Gut Ding will Weile haben. Zum Zeitpunkt der Veröffentlichung dieses Artikels befand sich der Gesetzentwurf zur Cybersicherheit und Resilienz (CSRB) Anfang September noch in der Ausschussphase im Oberhaus. Es besteht die Hoffnung, dass er nach zahlreichen Verzögerungen noch in diesem Jahr in Kraft treten wird. Er verspricht unter anderem, den Kreis der betroffenen Organisationen zu erweitern, die Anforderungen an die Reaktion auf Sicherheitsvorfälle zu verschärfen und neue grundlegende Sicherheitsstandards einzuführen.
Noch interessanter ist jedoch, was als Nächstes kommt. Was verrät uns der Gesetzentwurf über die zukünftige Entwicklung der regulatorischen Erwartungen? Und was können Organisationen (auch solche, die derzeit nicht unter den Gesetzentwurf fallen) tun, um sich auf mögliche zukünftige Entwicklungen vorzubereiten?
Die große Verschiebung
Der wichtigste Hinweis auf die zukünftige Entwicklung liegt bereits im Titel des Gesetzesentwurfs. Es geht darum, Cybersicherheit von einer isolierten, der IT zugeordneten Funktion hin zu einem zentralen Bestandteil der Organisation zu entwickeln. Gleichzeitig rückt er Resilienz als Ziel der Sicherheitsteams in den Vordergrund, anstatt lediglich Angreifer fernzuhalten und eine willkürliche Liste technischer Kontrollen zu erfüllen.
Resilienz bedeutet in diesem Zusammenhang, Sicherheitslücken zu akzeptieren – wie könnten sie auch nicht auftreten in einer Welt, in der leistungsstarke KI das Zeitfenster für Angriffe immer weiter verkürzt und Angreifern hilft, ihre Fähigkeiten in verschiedenen Disziplinen auszubauen? Entscheidend ist, dass die Organisation ihren Betrieb aufrechterhalten kann, während sie die Bedrohung eindämmt und sich so schnell wie möglich erholt.
Dies rückt Cybersicherheit in den Fokus der Vorstandsetagen, da es die Sorgen von Unternehmensleitern berührt: operative Risiken, Geschäftskontinuität, finanzielle und Reputationsschäden.
„Die neuen Anforderungen des Gesetzesentwurfs bedeuten, dass Cybersicherheit und Resilienz von den Vorständen als ein entscheidendes strategisches Thema und nicht nur als eine separate IT-Herausforderung betrachtet werden müssen“, sagte James Morris, Direktor der gemeinnützigen Organisation CSBR, gegenüber IO (ehemals ISMS.online).
„Das bedeutet, dass die Kundenerwartungen hinsichtlich Sicherheit und Resilienz im Beschaffungsprozess sowie bei der laufenden Bereitstellung von Produkten und Dienstleistungen steigen werden. Cybersicherheit und Resilienz müssen im Mittelpunkt der Governance-Überlegungen stehen und in strategischen Vorstandsdiskussionen höchste Priorität genießen.“
Diese Botschaft ist in der gesamten Regierung einheitlich. Ihr Verhaltenskodex für Cyber-Governance bekräftigt, dass Cyberrisiken Geschäftsrisiken darstellen und von den Verantwortlichen effektiv gesteuert werden müssen. Sicherheitsbeauftragte managen die alltäglichen Risiken und Kontrollen, die Verantwortung für die Risikoüberwachung und -sicherung liegt jedoch beim Vorstand. Die Selbstverpflichtung zur Cyber-Resilienz richtet sich ebenfalls direkt an Unternehmensleiter. Unterzeichnende Organisationen müssen Schulungen zur Unternehmensführung absolvieren, sich zur Nutzung des Frühwarnsystems des NCSC verpflichten, Cyber Essentials in ihren Lieferketten implementieren und jährliche Aktualisierungen veröffentlichen.
Kurz gesagt, die Erwartungen an die Regierung werden immer deutlicher, und Resilienz steht im Mittelpunkt.
Was könnte als Nächstes kommen?
Vor diesem Hintergrund ist es auch hilfreich zu verstehen, wie sich das CSRB-Regime weiterentwickeln könnte. Tatsächlich ist sein Anwendungsbereich noch deutlich begrenzter als der von NIS2. Entscheidend ist jedoch, dass es dem Staatssekretär die Befugnis gibt, den Rahmen zu aktualisieren, um neue Sektoren und Teilsektoren in das Regime aufzunehmen sowie die Zuständigkeiten und Funktionen der Regulierungsbehörden zu ändern. Die Konsequenz ist klar: Wenn Ihr Sektor heute nicht erfasst ist, sollten Sie nicht davon ausgehen, dass er morgen noch ausgenommen ist.
„Während der Abstimmung gab es Druck, weitergehende Maßnahmen zu ergreifen, wobei der Einzelhandel und das verarbeitende Gewerbe als offensichtliche Lücken genannt wurden“, erklärt Dennis Martin, Experte für Krisen- und Cybersicherheit bei Axians UK, gegenüber IO. „Diesmal wurden sie nicht berücksichtigt, aber angesichts der Angriffe auf Einzelhändler in den letzten Jahren erwarte ich, dass diese Diskussion im September erneut aufkommen wird.“
Die Lieferkettenbestimmungen des CSRB werden indirekt auch eine Vielzahl neuer Organisationen in seinen Geltungsbereich einbeziehen, indem sie größere Geschäftspartner zu einem strengeren Management von Drittparteirisiken verpflichten. Zudem ermächtigt es den Staatssekretär, jeden Lieferanten zu benennen, dessen Ausfall erhebliche Störungen für ein reguliertes Unternehmen verursachen könnte.
„Regulierungsbehörden konzentrieren sich zunehmend darauf, wie kritische Dienstleistungen über vernetzte Lieferketten hinweg erbracht werden. Das bedeutet, dass Resilienz nicht mehr allein innerhalb der Mauern eines Unternehmens bewertet werden kann“, erklärt Dave Hughes, Partner bei Eversheds Sutherland, gegenüber IO. „Eine effektive Überwachung wichtiger Lieferanten und Drittanbieter, unterstützt durch kontinuierliches Monitoring und klare vertragliche Erwartungen, wird zu einem wesentlichen Bestandteil des Nachweises von Cyberresilienz.“
Es ist außerdem wichtig zu beachten, dass das CSRB neue Erwartungen an Best Practices im Bereich Cybersicherheit und Resilienz aus technischer Sicht mit sich bringen wird. Das Cyber Assessment Framework (CAF) des NCSC wird hierbei ein zentrales Dokument sein; Organisationen, die ihre Cybersicherheits- und Compliance-Strategie zukunftssicher gestalten möchten, sollten es daher unbedingt berücksichtigen.
Und noch eine letzte wichtige Änderung: Das CSRB wird die Aufsichtsbehörden befähigen, die betroffenen Organisationen kontinuierlich zu überwachen – ein Bruch mit dem bisherigen, ereignisorientierten Modell. Dies ist derzeit noch Theorie und hängt von vielen Faktoren ab, insbesondere von der Finanzierung und den Kapazitäten der Aufsichtsbehörden. Es signalisiert jedoch, dass die Regierung zunehmend erwartet, dass die Einhaltung der Vorschriften kontinuierlich gesteuert werden muss.
Vernetzt und kontinuierlich
Experten sind sich einig. „Statische jährliche Compliance-Prüfungen sind überholt, wenn Angreifer nicht auf ein Audit warten. Sollte das CSRB in seiner jetzigen Form Gesetz werden, könnten Cloud-Anbieter, Rechenzentren und Managed Service Provider (MSPs) vor einem Vorfall geprüft werden, nicht nur zu regulären Terminen oder nach einem Angriff“, erklärt Martin von Axians UK.
„Darüber hinaus fordert der Gesetzentwurf eine 24-stündige Frühwarnung, gefolgt von einem vollständigen Bericht innerhalb von 72 Stunden an die zuständige Regulierungsbehörde und das NCSC. In bestimmten Fällen ist auch eine Benachrichtigung der Kunden erforderlich. Dies erfordert eine kontinuierliche Überwachung. Ohne ständige Transparenz Ihres Netzwerks können Sie die zuständigen Organisationen nicht rechtzeitig informieren.“
Aben Pagar, Leiter der digitalen Risikoberatung bei Konexo, stimmt dem zu. „Kontinuierliche Überwachung und Qualitätssicherung gewinnen zunehmend an Bedeutung, da die Aufsichtsbehörden über punktuelle Compliance-Prüfungen hinausgehen“, erklärt er gegenüber IO. „Unternehmen benötigen ständige Transparenz hinsichtlich Risiken, der Wirksamkeit ihrer Kontrollen und ihrer Resilienz. Wer kontinuierliche Überwachung, Tests und Verbesserungen nachweisen kann, ist im Vergleich zu Unternehmen, die sich ausschließlich auf periodische Compliance-Prüfungen verlassen, wahrscheinlich besser aufgestellt.“
Organisationen müssen nicht nur ihre Compliance-Programme von Momentaufnahmen des aktuellen Zustands wegführen, sondern sollten auch die Überschneidungen zwischen ehemals voneinander getrennten Funktionen genauer betrachten, fügt Pagar hinzu.
„Organisationen erkennen, dass Cyberresilienz nicht isoliert existiert. Themen wie KI-Governance, Datenschutz, Datensicherheit und Technologierisiken sind zunehmend miteinander verknüpft und erfordern einen ganzheitlicheren Ansatz für Governance und Risikomanagement“, argumentiert er.
Ein ausgereifter Ansatz wie dieser, der kontinuierliche Compliance als Grundlage für Resilienz nutzt, ist laut der jüngsten Regierungsstudie zu Cybersicherheitsvorfällen für viele Organisationen noch in weiter Ferne . Es besteht jedoch kein Zweifel daran, dass die Regulierungsbehörden in diese Richtung tendieren.
Morris vom CSRB beschreibt Resilienz als „sowohl eine technische als auch eine kulturelle Frage“ für Unternehmen.
„Ungeachtet der Anforderungen der neuen Gesetzgebung müssen sich Organisationen darauf konzentrieren, eine Mentalität und Kultur der Resilienz im Zentrum ihrer Geschäftsprozesse zu verankern“, schließt er.
„Das bedeutet strategische Resilienzplanung auf Vorstandsebene und anschließend eine kohärente Umsetzung in die operativen Abläufe des Unternehmens, mit klaren Plänen und Verantwortlichkeiten für wichtige Resilienzmaßnahmen.“
Am besten fängt man jetzt mit der Planung an.
Erweitern Sie Ihr Wissen
Blog: Wie Ransomware zu einem Problem für die Geschäftskontinuität wurde
Webinar: Lieferketten-Compliance meistern
