Global Threat Intelligence Report Cybersicherheit im Wandel: NIS-2 und die Achillesferse der Software-Lieferkette

Während Cyberkriminelle immer raffinierter vorgehen, rüstet die Europäische Union mit der NIS-2-Richtlinie auf. Doch wie gut sind die Firmen auf die neuen und verschärften Anforderungen vorbereitet? Eine aktuelle Studie zeigt Schwachstellen, besonders in der Software-Lieferkette.

Digitale Bedrohungen lauern mittlerweile an jeder Ecke und es gibt einen besorgniserregenden Anstieg von Ransomware-Angriffen. Laut dem aktuellen Global Threat Intelligence Report von Blackberry ist die Zahl der einzigartigen Malware-Angriffe pro Minute im ersten Quartal 2024 gegenüber dem letzten Berichtszeitraum um mehr als 40 Prozent gestiegen. Besonders betroffen sind kritische Infrastrukturen wie der Finanzsektor, das Gesundheitswesen und Behörden. Als Reaktion auf die aktuelle Bedrohungslage führt die EU die zweite Richtlinie zur Network and Information Security (kurz: NIS-2) ein. Sie verpflichtet Unternehmen unter anderem zu neuen Verfahren für schnellere Angriffsmeldungen, regelmäßigen Mitarbeiterschulungen und der Erstellung eines Geschäftskontinuitätsplans. In Deutschland sind schätzungsweise 25.000 bis 40.000 Unternehmen von der NIS-2-Richtlinie betroffen.

Software-Lieferkette als Achillesferse

Eine weitere aktuelle Studie von Blackberry zeigt, dass sich 54 Prozent der befragten deutschen Unternehmen, die nach eigener Aussage der NIS-2-Richtlinie unterliegen, ausreichend auf ihre Einhaltung vorbereitet fühlen. Während 23 Prozent dieser Gruppe angeben, bereits komplett vorbereitet zu sein, sind 13 Prozent nicht sehr zuversichtlich, die Anforderungen zum Stichtag zu erfüllen. Alarmierend ist, dass 81 Prozent aller befragten Unternehmen in den zwölf Monaten vor der Umfrage mit Schwachstellen oder Angriffen in ihrer Software-Lieferkette konfrontiert waren. Nur 32 Prozent erwarten, innerhalb der ersten vier Stunden nach erfolgreichen Cyberangriffen von betroffenen Partnern und Anbietern informiert zu werden. Eine Verzögerung kann allerdings zu Compliance-Verstößen führen und schwerwiegende Konsequenzen nach sich ziehen, da Unternehmen das Bundesamt für Sicherheit in der Informationstechnik (kurz: BSI) innerhalb von 24 Stunden über einen erheblichen Sicherheitsvorfall in Kenntnis setzen müssen.