Übersetzung der Risikomanagementanforderungen von NIS2 für den OT-Shop-Boden

Während die NIS2-Richtlinie der Europäischen Union in den Mitgliedstaaten Fuß fasst, arbeiten CISOs hart daran, die Einhaltung ihrer Infrastruktur sicherzustellen. Für Organisationen, die auf Operational Technology (OT), Fabriken, Energieversorgungsnetze, maritime Häfen und andere kritische Infrastrukturen angewiesen sind, liegt die echte Herausforderung jedoch weit über dem Serverraum.

NIS2 verlangt einen risikobasierten Ansatz zur Cybersecurity, der von wesentlichen und wichtigen Einrichtungen die Umsetzung von "angemessenen und verhältnismäßigen technischen, operationellen und organisatorischen Maßnahmen" verlangt. Der Haken? Die Richtlinie unterscheidet jedoch nicht zwischen IT- und OT-Umgebungen. Für europäische CISOs wirft sich daher eine drängende Frage auf: Wie übersetzt man die abstrakten Prinzipien des Risikomanagements in praktische Sicherheitskontrollen auf dem OT-Shop-Boden?

Warum OT oft ein blinder Fleck für die Compliance ist

Die meisten OT-Umgebungen wurden nie mit dem Gedanken an Cybersecurity entworfen. Sie priorisieren Verfügbarkeit und Sicherheit über Vertraulichkeit und Integrität. Maschinen laufen auf veralteten PLCs, die lange nach ihrem Lebensende betrieben werden, das Patchen erfolgt aufgrund von Verfügbarkeitsbeschränkungen selten und die Sichtbarkeit von Assets ist berüchtigt schlecht oder nicht vorhanden. Fügt man einen komplexen Lieferantenkreis mit Anbietern, Integratoren und Wartungsdienstleistern hinzu, wird klar: Die Anwendung von NIS2 auf OT ist keine Frage von Copy-Paste von IT-Sicherheitskontrollen und dem Zuschauen von der Ferne.

NIS2-Risikomanagement: Verstehen der Kernanforderungen

Um es kurz zu machen, hier sind die wichtigsten Verpflichtungen im Risikomanagement nach NIS2 (Artikel 21):

· Risikoanalyse und dokumentierte Richtlinien für die Sicherheit von Informationssystemen.

· Verfahren zur Behandlung von Vorfällen, einschließlich Erkennung und Reaktion.

· Geschäftskontinuität, einschließlich Backup und Notfallwiederherstellung.

· Sicherheit in der Lieferkette, die ausgelagerte Dienstleistungen und Lieferanten abdeckt.

· Sicherheit beim Erwerb, der Entwicklung und der Wartung von Netzwerk- und Informationssystemen.

· Behandlung und Offenlegung von Schwachstellen.

· Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen.

· Verwendung von Kryptographie und Verschlüsselung, wo es angemessen ist.

Jede dieser Anforderungen muss für OT angepasst werden, und das ist oft der Punkt, an dem die meisten Compliance-Strategien versagen.

Ein Fahrplan zur OT-zentrierten NIS2-Compliance

Um CISOs zu helfen, die Kluft zwischen Richtlinien, Operationen, Verantwortlichkeiten und Prozessen auf dem Shop-Boden zu überbrücken, finden Sie hier einen 4-phasigen Fahrplan für ein OT-ausgerichtetes NIS2-Risikomanagement.

Phase 1: Governance und OT-spezifische Risikoeigentümerschaft etablieren

· Ernennen Sie einen Cybersecurity-Risikoeigentümer für OT, der dem CISO gegenüber verantwortlich ist.

· Integrieren Sie OT in unternehmensweite Governance-Rahmenwerke für Cybersicherheit.

· Bilden Sie ein funktionsübergreifendes NIS2-Lenkungskomitee, das OT-Ingenieure, Sicherheitsbeauftragte, Beschaffung und IT-Sicherheit umfasst.

Empfehlung: Kartieren Sie das Verantwortungsmodell mit RACI unter Verwendung klar definierter und zugeordneter Verantwortlichkeiten, um Mehrdeutigkeiten bei der Reaktion auf Vorfälle oder der Aufsicht über Anbieter zu vermeiden. IEC 62443 kann als Leitfaden verwendet werden.

Phase 2: Durchführung einer OT-Risiko- und Asset-Basislinie

· Führen Sie ein Inventar von OT-Assets mit einer Lösung wie Shieldworkz durch und überprüfen Sie die Klassifizierung. Dokumentieren Sie Geräte, Protokolle und Netzsegmente.

· Kartieren Sie Bedrohungen und Schwachstellen in kritischen Produktionszonen (ausgerichtet auf IEC 62443-Zonen und -Leitungen).

· Nutzen Sie einen maßgeschneiderten Risikobewertungsrahmen wie ISO/IEC 27005, der auf OT angewendet wird, oder MITRE ATT&CK für ICS), um Szenarien wie durch Ransomware verursachte Ausfallzeiten oder Kompromittierungen der Lieferkette vorauszuplanen.

· Verstehen Sie das aktuelle OT-Sicherheitsniveau.

Liefergegenstand: Umfassendes OT-Risikoregister, das spezifische NIS2-Kontrollen mit Wahrscheinlichkeit-Auswirkungs- Bewertungen verknüpft.

Phase 3: Technische und organisatorische Kontrollen umsetzen

· Pflegen und aktualisieren Sie ein genaues Inventar aller Assets, einschließlich veralteter Systeme.

· Setzen Sie Netzwerksegmentierung, Firewalls und Kontrollen ein, wo es möglich ist.

· Etablieren Sie OT-spezifische Erkennungsmöglichkeiten (ICS-bewusste IDS, Protokollanomalieerkennung. Überlegen Sie eine Lösung zur Netzwerküberwachung und -reaktion).

· Definieren und üben Sie Incident-Response-Pläne für OT-Szenarien und dokumentieren Sie Erkenntnisse.

· Erstellen oder aktualisieren Sie regelmäßig Pläne zur Geschäftskontinuität, um Produktionsausfälle, Failover und manuelles Backup zu berücksichtigen. Verbinden Sie dies mit dem Incident-Response-Aspekt.

· Wenden Sie Governance-Regeln für das Patchen an und verfolgen Sie diese, einschließlich risikobasierter Ausnahmebehandlung und kompensierender Kontrollen.

Hinweis: Die "angemessenen" Kontrollen sollten die Sicherheits- und Verfügbarkeitsauflagen, die für OT einzigartig sind, berücksichtigen.

Phase 4: Aufrechterhaltung und Verbesserung

· Definieren Sie KPI- und KRI-Metriken zur Messung der Wirksamkeit der Kontrollen (z. B. die durchschnittliche Zeit zur Erkennung von OT-Vorfällen, Anzahl der falschen Positiven, durchschnittliche Entdeckungszeit, Prozentsatz der gepatchten kritischen Assets unter anderem).

· Führen Sie regelmäßige Audits zur Risikobewertung durch ein bewährtes Unternehmen für Sicherheitsrisiken und Fehlstellen in OT durch, überprüfen Sie die Bereitschaft der Führung, bewerten Sie die Wirksamkeit von Richtlinien und üben Sie Vorfallsimulationen, die die OT-Funktion abdecken.

· Sorgen Sie für kontinuierliches Cybersecurity-Training für das OT-Personal zu Cyber-Hygiene und Eskalationswegen.

· Implementieren Sie ein kontinuierliches Verfahren zur Offenlegung und Behebung von Schwachstellen in Abstimmung mit Ihrem nationalen CSIRT.

· Stellen Sie den Check des IEC 62443-Sicherheitsniveaus sicher (Fähigkeit und Ziel)  

NIS2 für den Shop-Boden: CISO-Checkliste

Verwenden Sie diese Checkliste, um die Anpassung Ihres Unternehmens an NIS2 in OT-Umgebungen nachzuverfolgen:

Die Rolle des CISO im OT-Risikomanagement

NIS2 hat die Anforderungen an die Governance der Cybersicherheit angehoben, und es reicht nicht mehr aus, dass sich CISOs ausschließlich auf IT konzentrieren. Die fortschrittlichsten Führungskräfte sind diejenigen, die NIS2 als Katalysator betrachten, um IT und OT-Cybersicherheit unter einer gemeinsamen Risikosprache zu vereinen.

Die Umsetzung der Governance-Politik in der Praxis im OT-Bereich wird Zeit, Ressourcen, Schulungen und kulturelle Ausrichtung erfordern. Aber die Sicherheits- und betrieblichen Vorteile, das reduzierte Risiko von Ausfallzeiten, eine bessere regulatorische Stellung und verbesserte Resilienz machen es zu einer kritischen Investition.

Denken Sie an NIS2? Sprechen Sie mit uns, um mehr über bewährte und umfassende NIS2-Compliance-Maßnahmen zu erfahren. 

Interessiert an einer NIS2-Bereitschaftsbewertung? Sprechen Sie mit uns