt.

Wie geht NIS2 mit der Sicherheit der Lieferkette um?

Gemäß Artikel 21 Absatz 2 Buchstabe d sind Unternehmen verpflichtet, ihre Lieferanten zu bewerten, einschließlich der Sicherheit der kryptografischen Verfahren dieser Lieferanten und ihrer Regelungen zur Schlüsselverwahrung.

Was sollten Sicherheitsverantwortliche als Erstes tun, um sich auf NIS2 vorzubereiten?

Erstellen Sie eine schriftliche Richtlinie zur Kryptografie und Verschlüsselung, erstellen Sie ein Verzeichnis aller Zertifikate und Schlüssel unter Angabe der jeweiligen Inhaber und Ablaufdaten und holen Sie die formelle Genehmigung der Geschäftsleitung für die Risikomanagementmaßnahmen ein.