Noch nicht alles in trockenen Tüchern Auswirkungen der NIS-2-Richtlinie auf Datacenter-Betreiber

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

VON ZUR MÜHLEN'SCHE GmbH

Fsas Technologies GmbH

Data Center Group – Büro Köln

Die Europäische Union hat am 16.01.2023 die Netzwerk- und Informationssicherheitsrichtlinie 2 (kurz: NIS-2): über Maßnahmen für ein hohes gemeinsames Cyber-Sicherheitsniveau in der Union) in Kraft gesetzt. Was bedeutet das für die Rechenzentrumsbetreiber?

Cyber-Kriminalität beschäftigt derzeit nicht nur den Staat, sondern auch Unternehmen, Banken, Verbände und eigentlich jeden einzelnen von uns. Unter anderem haben die Phishing-Versuche von Cyber-Kriminellen extrem zugenommen. Auch durch Spionage, Sabotage und Diebstahl von Computertechnik, bis hin zu Identitätsdiebstahl entstehen erhebliche Schäden.

Der Branchenverband Bitkom belegt durch eine Studie: Die deutsche Wirtschaft verzeichnete im Jahr 2023 einen Schaden von 206 Milliarden Euro - nicht nur bedingt durch die kriegerischen Auseinandersetzungen in der Ukraine und in Nahost, sondern auch verstärkt durch die organisierte Kriminalität, die laut Bitkom deutlich zugenommen hat. Aufgrund der rasanten Entwicklung der Künstlichen Intelligenz (KI) und neuer Sprachmodelle wie „ChatGPT“, „Bard zbd“, „LLaMA“ wachsen die Herausforderungen in puncto IT-Sicherheit.

In einem am 02.11.2023 veröffentlichen Bericht zur Lage der IT-Sicherheit in Deutschland, Berichstraum: Vom 1. Juni 2022 bis zum 30. Juni 2023, klärt das Bundesamt für Sicherheit in der Informationstechnik (BSI) nicht nur über diese Situation auf. Der Tenor: „Die Bedrohung im

Cyberraum ist damit so hoch wie nie zuvor.“ Außerdem enthält der Bericht Hinweise aus Maßnahmen, mit denen sich Unternehmen schützen können und was sich im Falle eines Angriffes tun lässt.

Die Umsetzung von NIS-2

Die Mitgliedsländer der EU müssen NIS-2 nun bis zum 17.10.2024 in nationales Recht umsetzen. Grundsätzlich regelt die Richtlinie, dass Betreiber von kritischen Diensten (KRITIS) besondere Maßnahmen zum Schutz vor Angriffen umsetzen müssen. Dazu liegt ein Referentenentwurf des Bundesministeriums des Inneren und für Heimat mit Stand vom 27.09.2023 vor. Das zukünftige Gesetz setzt gleichzeitig das BSI-Gesetz vom 14. August 2009 außer Kraft.

Rechenzentren sind ein besonders sensibler Bereich, da hier viele kritische Daten verarbeitet und gespeichert werden, einige gehören zu den KRITIS-Unternehmen. Physisch sind die Aspekte wie Zutrittsregelung und Gebäudesicherheit (Video-Überwachung), Einbruchschutz, Unterbrechungsfreie Stromversorgung und Angepasste Aufteilung der Stromkreise, zuverlässige Klimatisierung, Netzwerkanbindung und Carrier-Neutralität, genügend Kapazitäten für Datenverarbeitung sowie Daten-Traffic und erhöhte Brandschutzanforderungen zu nennen. Die NIS2-Richtlinie legt jedoch keinen spezifischen Fokus auf physische Sicherheit.

KRITIS im Jahr 2023

Höhere Anforderungen an die physische Sicherheit Kritischer Infrastrukturen

Kentix-Fachtagung über den physischen Schutz von Datacenter

Deutsche Rechenzentren sind keine Trutzburgen, sondern Gruselkabinette

Aber die NIS2-Richtlinie definiert spezifische Anforderungen für Rechenzentren. Einige der Schlüsselanforderungen sind:

Risikobewertung und Etablierung eines robusten Störungs- und Krisen-Management,

Mehrstufige Meldung und enge Zusammenarbeit mit nationalen Cyber-Sicherheitsbehörden im Falle eines Cyber-Sicherheitsvorfalls,

Investitionen in Cyber-Sicherheitsschulungen und -bewusstsein der Mitarbeiter,

Nutzung von Cloud-Computing-Diensten,

Überwachung von Cyber-Sicherheitsbedrohungen und -anfälligkeiten,

Regelmäßiges Überprüfen und Aktualisieren von Kontrollmechanismen,

Konzepte die Betriebsaufrechterhaltung und Sicherheit der Lieferkette,

Multi-Faktor-Authentifizierung,

Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall,

Sicherheit bei Einkauf, Entwicklung und Wartung der IT-Systeme und Hardware,

Personalsicherheit, Zugriffskontrolle und Asset Management sowie

Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung.

Die Kontrolle

Die Betreiber kritischer Anlagen müssen die Einhaltung der Anforderungen mittels durchgeführter Audits, Prüfungen oder Zertifizierungen nachweisen. Sie sollen dies dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe frühestens drei Jahre nach Inkrafttreten dieses Gesetzes und anschließend alle drei Jahre auf geeignete Weise geschehen. Das Amt kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplanes und im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.

Unterschieden werden im aktuellen Stand des Diskussionspapiers in zwei Kategorien von Unternehmen und Organisationen: „Wesentliche Einrichtungen“ und „Wichtige Einrichtungen“.

Wesentliche Einrichtungen sind Großunternehmen mit über 249 Beschäftigten oder mindestens 50 Millionen Euro Umsatz. Sie kommen aus den Branchen: Trink- und Abwasser, Gesundheitswesen, Verkehr, Energie, Öffentliche Verwaltung, Banken und Finanzmarktinfrastrukturen und digitale Infrastruktur. DNS-Diensteanbieter, die Zentralregierung und Einrichtungen, die vom Staat als „wesentlich“ eingestuft werden.

Die Betroffenen

Wichtige Einrichtungen sind große und mittlere Unternehmen, zunächst mit mindestens 50 Beschäftigten oder über 10 Millionen Euro Umsatz, unter anderen aus Lebensmittelindustrie, Warenherstellung, Post- und Kurierdienst, Abfallwirtschaft, Anbieter digitaler Dienste und der Forschung kommen.

Entscheidend ist, dass Unternehmen und Einrichtungen selbst prüfen müssen, ob sie zu den kritischen Betreibern gehören. Bei Verstößen bei den wesentlichen Einrichtungen können die Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen. Bei wichtigen Einrichtungen gilt ein maximales Bußgeld von 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Auch sieht das deutsche Strategiepaper vor, dass Geschäftsführer und Führungskräfte privat haften, sollten sie sich nicht an die Maßnahmen halten.

(ID:49900216)