NIS-2: Cybersecurity ganzheitlich angehen

Bei der Auseinandersetzung mit der neuen Regelung stehen für viele die naheliegenden technischen Maßnahmen zur Stärkung der Informationssicherheit im Vordergrund. Sich nur darauf zu konzentrieren, ist jedoch zu kurz gedacht – die Richtlinie fordert weit mehr! 

Gemäß Artikel 21 verfolgt die NIS-2-Richtlinie einen gefahrenübergreifenden Ansatz, der darauf abzielt, mit den Netz- und Informationssystemen selbst auch ihre physische Umwelt vor Sicherheitsvorfällen zu schützen. 

Damit kommen auch Gefahren wie Feuer, Sabotage, Terroranschläge oder Naturkatastrophen ins Spiel. NIS-2 beinhaltet demnach u.a. Maßnahmen wie Brandschutz und Einbruchschutz – zudem wird noch die Sicherheit des Personals explizit genannt. 

Während Brandmeldeanlagen für viele von NIS-2 betroffene Unternehmen bereits aufgrund anderer Auflagen Pflicht sind, müssen weitere physische Maßnahmen, wie z.B. für den Fassadenschutz womöglich neu eingeführt werden. Insbesondere ein sicheres Zugriffsmanagement ist jetzt unverzichtbar.

Ob virtuelle oder physische Angriffe – bei allen Bedrohungen kommt es darauf an, schnellstmöglich die richtigen Personen zu informieren, um direkt handeln zu können. Das übernehmen die in der Richtlinie genannten gesicherten Notfallkommunikationssysteme, wie z.B. der Alarmserver DAKS®. 

Notfallkommunikations- oder Alarmierungssysteme spielen eine wichtige Rolle bei der Stärkung der Resilienz, wie die folgenden Beispiele aufzeigen:

Beispiel: Eine KI-Kamera mit Gesichtserkennung meldet den Zutrittsversuch einer unbefugten Person. Die Meldung geht direkt an das Sicherheitsteam. Voreingestellte Dienst- und Vertretungsregeln sorgen dafür, dass immer ein Sicherheitsbeauftragter erreichbar ist und die Meldung nicht ins Leere geht.

(Mehr zum Thema Integration von KI-Technologien in Alarmierungssysteme lesen Sie hier.)

Beispiel: Im Rechenzentrum schlägt ein Rauchmelder an. Der Brandschutzbeauftragte wird mit einem lauten Klingelton auf diese dringliche Nachricht aufmerksam gemacht und begibt sich sofort zum Ort des Geschehens, um die Lage zu beurteilen und, wenn möglich, den Brandherd noch vor Eintreffen der Feuerwehr unter Kontrolle zu bringen. 

(Mehr zum Zusammenspiel von Alarmierungssystemen und Brandmeldeanlagen lesen Sie hier.)

Beispiel: Sollte es sich bei der Rauchmeldung aus dem vorigen Beispiel um einen Fehlalarm handeln, hat der herbeieilende Brandschutzbeauftragte innerhalb der Erkundungsfrist die Möglichkeit, die bereits alarmierte Feuerwehr zu entwarnen. Somit entfallen die Gebühren für einen unnötigen Feuerwehreinsatz sowie kostenintensive Ausfälle durch eine Evakuierung des vom Alarm betroffenen Bereichs.

Zu den organisatorischen Maßnahmen zur Stärkung der Resilienz gehört die Incident Response Planung: Das Erstellen von Notfallplänen reicht hier nicht – diese müssen auch regelmäßig getestet und eingeübt werden, um im Falle eines Angriffs schnell wieder betriebsfähig zu sein.

Notfallkommunikations- oder Alarmierungssysteme wie der Alarmserver DAKS überführen die erstellten Notfallpläne in einen automatisierten Prozess, der "auf Knopfdruck" gestartet werden kann. So ist im Alarmfall, auch unter Stress, sofortiges und sicheres Handeln möglich, ohne Fehler befürchten zu müssen. 

Darüber hinaus begünstigen Alarmierungssysteme das regelmäßige Testen und Üben der Notfallpläne. Ebenfalls per Knopfdruck können verschiedene, vordefinierte Alarmszenarien wie unter Live-Bedingungen gestartet und durchgespielt werden. Neben dem Übungseffekt für alle im Notfallplan eingebundenen Personen liefert die Auswertung der Tests wertvolle Erkenntnisse zur Funktionalität und Effektivität der erstellten Pläne. Hier können beispielsweise Ablauffehler detektiert und korrigiert werden, so dass im Echtfall verlässlich alles rund läuft.

Einmal gekaufte und installierte (On-Premise-) Systeme, haben häufig gegenüber SaaS-Systemen den Vorteil, dass die Übungen keine Extrakosten verursachen und damit beliebig häufig durchgeführt werden können, was die Resilienz naturgemäß fördert. Außerdem sollten die eingesetzten Notfallkommunikationssysteme über eine detaillierte Protokollierung verfügen, um die entsprechend aussagekräftige und auch rechtssichere Dokumentation der Vorfälle zu gewährleisten. 

Beispiel: Wegen einer Bombendrohung muss das gesamte Rechenzentrum evakuiert werden – die Arbeit kommt zum Erliegen. Auf einem Dashboard startet der Sicherheitsverantwortliche mit einem einfachen Mausklick den vollständigen und gründlich geübten Alarmierungsprozess. Zunächst wird die Räumung des Gebäudes über die mobilen Telefone der Mitarbeiter geordnet abgewickelt. Die Belegschaften der verschiedenen Stockwerke werden dabei einzeln und nacheinander über bestimmte Fluchtwege zu den Sammelplätzen geleitet. Somit kommt es zu keinen Personenunfällen, die noch weitere Verzögerungen verursachen und den Schaden erhöhen würden. Die Sicherheitsbeauftragten können anhand der Rückmeldungen der Mitarbeitertelefone erkennen, wer die Nachricht noch nicht erhalten hat und eventuell Unterstützung braucht. Außerdem verbindet eine telefonische Krisenkonferenz die verschiedenen Verantwortlichen – Sicherheitsbeauftragte, Krisenmanagement und Einsatzkräfte – und sorgt für den effektiven Informationsaustausch zum Status der Gefahrenlage. Nachdem die Bedrohung eliminiert ist, werden alle Betroffenen ebenfalls durch Auslösung per Mausklick über die Entwarnung informiert und können die Arbeit wieder aufnehmen. Der gesamte Prozess wird in einem detaillierten Protokoll inklusive Zeitstempel dokumentiert.

(Mehr zum Thema Evakuierung lesen Sie hier.)

Gemäß NIS-2 ist das Thema Cybersicherheit ganzheitlich zu denken und beinhaltet neben den naheliegenden technischen auch organisatorische und physische Maßnahmen, die die räumliche Umgebung der zu schützenden Netz- und Informationssysteme betreffen. Notfallkommunikationssysteme sind dabei ein wichtiger Baustein, um die Effektivität der geforderten Resilienzmaßnahmen sicherzustellen.

Als gesichertes Notfallkommunikationssystem hilft DAKS somit auf verschiedenen Ebenen dabei, Sicherheit herzustellen, Resilienz zu erhöhen und Schäden zu vermeiden.