NIS2 in der Industrie – welche Umsetzungsschritte für die IoT?

Industrieunternehmen mit mehr als 50 Mitarbeitern und 10 Millionen Euro Umsatz sind zahlreich, und ihre OT-Netzwerke werden von NIS2 betroffen sein. Die Deadline für NIS2 endet bereits im Oktober, was insbesondere für diese Industrieunternehmen eng wird, da diese im Schnitt die Anstrengungen verdoppeln werden müssen, um NIS2 Compliance zu erreichen.

Nomios Germany schlägt 12 konkrete Schritte vor, wie Industrieunternehmen pragmatisch und zielgerichtet das Thema für sich angehen können.

OT ist genauso unsicher wie KMU

Während wir viel über IT-Cybersicherheit sprechen, vergessen wir allzu oft, das Bewusstsein für die Cybersicherheit von Betriebsumgebungen (OT) zu schärfen, obwohl Cyberangriffe auf Fabriken und Industrieunternehmen katastrophale Folgen haben können.

Die Gründe für den mangelnden OT-Schutz können sein:

• • OT-Umgebungen sind im Vergleich zu IT-Umgebungen 10 bis 15 Jahre im Rückstand, was die Cybersicherheit angeht, und wurden nicht "von vornherein" gesichert.
  • Viele industrielle Unternehmensnetzwerke basieren immer noch auf "flachen" Architekturen, d. h. Server, Workstations und andere industrielle Terminals arbeiten im selben Netzwerk ohne jegliche Segmentierung. Mit anderen Worten: Wenn man eine Tür offen lässt, kann man auf das gesamte Netzwerk zugreifen.
  • Die Frage der Verwaltung der OT-Netzsicherheit ist noch ungelöst. Wer ist für die OT-Sicherheit verantwortlich? Wenn es ein OT-Sicherheitsteam gibt, wie kann es mit den IT-Sicherheitsmanagern zusammenarbeiten?
  • Der Fernzugriff auf speicherprogrammierbare Steuerungen und andere Roboter in OT-Systemen hat sich vervielfacht, wodurch oft schlecht oder gar nicht gesicherte Brücken zur Außenwelt entstehen. Am Ende reicht schon ein Lichtschalter im Smarten Gebäude, um wesentliche Daten auszulesen.

NIS2 in der Industrie – Umsetzung in drei Phasen und zwölf Schritten.

Nomios Germany fasst die wichtigsten Schritte zusammen, um in 3 Phasen und 12 Schritten die Konformität mit der neuen Version der NIS-Richtlinie zu erreichen, wobei wir uns speziell auf den Industriesektor konzentrieren.

Phase 1: Bewerten, entdecken und definieren.

1. Sicherheitsprüfungen

Bewertung der Sicherheit des Unternehmens durch Audits, die sich auf OT-Netzwerke konzentrieren, aber auch - als neue Anforderung der NIS2 - auf den physischen Zugang zum Unternehmen und seiner Ausrüstung.

2. Richtlinien

Definieren Sie eine spezifische Politik und Governance für die OT-Cybersicherheit, beginnend mit der Festlegung, wer für die OT-Sicherheit verantwortlich ist, wem sie Bericht erstatten, wer die Entscheidungsbefugnis über Investitionen hat usw.

Phase 2: Umsetzung und Einführung.

3. Segmentierung

Entwerfen und implementieren Sie eine Architektur, die die Segmentierung von OT-Cybersicherheit und industriellen Kontrollsystemen (ICS) integriert. Mit anderen Worten: Abkehr von flachen Netzen und Segmentierung von IT- und OT-Netzen.

4. Erkennung von Anlagen und Bedrohungen

Auswahl und Implementierung von Tools zur Erkennung von Anlagen und Bedrohungen für OT/ICS, wie z. B. Intrusion Detection Systems (IDS).

5. . OT-Konfigurationshygiene

Aufrechterhaltung der OT-Konfigurationshygiene durch das Vorhandensein von klassischen Sicherheitskomponenten wie Backup-Systemen (nach dem 3+2+1-Backup-Modell) und Passwortmanagern für Maschinen. Da NIS2 auch Zulieferer mit Zugang zu Netzen betrifft, muss das Unternehmen Garantien für die Cybersicherheitshygiene bei seinen Zulieferern sicherstellen.

6. Sicherer Fernzugriff auf OT-Systeme

Die Hersteller von Maschinen, speicherprogrammierbaren Steuerungen usw. greifen häufig vor allem zu Wartungszwecken auf ihre Maschinen zu, weshalb das Unternehmen von ihnen Sicherheitsgarantien verlangen muss.

7. Kontrolle des OT-Zugangs

Implementieren Sie Maßnahmen zur Regulierung und Überwachung des Zugangs zu OT-Systemen, um sicherzustellen, dass nur autorisiertes Personal mit kritischen Industrieanlagen interagieren kann. Dazu gehört die Durchsetzung strenger Authentifizierungs- und Autorisierungsprotokolle, um unbefugten Zugriff oder böswillige Aktivitäten zu verhindern.

8. Schutz von OT-Endpunkten

Setzen Sie Sicherheitsmaßnahmen ein, um Endpunkte in OT-Umgebungen, wie Industriemaschinen, Steuerungen und Sensoren, vor Cyber-Bedrohungen zu schützen. Dazu gehören der Einsatz von Antivirensoftware,Endpoint Protection and Response (EDR), Intrusion Detection Systems (IDS), die Implementierung von Kontrollen für USB-Geräte und die regelmäßige Aktualisierung der Endpunktsicherheitsmaßnahmen, um neue Bedrohungen und Schwachstellen zu entschärfen.

9.Sichere OT-Lieferkette

Implementieren Sie Maßnahmen zum Schutz der OT-Lieferkette vor Cybersicherheitsrisiken, die von Software, OEMs und Drittanbietern ausgehen. Dazu gehören die Durchführung gründlicher Risikobewertungen, die Festlegung klarer vertraglicher Vereinbarungen mit den Lieferanten, um die Verantwortlichkeiten für die Cybersicherheit zu definieren, und die regelmäßige Überwachung der Einhaltung der Vorschriften durch die Lieferanten, um Schwachstellen zu verringern und die OT-Sicherheit insgesamt zu verbessern.

Phase 3: Überwachen, reagieren und messen.

10. Sicherheitsbetriebszentrum (SOC)

Implementieren Sie eine laufende Überwachung der OT-Cybersicherheit durch integrierte SOC- oder managed SOC-Lösungen.

11. Plan zur Reaktion auf Vorfälle

Entwicklung und Pflege eines Plans zur Reaktion auf Zwischenfälle, der speziell auf Cyberangriffe oder andere Vorfälle zugeschnitten ist, die OT-Systeme betreffen.

12. Kontinuierliche Audits

Führen Sie schließlich regelmäßige Audits und Sicherheitstests für OT-Umgebungen durch, um die kontinuierliche Einhaltung der Cybersicherheitsanforderungen zu gewährleisten und etwaige Schwachstellen oder Schwachpunkte umgehend zu erkennen.