Im Gespräch mit Thomas Sandner, Veeam Software NIS-2 steht vor der Tür – das erwartet Unternehmen

Anbieter zum Thema

Veeam Software GmbH

Fsas Technologies GmbH

FAST LTA GmbH

Impossible Cloud GmbH

Viele Unternehmen fragen sich: Betrifft uns NIS-2? Thomas Sandner von Veeam erklärt, was die neue Richtlinie bedeutet – und was Firmen jetzt beachten sollten.

Um die Cyber-Sicherheit in Europa zu stärken, soll die NIS-2-Richtlinie (The Network and Information Security (NIS) Directive) helfen, den Umgang mit Cyber-Angriffen und mit deren Auswirkungen zu verbessern. Doch bei der Planung und der Umsetzung gibt es Schwierigkeiten. Der erste Entwurf der NIS-2-Richtlinie wurde 2023 vorgestellt. Ursprünglich war geplant, das Gesetz bis Oktober 2024 in Kraft zu setzen. Doch die Vorlaufzeit war zu knapp bemessen, sodass die Umsetzung nun auf das Frühjahr 2025 verschoben wurde.

Thomas Sandner, Senior Director Technical Sales EMEA Central bei Veeam Software, sagte in einem Gespräche mit Storage-Insider: „Das war einer der Kritikpunkte: Es gibt keine Übergangsfrist.“ Und zwar gebe es „nicht, wie damals bei der Einführung der DSGVO (Datenschutz-Grundverordnung) im Jahr 2018 eine Übergangsfrist“, erklärte Sandner. Die Datenschutz-Grundverordnung trat 2016 in Kraft und war ab 2018 verbindlich anzuwenden. Somit betrug die Übergangsfrist zwei Jahre. Die NIS-2 und die DSGVO ähneln sich darin, dass die Frage, wie man Datenverlust oder -missbrauch verhindert, im Vordergrund steht. Bei der DSGVO steht der Schutz personenbezogener Daten im Zentrum und bei der NIS-Verordnung die Sicherheit kritischer Infrastrukturen und Dienstleister.

Wer ist von der NIS2-Richtlinie betroffen?

Für welche Unternehmen das Gesetz relevant ist, sorgt für große Verunsicherung. Betroffen sind Unternehmen, die kritische Infrastrukturen und Dienstleistungen anbieten. Auf der Webseite des BSI (Bundesamt für Sicherheit der Informationstechnik) können Unternehmer zwar anhand eines sogenannten Entscheidungsbaums und einer NIS-2-Betroffenheitsprüfung feststellen, ob das Unternehmen von dem neuen Gesetz betroffen ist. Doch Sandner spricht bei Online-Veranstaltungen zum Thema NIS-2 und stellt eine Verunsicherung seitens der Teilnehmer fest: „Wenn ich Webinare zum Thema NIS-2 halte, dann beziehen sich gefühlt 80 Prozent der Fragen darauf, ob ein Unternehmen unter NIS-2 fällt oder nicht.“ Das hänge auch damit zusammen, dass auch verbundene Organisationen, Partner und/oder Lieferketten unter die Richtlinie fielen, sich also ebenso an das neue Gesetz halten müssten.

„Speicherhungrig“ – der Storage-Insider-Podcast, Folge 7

Speichergrößen: Thomas Sandner von Veeam Software

Welche konkreten Schritte müssen Unternehmen in die Wege leiten, um NIS-2-konform zu handeln?

Der Gesetzesentwurf umfasst drei Punkte: die obligatorische Registrierung beim BSI, die Meldung aller Sicherheitsvorfälle innerhalb von 24 Stunden und ein genaues Maßnahmen-Design.

Die Registrierung beim BSI stelle Unternehmen bereits vor ein Problem, denn „es kann sein, dass man Unternehmensteile in anderen EU-Staaten hat“. Als Beispiel nannte Sandner den Fall, dass die Konzernmutter in Deutschland sitzt und keine kritischen Dienstleistungen oder Infrastrukturen nach den NIS-2-Kriterien anbietet, wohingegen die Tochtergesellschaft in Spanien eine solche Dienstleistung oder Infrastruktur bietet. Dann stehe der Konzern vor der Frage, ob er sich beim spanischen Pendant zum BSI registrieren müsse.

Auch die Meldung von Vorfällen innerhalb von 24 Stunden stellt Unternehmen vor eine Herausforderung. Der Experte von Veeam Software erläuterte, dass sich „die Angreifer ganz bewusst Wochenenden und Feiertage aussuchen, da sie davon ausgehen, dass sie dann nicht so schnell entdeckt werden und sich länger ausbreiten können“. Daher sei es notwendig, dass Unternehmen entsprechende Vorsorgemaßnahmen ergriffen. Security-Information-and-Event-Management-Systeme (kurz: SIEM) und der Bereitschaftsdienst eines IT-Mitarbeiters seien hier entscheidende Maßnahmen. Denn die Vorfälle sollten so schnell wie möglich erkannt werden, um sie dann melden zu können. Die Meldung muss an das BSI, die Kunden, die Lieferanten und die Öffentlichkeit erfolgen. Innerhalb von 72 Stunden muss eine Zweitmeldung erfolgen, die ein Update und eine Bewertung des Vorfalls beinhaltet. Die Abschlussmeldung muss das Unternehmen innerhalb eines Monats an das BSI übermitteln.

Inhalt dieser Abschlussmeldung: eine ausführliche Beschreibung des Vorfalls, die den Schweregrad, die Ursache und die getroffenen Maßnahmen umfasst. Sandner gab zu bedenken, dass „je nachdem, wie groß das Unternehmen ist, wie komplex die IT ist, es sein kann, dass ich nach einem Monat keine Abschlussmeldung tätigen kann“. Doch er betonte auch, dass das Ziel der Behörden darin bestehe, dass „man mit ihnen im Austausch steht“.

Diese Standards legen wichtige Grundprinzipien für Sicherheit, Dokumentation und allgemeine Meldepflichten fest. Um jedoch vollständig NIS-2-konform zu sein, müssen Unternehmen zusätzlich spezifische NIS-2-Meldewege und -prozesse etablieren, die die zeitnahe Kommunikation und das Meldewesen bei sicherheitsrelevanten Vorfällen sicherstellen.

Die Bedeutung des Backups bei Daten

Im Falle eines Cyber-Angriffes, beispielsweise durch eine Ransomware, ist ein Backup entscheidend. Sandner betonte, dass auch für den Fall, dass Unternehmen einer Lösegeldforderung im Zusammenhang mit einem Ransomware-Angriff nachkämen, keine Garantie bestehe, dass die Daten wiederherstellbar seien. Das Problem bei den Backups liege oft darin, dass sie nicht ausreichend vor Ransomware-Angriffen geschützt seien, so Sandner. Denn „oft hängen Backup- und Produktivsysteme in derselben Domäne,“ betonte er. „Fällt die Domäne, ist auch das Backup-System betroffen.“ Da die Backups ein beliebtes Angriffsziel sind, ist laut Sandner entscheidend, dass die Backups immutable, also unveränderlich, sind.

Sandner sagte, dass Angreifer oft Wochen oder Monate unentdeckt im System agierten und Hintertüren einbauten. Gute Datensicherungslösungen bieten daher Schnittstellen, um Backups nach Indicators of Compromise (IoC) zu durchsuchen. „Es gibt keinen magischen Knopf, der alles Schad-Software-frei zurücksetzt,“ erklärte Sandner und betonte die Rolle der IT-Forensik.

Ransomware-Unterstützung

Veeam übernimmt Coveware

„Das einfachste ist der Klassiker: Man hat eine Kopie auf Band, und man legt die in den Tresor“, eräuterte Sandner. Doch Tape-Systeme erfordern einen hohen Verwaltungsaufwand, da die Bänder regelmäßig entnommen werden müssen, um offline und vor Angriffen geschützt zu bleiben. Alternativ gibt es mittlerweile bequemere Lösungen wie Storage-Systeme mit Immutability-Funktion, die Daten nach dem Schreiben unveränderlich machen.

Sandner verweist auch auf die Veeam-Strategie des Hardened Repositorys: Dabei handelt es sich um „einen Linux-Server, der so weit abgeschottet wird, dass ich, um ein Update einzuspielen, physisch an den Rechner gehen und mich über die Konsole einloggen muss“. Dieser Server ist so konfiguriert, dass Änderungen nur lokal am Gerät durchgeführt werden können. Das ermöglicht einen großen Schutz der Daten – es handelt sich hierbei um eine Art „logical Air-Gap“. Als Lösung gibt es bei Veeam auch die „Veeam Data Cloud Vault“. Hierbei handelt es sich um einen sicheren Cloud-Speicher, der vor Ransomware geschützt ist.

Vor welchen technischen und organisatorischen Hürden stehen Unternehmen?

Sandner geht davon aus, dass die größte Hürde in Unternehmen nicht in der technischen Umsetzung liege. Denn klar ist: „Es gibt keine magische Software, durch die man die ganzen Risiken und Probleme einfangen kann“, erläuterte er. Wichtig sei es, dass die IT-Sicherheit in den Unternehmen gelebt werde. Denn gerade Phishing E-Mails stellen laut Sandner eine große Gefahr für die Sicherheit dar. Es müsse über alle Abteilung hinweg ein Bewusstsein aufgebaut werden, dass Cyber-Angriffe über Links in E-Mails durchgeführt würden: Das kurze Öffnen des Links könne dazu führen, dass ein Trojaner heruntergeladen werde. Bei Veeam werde die Aufklärung gamifiziert, so Sandner. „Wir bei Veeam leben Cybersecurity. Wir haben unter anderem simulierte Phishing-Attacken. Durch ,Gamification‘ hat man die Chancen, Preise zu gewinnen, wenn man solche E-Mails erfolgreich erkennt und meldet.“ Seiner Meinung nach müsse „IT-Sicherheit in den Unternehmen gelebt werden“ – und das über alle Abteilungen hinweg.

Aktuelles eBook

Storage-Security – wie sichern Unternehmen ihre Daten ab?

Sich mit der Sicherheit von Storage-Systemen zu beschäftigen, ist heute notwendiger denn je. Neun von zehn Unternehmen wurden bereits mit Ransomware angegriffen. Einen Überblick über Schutzmaßnahmen und -technologien bietet dieses eBook.

Die Themen im Überblick:

• Replikation und Verschlüsselung
• Backup-Verfahren und -Schutz
• Wiederherstellung
• Air-Gap
• Unveränderbare Backups & Disaster Recovery
• Wirtschaftliche Aspekte

eBook „Storage-Security“ kostenlos downloaden

(ID:50231922)