Die IT-Sicherheit in Unternehmen beschränkt sich nicht mehr darauf, Schichten von perimeter Schutz aufzubauen. Die von der CNIL im Jahr 2024 veröffentlichten Erfahrungsberichte über massive Datenverletzungen zeigen, dass die ausgenutzten Schwachstellen oft struktureller Natur sind: unzureichende Trennung zwischen Frontend und Backend, fehlende nutzbare Protokollierung, nicht auditierten Subunternehmern. Hier betrachten wir die technischen und regulatorischen Aspekte, die die Verteidigungsstrategie einer Organisation tatsächlich verändern.
Protokollierung und Trennung der Datenströme: die beiden wiederkehrenden blinden Flecken
Die Mehrheit der von der CNIL im Jahr 2024 analysierten Kompromittierungen hat einen gemeinsamen Nenner: Die betroffenen Unternehmen verfügten nicht über eine ausreichende Protokollierung, um die Angriffsfolge nachzuvollziehen. Protokollierung bedeutet nicht, Logs in einer Ecke zu speichern. Die CNIL empfiehlt eine systematische Protokollierung von Anwendungszugriffen, APIs, Systemen und Netzwerken, gekoppelt mit automatisierten Alarmen, die eine schnelle Klärung durch einen menschlichen Operator ermöglichen.
Die effektive Trennung der Daten zwischen den Anwendungsschichten ist die zweite Erkenntnis. Ein Angreifer, der einen Webserver kompromittiert, sollte niemals direkten Zugang zu den Geschäftsdatenbanken haben. Wir empfehlen, Netzwerke in Vertrauenszonen zu segmentieren, mit strengen Filterregeln zwischen jedem Segment, und regelmäßig zu überprüfen, ob diese Regeln durch Infrastrukturänderungen umgangen wurden.
Um diese Praktiken zu vertiefen, erläutern die Informationen der Website Simpler Computing die Ansätze, die für Strukturen geeignet sind, die ihre Sicherheitsarchitektur noch nicht formalisiert haben.
Umsetzung von NIS2 in Frankreich: konkrete Verpflichtungen für Unternehmen
Die Richtlinie NIS2 verändert grundlegend den Umfang der Unternehmen, die Cyber-Sicherheitsverpflichtungen unterliegen. Ihre Umsetzung in französisches Recht verpflichtet die betroffenen Stellen, einen Verantwortlichen für die Sicherheit der Informationssysteme (RSSI) zu benennen, eine jährliche Risikoanalyse durchzuführen und alle signifikanten Vorfälle innerhalb von 24 Stunden zu melden.
Die vorgesehenen Sanktionen können bis zu 2 % des weltweiten Umsatzes oder 10 Millionen Euro betragen. Dieses Strafmaß stellt die Cyber-Sicherheitskonformität auf die gleiche Stufe wie die RGPD-Konformität in Bezug auf das finanzielle Risiko.
Ein häufiger Fehler besteht darin, NIS2 als dokumentarische Übung zu behandeln. Eine Sicherheitsrichtlinie zu erstellen, ohne die technische Umsetzung zu überprüfen, schützt weder vor Angriffen noch vor Sanktionen. Wir beobachten, dass die Unternehmen, die das Beste aus dieser regulatorischen Anforderung herausholen, diejenigen sind, die die Risikoanalyse in ihren Projektmanagementzyklus integrieren, nicht in einen starren Jahresbericht.
Erwartete technische und organisatorische Maßnahmen
- Einrichtung eines Prozesses zur Erkennung von Vorfällen mit aktualisierten Kompromittierungsindikatoren und einem definierten Eskalationsweg, bevor eine Krise eintritt.
- Integration von Sicherheitsanforderungen in die Verträge mit Subunternehmern, einschließlich eines Prüfungsrechts und einer Benachrichtigungspflicht im Falle einer Kompromittierung ihres eigenen Informationssystems.
- Regelmäßige Überprüfung der Sicherheit von Dienstleistern, die Zugang zu Daten oder Systemen haben, durch technische Tests oder strukturierte Fragebögen.
Cyber Resilience Act: Was sich für Software und vernetzte Geräte in Unternehmen ändert
Die europäische Verordnung 2024/2847, auch bekannt als Cyber Resilience Act (CRA), veröffentlicht im Amtsblatt der EU am 20. November 2024, führt Sicherheitsanforderungen bereits bei der Entwicklung für alle Produkte mit digitalen Elementen ein. Konkret muss jede Software oder jedes vernetzte Gerät, das in der EU vermarktet wird, Sicherheitskriterien ab dem Zeitpunkt der Markteinführung erfüllen.
Für die Unternehmen, die diese Produkte nutzen, ist die Auswirkung indirekt, aber real. Softwareanbieter und Gerätehersteller müssen Sicherheitsupdates während der gesamten vorgesehenen Lebensdauer des Produkts bereitstellen. Ein Produkt ohne Patch-Management kann nicht mehr legal vermarktet werden. Dies verändert die Art und Weise, wie Anbieter bewertet werden: Das Kriterium der Softwarewartung wird zu einem Kriterium der regulatorischen Konformität, nicht nur zu einem kommerziellen Vorteil.
Unternehmen, die maßgeschneiderte Softwarelösungen oder industrielle vernetzte Geräte verwenden, müssen jetzt bereits die Frage des sicheren Lebenszyklus dieser Produkte antizipieren. Ein IoT-Sensor, der ohne Update-Politik eingesetzt wird, wird zu einem Schwachpunkt und einem Risiko für die Nichteinhaltung.
Management von Subunternehmern: das Glied, das die Sicherheitsrichtlinien ignorieren
Die von der CNIL analysierten massiven Datenverletzungen zeigen, dass die Kompromittierung regelmäßig über einen Dienstleister erfolgt. Ein Subunternehmer, der mit privilegierten Zugangsdaten auf Ihr Informationssystem zugreift und ohne Aufsicht arbeitet, stellt ein Risiko dar, das dem Fehlen einer Firewall entspricht.
Die CNIL empfiehlt, die anwendbaren Sicherheitsanforderungen ausdrücklich in die Verträge mit Subunternehmern aufzunehmen. Dies geht über eine allgemeine Vertraulichkeitsklausel hinaus:
- Die erwarteten Schutzmaßnahmen (Verschlüsselung, Mehrfaktor-Authentifizierung, Zugangstrennung) mit überprüfbaren Kriterien festzulegen.
- Ein technisches Prüfungsrecht vorzusehen, das mindestens einmal jährlich oder nach jedem vom Dienstleister gemeldeten Vorfall ausgeübt wird.
- Eine schnelle Benachrichtigung im Falle einer Kompromittierung des Systems des Subunternehmers zu verlangen, auch wenn die Daten Ihres Unternehmens nicht direkt betroffen zu sein scheinen.
Ein nicht auditiertes Subunternehmen ist ein offenes Tor zu Ihrem Informationssystem. Die vertragliche Formalisierung allein reicht nicht aus: Ohne technische Überprüfung bleibt sie deklarativ.
Unternehmen, die ihre IT-Sicherheit im Jahr 2024 stärken, können sich nicht mehr darauf beschränken, nur ihren eigenen Bereich zu schützen. Zwischen NIS2, dem Cyber Resilience Act und den Rückmeldungen der CNIL erfordert der regulatorische Rahmen nun einen umfassenden Ansatz für die gesamte digitale Wertschöpfungskette. Sicherheit wird sowohl in Verträgen und Audits als auch in Firewalls gespielt.
