gesponsertCRA und NIS2 zur Stärkung der Cybersicherheit in der EU Mit SBOM und NIS2 zu mehr Cyber-Resilienz in der Industrie

Gesponsert von

conplement AG

Mit den Schlagworten Cyber Resilience Act (CRA) und der NIS2-Richtlinie will die EU Unternehmen den Rücken stärken, um den Herausforderungen der Cybersicherheit entgegentreten zu können. Das betrifft weite Bereiche der Anwendung, aber auch des fundamentalen Designs von Software-Produkten und -prozessen. Dieser Beitrag gibt Einblicke, worauf es bei einem Security by Design Ansatz ankommt und wie die SBOM hilft, Schwachstellen zu schließen.

In der Industrie werden eine Vielzahl sensibler Daten verarbeitet und die verschiedenen Produktionsschritte sind besonders anfällig für Cyber-Bedrohungen. Hinzu kommen steigende Anforderungen an die Cybersicherheit neuer Produkte. Im Device Lifecycle Management wird der Schutz vor Cyber-Bedrohungen daher in Zukunft eine immer wichtigere Rolle spielen, nicht nur wegen neuer gesetzlicher Regularien wie CRA und NIS2, sondern auch um die Resilienz des eigenen Netzwerks und das von Kunden nachhaltig zu schützen. Vorausschauende Wartung (Predictive Maintenance) kann dabei eine Schlüsselrolle spielen und die Cybersicherheit der Produktion deutlich verbessern.

Cyber-Resilienz verhindert Cyber-Angriffe oder reduziert deren Auswirkungen auf ein beherrschbares Maß

Im Rahmen der Umsetzung des Cyber Resilience Act (CRA) und der NIS2-Richtlinie gibt die EU Industrieunternehmen ein Regelwerk an die Hand, das vor allem bei der Verbesserung der Cyber Resilience unterstützen soll. Bei den neuen Regelungen geht es verstärkt darum, dass Cyber-Angriffe zwar nie ganz verhindert werden können, diese aber ein Unternehmen oder die Produktion nicht zu stark beeinträchtigen sollen. Natürlich bleibt dabei das Verhindern erfolgreicher Cyberangriffe ein wichtiger Faktor für den Schutz einer Produktionskette. Gelingt die Verhinderung einer Attacke nicht, dürfen Produktion und Produkte darunter nicht leiden.

Wichtig ist, dass ein Unternehmen und seine Produktion in die Lage versetzt werden sollen, einen Hackerattacke möglichst schnell und mit möglichst geringen Folgen zu überstehen. Cyber-Resilienz soll sicherstellen, dass auch erfolgreiche Angriffe abgemildert und beherrschbar werden. Ideal ist es natürlich, wenn es einem Unternehmen gelingt, Cyberattacken weitgehend erfolgreich zu verhindern. Dazu gehören eine optimale Vorbereitung und strukturierte Prozesse, welche die Widerstandsfähigkeit der Produktion sicherstellen.

Um die Resilienz von produzierenden Unternehmen so hoch wie möglich zu halten, gilt es Angriffsvektorenso weit wie möglich zu minimieren. Dazu gehören Cloud-Dienste ebenso wie IoT-Geräte, die Netzwerkinfrastruktur und deren Zugangspunkte. Mit einheitlichen Standards sollen CRA und NIS2 Unternehmen dabei unterstützen, ein sicheres und robustes Cybersicherheitsniveau zu erreichen.

Modernisierung und Investitionen in moderne Sicherheitstechnologien sind unumgänglich

Es liegt auf der Hand, dass Unternehmen in moderne Sicherheitstechnologien investieren müssen, um die Anforderungen von CRA und NIS2 zu erfüllen und um Attacken nachhaltig zu mildern oder deren Folgen abzumildern. Diese Investitionen sind kein Selbstzweck, sondern sollen es Cyberkriminellen so schwer wie möglich machen, einen erfolgreichen Cyberangriff durchzuführen:

• Notwendig ist auch, dass Unternehmen ihre Produktion modernisieren und einen Schwerpunkt auf den Schutz vor Cyber-Bedrohungen legen.

• Hierzu gehören neben Next Generation Firewalls auch Intrusion Detection Systeme, die Verschlüsselung wichtiger Daten und natürlich das regelmäßige Einspielen von Sicherheitsupdates.

Darüber hinaus sollten Unternehmen darauf achten, den „Security-by-Design“-Ansatz für ihre Produkte und die von ihnen eingesetzten Technologien umzusetzen. Dabei geht es vor allem darum, dass Cybersicherheit kein notwendiges Übel ist, sondern ein integraler Bestandteil des gesamten Produktions- und Produktdesigns. Neue Produkte sollten von Anfang an so sicher wie möglich gestaltet werden. In jeder Phase der Produktion sollte die Sicherheit eine vorrangige Rolle spielen und nicht anderen Faktoren untergeordnet werden. Die Sicherheit muss also bereits bei der Produktgestaltung Berücksichtigung finden. Das stellt sicher, dass Sicherheitsfunktionen nicht erst im Nachhinein teuer und ineffizient implementiert werden. Das Ergebnis ist eine maximale Cyber-Resilienz für die gesamte Produktion und deren Produkte. Bei der Resilienz geht es vor allem um die Widerstandsfähigkeit einer Infrastruktur gegenüber Sicherheitsvorfällen.

Sollte es trotz aller Vorbereitungen zu einer erfolgreichen Attacke kommen, muss diese beherrschbar sein und darf die Produktion beziehungsweise die Produkte nicht so stark beeinträchtigen, dass es zu (Total-)Ausfällen oder Datenschutzverletzungen kommt.

Software Bill of Materials im Zusammenhang mit CRA und NIS2

In Verbindung mit der Maximierung der Cyber-Resilienz spielt die „Software Bill of Materials“ (SBOM) eine wichtige Rolle im Zusammenspiel mit CRA und NIS2. Dabei handelt es sich um eine detaillierte und vollständige Auflistung aller Komponenten, die in einer Software enthalten sind. Schließlich kann eine Software nur dann optimal abgesichert werden, wenn ihre Komponenten dokumentiert sind. Das garantiert, dass die Komponenten bei der Konzeption und Implementierung der maximalen Sicherheit berücksichtigt werden. Transparenz und Sicherheit von Softwarekomponenten sind für die Sicherheit von Produkten relevant. Die SBOM ist dabei ein wichtiges Werkzeug, um maximale Transparenz über die in einem Produkt integrierten Softwarekomponenten zu erhalten. Dadurch ist es wiederum möglich, die „Common Vulnerabilities and Exposures“ (CVE) in einem Produkt zu überwachen und bei Sicherheitsproblemen Komponenten schnell zu aktualisieren.

SBOM ist ein wichtiger Weg zur Automatisierung von Sicherheitspatches

Durch den Einsatz einer SBOM können produzierende Unternehmen Sicherheitsvorfälle aktiv überwachen und Lücken schnell schließen. Dabei können die verschiedenen Prozesse automatisiert werden, was die Zeit zwischen der Entdeckung einer Lücke und deren Schließung minimiert. Kommt ein zentrales Device Management System zum Einsatz, können auch mehr oder weniger stark verteilte Systeme und heterogene Umgebungen stets auf dem aktuellen Stand gehalten werden. Treten neue Lücken auf, sorgt ein automatisiertes System dafür, dass vorhandene Patches schnell an ihr Ziel gelangen. Das vermeidet teure Betriebsunterbrechungen und Datensicherheitsvorfälle. Unter dem Strich sinken die Sicherheitskosten, während das Sicherheitsniveau steigt.

Ein Device Lifecycle Management, wie das von omnect, das Sicherheitsupdates automatisiert verteilen kann, bietet also viele Vorteile, und zwar für kleine und große Unternehmen. Einer davon ist die messbare Minimierung von Sicherheitsrisiken. Dazu kommt die weitgehende Sicherheit, dass neue Lücken schnell erkannt und genauso schnell geschlossen werden können.

Genau das sind die Punkte, die in CRA und NIS2 wichtige Faktoren für eine sichere Produktion darstellen. In einer immer unsichereren Welt sorgen Produkte wie omnect Device Management dafür, dass Geräte so optimal wie nur möglich geschützt sind. Das System nimmt Unternehmen viel Arbeit ab und stellt eine weltweite Infrastruktur zur Verfügung, mit der sich ein umspannendes Sicherheitsnetz um die eigenen Produkte spannen lässt.

Davon profitieren große Netzwerke genauso, wie kleinere Umgebungen, in denen die Sicherheit eine genauso wichtige Rolle spielt. Der Einsatz ist DSGVO-konform und stellt gleichzeitig sicher, dass alle notwendigen Maßnahmen ergriffen werden, um die Sicherheit einer IIoT-Infrastruktur zu wahren, unabhängig davon wie unsicher die Zeiten auch werden.

Die Cyber-Resilienz eines Produktes spielt über den gesamten Lebenszyklus hinweg eine wichtige Rolle. Ein optimales, schnelles, automatisiertes und zuverlässiges Patchmanagement ist dabei essenziell. Vorausschauende Updates für alle systemkritischen Komponenten können dabei entscheidend für die Zuverlässigkeit und Sicherheit des Gesamtsystems sein. Schlussendlich können immer Lücken in Systemen auftreten, wichtig ist, diese zu erkennen und so schnell wie nur möglich zu schließen.

Schließlich ist die Cyber-Resilienz ein wichtiger Faktor für die langfristige Sicherheit eines Produktes über den gesamten Lebenszyklus. Gleichzeitig wird die Widerstandsfähigkeit der gesamten Lieferkette erhöht, was letztlich auch zu einer höheren Kundenzufriedenheit führt. Ein Unternehmen wird dadurch widerstandsfähiger gegen Cyber-Bedrohungen aller Art, wovon auch Lieferanten und Kunden erheblich profitieren. Am Ende produzieren sichere Unternehmen sichere Produkte. Genau das ist der Fokus von CRA und NIS2.

(ID:49912576)