NIS2-Compliance durch sichere Authentifizierungslösungen

18. September 2024 / Gastbeitrag von Markus Vesely, CEO der A-Trust GmbH

Die bis 17.10.2024 in nationales Recht umzusetzende NIS2-Richtlinie sieht vor, dass betroffene Unternehmen und Organisationen die Vertraulichkeit, Verfügbarkeit und Integrität ihrer Netzwerke und IT-Systeme garantieren müssen. Dies erfordert eine Reihe von Maßnahmen, die alle Bereiche des Unternehmens betreffen, denn die mittlerweile beinahe allumfassende digitale Vernetzung vergrößert auch das Spielfeld für Cyberkriminelle.

Es reicht daher nicht mehr, die nötigen Risikomanagementmaßnahmen ausschließlich für den im engen Sinn wesentlichen Dienst durchzuführen. Die Sicherheit des gesamten Unternehmens muss mit einbezogen werden, um ein Eindringen in die Systeme über vernachlässigte Angriffsvektoren zu verhindern. Denn wenn etwa ein Energieerzeuger zwar genau auf den Schutz seiner Anlagen achtet, in der Administration aber Einfallstore für Hacker:innen übersieht, nützt die vorab getätigte Investition in Anlagensicherheit recht wenig.

Pflicht zur Zugriffskontrolle

Eine wesentliche Rolle bei der Erfüllung der Anforderungen der NIS2-Richtlinie spielen sichere Authentifizierungsmethoden. Unternehmen, die in den Geltungsbereich von NIS2 fallen, müssen ein sicheres Zugriffssystem etablieren, um insbesondere lokale Computer, VPN oder Apps von Cloud-basierten oder On-premise-Anwendungen vor unberechtigtem Zugriff zu schützen.

Hier nimmt Passwortsicherheit, der „Dauerbrenner“ in Sachen Cybersicherheit, eine Schlüsselstellung ein. Unternehmen sollten strenge Richtlinien einführen, um die Verwendung von starken Passwörtern zu fördern. Hier ist auch die Schulung und Stärkung der Awareness der Mitarbeiter:innen wichtig, denn nur wer versteht, weshalb ein – doch oft als mühsam empfundenes – sicheres Passwortmanagement wichtig ist, wird diese Authentifizierungspraktiken akzeptieren. Ebenso sollten regelmäßige Audits und Compliance-Checks durchgeführt werden, um die Einhaltung der Richtlinien zu überprüfen und unterstützen.

Mit der Multi-Faktor-Authentifizierung (MFA) kann sich ein Unternehmen besser vor Phishing, Passwortdiebstahl und anderen Formen des Identitätsdiebstahls schützen, sie minimiert so das Risiko von Cyberangriffen. Die Kombination von Wissenskomponenten wie Passwörtern oder biometrischen Merkmalen mit Besitzkomponenten wie Smartphones, Smartcards oder USB-Tokens macht die MFA zu einer besonders sicheren Form der Zugriffskontrolle und Identitätssicherung.

Doch der Kampf um Cybersicherheit spielt sich nicht nur im virtuellen Raum ab. Im Rahmen von Social Engineering wird immer wieder versucht, auch physisch Zutritt zu kritischen Bereichen eines Unternehmens zu erhalten. Deshalb sollten zur von NIS2 eingeforderten Risikominimierung strenge Zutritts- und Zugriffskontrollen, etwa in Form von elektronischen Mitarbeiterausweisen oder Schlüsselkarten, eingeführt werden – und zwar nicht nur z.B. für das Labor oder die Fertigungshalle, sondern auch für vordergründig nicht sicherheitsrelevante Bereiche.

Höchste Compliance ganz unkompliziert

Die Prozesse sollten jedoch nicht zu kompliziert organisiert sein. Wenn der Arbeitsalltag erschwert wird und der Workflow stockt, besteht die Gefahr, dass im Lauf der Zeit die so wichtigen Sicherheitsmaßnahmen entschärft oder gar umgangen werden. Es braucht daher Nutzer:innen-freundliche Lösungen, die dennoch keine Kompromisse eingehen, was die Sicherheit betrifft.

So bereitet zum Beispiel unsere neue Hash2Sign-Software Dokumente schnell und einfach für die Qualifizierte Elektronische Signatur auf. Da nur der Hash-Wert übermittelt wird, bleibt der Inhalt der zu signierenden Dokumente stets vertraulich. Ein weiteres Beispiel sind unsere SmartCards mit kontaktlosem RFID-Chip. Sie können zum Öffnen von Türen oder für den sicheren Login am PC verwendet werden, damit werden unbefugte Zutritte bzw. Zugriffe verhindert. Mit einem qualifizierten Zertifikat verbunden, ermöglichen sie auch eine schnelle und einfache qualifizierte elektronische Signatur.

NIS2: Chancen nutzen

Als Qualifizierter Vertrauensdiensteanbieter unterliegt A-Trust ja auch selbst der strengen NIS2-Richtlinie, wir kennen daher die Anforderungen genau. Sie umfassen u.a. die Bestimmung des Anwendungsbereichs und die Durchführung von Risikobewertungen, die Entwicklung eines Incident-Response-Plans, die kontinuierliche Überwachung und Pflege des Systems, die Schulung der Mitarbeiter:innen und eine entsprechende Dokumentation und Berichterstattung.

Doch wir sehen NIS2-Compliance nicht nur als Verpflichtung, sondern auch als Möglichkeit, als vertrauenswürdiger Partner im digitalen Zeitalter bei der Stärkung der Resilienz unserer Gesellschaft gegenüber Cyberbedrohungen mitzuwirken. Nutzen wir also gemeinsam den Impuls, den uns die Richtlinie gibt, um den Herausforderungen der Zukunft noch besser begegnen zu können!