Ist Ihre Cloud NIS2-bereit?

Die Sicherstellung, dass die Cloud sicher, konform und belastbar ist, gehört zu den Aufgaben der Cloud-Kunden. Eine der kommenden Gesetze, die 2024 in Kraft treten werden, ist die Richtlinie der Europäischen Union über Netzwerk- und Informationssysteme 2 (NIS2), Europas umfassendste Cybersicherheitsgesetzgebung. Dieser Blogbeitrag bietet einen Überblick über die NIS2-Richtlinie, wie sie sich auf Sie und Ihre Cloud auswirken könnte und wie Sie sich darauf vorbereiten können.

NIS2-Überblick

Die Richtlinie über Netzwerk- und Informationssysteme (NIS) wurde erstmals im Juli 2016 eingeführt, um die Cybersicherheit und Cyberresistenz in der gesamten Europäischen Union auf ein höheres Niveau zu heben. NIS wurde entwickelt, um Sicherheitsgrundlagen für Anbieter und Betreiber digitaler Dienste festzulegen, um die Risiken von Cyberangriffen zu mindern. Angesichts der Tatsache, dass Cyberangriffe in den letzten Jahren immer ausgefeilter und häufiger wurden und Cloud-Computing in großem Umfang eingeführt wurde, ist die NIS-Richtlinie in Bezug auf die komplexe Landschaft der Unternehmenssysteme jedoch nicht mehr wirksam.

Die neue Version der NIS-Richtlinie, nämlich die NIS2-Richtlinie, wurde im Dezember 2022 im EU-Amtsblatt veröffentlicht und trat im Januar 2023 in Kraft. Im Vergleich zu NIS stellt NIS2 strengere Anforderungen und betrifft mehr Sektoren, sodass der Schwerpunkt auf der Geschäftskontinuität der Unternehmen liegt. Bis zum 17. Oktober 2024 müssen die Mitgliedstaaten der Europäischen Union die NIS2-Richtlinie verabschieden und in ihren nationalen Gesetzen veröffentlichen. Das ultimative Ziel der NIS2-Richtlinie besteht darin, sicherzustellen, dass mehr Unternehmen über eine bessere Cybersicherheitsstrategie gegen mögliche Cybersicherheitsvorfälle verfügen.

Ziele

Im Allgemeinen gibt es vier Hauptziele der NIS2-Richtlinie:

1. Verwaltung von Sicherheitsrisiken
   Unternehmen müssen sich der potenziellen Risiken für die Unternehmen, ihre Dienstleistungen/Unternehmen, Mitarbeiter und Vermögenswerte, d. h. Systeme und Infrastrukturen, bewusst sein. Durch das Management potenzieller Sicherheitsrisiken, die die Unternehmen bedrohen könnten, könnten Unternehmen die notwendigen Cybersicherheitsmaßnahmen planen, um die Risiken zu verhindern oder zu minimieren.
2. Schutz vor Cyberangriffen
   Unternehmen müssen auf potenzielle Cyberangriffe vorbereitet sein, die sie bedrohen könnten, selbst für die ungeplanten Szenarien aus den ersten Zielen. Sicherzustellen, dass die Mitarbeiter über Sicherheitsbewusstsein und Schulung verfügen und dass die Ressourcen korrekt und sicher konfiguriert sind, würde den Unternehmen helfen, Cyberangriffen immer einen Schritt voraus zu sein.
3. Erkennung von Cybersicherheitsvorfällen
   Unternehmen müssen in der Lage sein, Cybersicherheitsvorfälle zu erkennen, wenn sie auftreten. Sie müssen eine kontinuierliche Überwachung der Mitarbeiter und Vermögenswerte ermöglichen und proaktiv Sicherheitsereignisse erkennen, die zu Vorfällen führen könnten.
4. Minimierung der Auswirkungen von Cybersicherheitsvorfällen
   Im Falle von Cybersicherheitsvorfällen müssen die Unternehmen so schnell wie möglich reagieren und die Vorfälle beheben, um die Auswirkungen auf die Unternehmen zu minimieren. Die Unternehmen müssen auch analysieren, wie die Vorfälle passiert sind und sich auf die Unternehmen ausgewirkt haben, und überlegen, wie die Vorfälle in Zukunft vermieden werden können.

Betroffene Entitäten

Die NIS2-Richtlinie betrifft Unternehmen, die in den Mitgliedstaaten der Europäischen Union ansässig sind oder tätig sind, wie folgt:

• Mittlere Unternehmen mit 50 bis 250 Mitarbeitern, einem Umsatz von 10 bis 50 Millionen Euro und einer Bilanz von weniger als 43 Millionen Euro.
• Große Unternehmen mit über 250 Mitarbeitern, 50 Millionen Euro Umsatz und einer Bilanz von mehr als 43 Millionen Euro.
• Unternehmen, die in den folgenden wesentlichen Kategorien tätig sind:
  Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, digitale Infrastruktur, Energie, Trinkwasser, Abwasser, IKT-Servicemanagement für B2B, öffentliche Verwaltung und Raumfahrt.
• Unternehmen, die in den folgenden wichtigen Kategorien tätig sind:
  Digitale Anbieter, Herstellung, Produktion und Vertrieb von Chemikalien, Herstellung, Abfallwirtschaft, Forschung, Lebensmittelherstellung, -verarbeitung und -verteilung sowie Post- und Kurierdienste

Die Unternehmen werden in der Lage sein, sich selbst zu registrieren und festzustellen, ob ihre Unternehmen oder Dienstleistungen in den Geltungsbereich von NIS2 fallen. Die Nichteinhaltung der NIS2-Vorschriften kann zu Bußgeldern in Höhe von bis zu 10% des Jahresumsatzes des Unternehmens oder zu einem vorübergehenden Verbot der Ausübung von Führungsaufgaben gegenüber dem Managementteam des Unternehmens führen.

So könnten Sie Ihre Cloud auf NIS2 vorbereiten

NIS2 wirkt sich auf Cloud-Anbieter und Unternehmen aus, die Cloud-Infrastrukturen als Cloud-Kunden nutzen und von Cloud Computing gesteuert werden Modell der geteilten Verantwortung. Cloud-Anbieter sind für die Sicherheitsmaßnahmen zum Schutz der Infrastruktur verantwortlich, auf der alle angebotenen Cloud-Dienste ausgeführt werden. In der Zwischenzeit sind Cloud-Kunden für Sicherheitsmaßnahmen zum Schutz ihrer Cloud-Ressourcen verantwortlich.

Unternehmen haben mehrere Möglichkeiten, ihre Cloud-Infrastruktur so vorzubereiten, dass sie der NIS2-Richtlinie entspricht:

Machen Sie eine Bestandsaufnahme der verfügbaren Cloud-Ressourcen

Eine Bestandsaufnahme der verfügbaren Cloud-Ressourcen in verschiedenen Cloud-Diensten und Regionen würde helfen, den Zustand der Cloud-Infrastruktur zu ermitteln. Es könnte auch verwendet werden, um potenzielle Risiken zu analysieren, die sich auf die Cloud-Ressourcen auswirken könnten, was dazu beitragen würde, Prioritäten zu setzen, welche Ressourcen zuerst sicher konfiguriert werden sollten.

Cloud-Infrastruktur sicher konfigurieren

Die Cloud-Infrastruktur muss sicher und korrekt konfiguriert sein, um sicherzustellen, dass Unbefugte sie nicht für Cybersicherheitsvorfälle ausnutzen können. Die Einhaltung von Cloud-Sicherheitsstandards und Best Practices, z. B. ISO 27001, PCI-DSS oder CIS-Benchmarks, hilft bei der Messung und Verwaltung der Sicherheitslage der Cloud-Infrastruktur.

Überwachen Sie die Cloud-Infrastruktur

Die Aktivierung der Cloud-Infrastrukturüberwachung würde sicherstellen, dass die Cloud-Ressourcen ordnungsgemäß funktionieren. Verdächtige Aktivitäten könnten erkannt werden, indem die erforderlichen Warnmeldungen ausgegeben werden und die Reaktionszeit auf potenzielle Cybersicherheitsvorfälle verkürzt wird.

Überprüfen Sie proaktiv die Sicherheit und Cyber-Resilienz der Cloud

Die Cloud-Infrastruktur muss auf potenzielle Bedrohungen vorbereitet sein, die sich auf alle Cloud-Ressourcen auswirken können und jederzeit auftreten können, um potenzielle Cybersicherheitsvorfälle zu vermeiden und die Auswirkungen zu minimieren. Regelmäßige Cloud-Sicherheitstests und -bewertungen würden dazu beitragen, potenzielle Sicherheitslücken und blinde Flecken zu erkennen, die Angreifer ausnutzen könnten.

Entwickeln Sie einen Notfallplan

Im Falle von Cybersicherheitsvorfällen würde ein Notfallplan dazu beitragen, die Auswirkungen auf die Entitäten und die Clouds zu minimieren, die Ursachen zu analysieren und die Vorfälle zu beheben. Auf dieser Grundlage könnten neue Cybersicherheitsmaßnahmen entwickelt und umgesetzt werden, um Vorfälle in Zukunft zu vermeiden.

Wie Mitigant Ihnen helfen kann, Ihre Cloud NIS2-fähig zu machen

Mitigant bietet eine sichere und zuverlässige Plattform, um NIS2 für Ihre Cloud mit nur 15 Minuten Onboardingzeit zu erreichen. Verbessern Sie mit Mitigant den Zustand der Cloud-Infrastruktur, um sie sicherer, konformer und belastbarer zu machen.

• Führen Sie eine Bestandsaufnahme der Cloud-Ressourcen in verschiedenen Cloud-Diensten und Regionen durch und überwachen Sie die Cloud auf unerwünschte Änderungen und verdächtige Aktivitäten.
• Führen Sie automatisierte und On-Demand-Cloud-Sicherheitsbewertungen durch, um Sicherheitsrisiken in den Cloud-Ressourcen zu erkennen und zu beheben.
• Erzielen Sie die Einhaltung von Cloud-Sicherheitsstandards und Best Practices wie ISO 27001, CIS Benchmarks, PCI-DSS und BSI C5.
• Bereiten Sie die Cloud darauf vor, gegen potenzielle Cyberangriffe gewappnet zu sein, indem Sie automatisierte Cloud-Angriffssimulationen verwenden, um Sicherheitslücken in ihren Cloud-Sicherheitskontrollen zu erkennen.

‍