IoT-Projekte erfolgreich umsetzen: Was die NIS-2-Richtlinie fordert

Überblick über die NIS-2-Richtlinie

Die NIS-2-Richtlinie, die am 17. Oktober 2024 in Kraft getreten ist, baut auf der ursprünglichen NIS-Richtlinie von 2016 auf und erweitert deren Geltungsbereich deutlich. Sie betrifft öffentliche und private Unternehmen in der EU, die Dienstleistungen erbringen – insbesondere Unternehmen mit mehr als 50 Mitarbeitenden und einem Jahresumsatz von mehr als 10 Millionen Euro. Im Zentrum der neuen Regelung stehen Unternehmen, die zur kritischen Infrastruktur (KRITIS) gehören. Diese Betriebe spielen eine entscheidende Rolle für die öffentliche Sicherheit und das Funktionieren der Gesellschaft, weshalb ihr Ausfall gravierende Folgen haben könnte. Darüber hinaus weitet die NIS-2-Richtlinie nun ihren Geltungsbereich auf weitere „wesentliche“ und „wichtige“ Einrichtungen aus. Die zugehörigen Sektoren und Bereiche sind in der nachfolgenden Grafik anschaulich dargestellt.¹

Ein zentrales Element der Richtlinie ist das Risikomanagement für Cybersicherheit. Unternehmen müssen technische, operative und organisatorische Maßnahmen ergreifen, um Sicherheitsrisiken zu minimieren und Vorfälle zu verhindern. Besonders wichtig ist dabei die Berücksichtigung der Lieferkette, da potenzielle Schwachstellen nicht nur innerhalb des Unternehmens, sondern auch bei Partnern oder Lieferanten entstehen können.²

NIS-2 im Fokus: Was Unternehmen jetzt wissen müssen

In Deutschland werden künftig etwa 30.000 bis 40.000 Unternehmen von der NIS-2-Richtlinie betroffen sein. Für diese Unternehmen bedeutet dies, umfassende Maßnahmen in den Bereichen Risikomanagement, Sicherheitsvorfallsmanagement und Dokumentation einzuführen. Zu den konkreten Schritten, die betroffene Unternehmen ergreifen sollten, zählen:³

1. Prüfung der Betroffenheit: Unternehmen müssen klären, ob sie unter den Geltungsbereich der NIS-2 fallen. Dazu können Plattformen wie bund.de genutzt werden, um eine erste Einschätzung zu erhalten.
2. Einführung eines Risikomanagements: Es ist wichtig, die kritischen Systeme und Prozesse zu identifizieren und dabei die gesamte Lieferkette in die Analyse einzubeziehen.
3. Dokumentation und Meldewege: Unternehmen müssen klare Meldewege etablieren und die eingeführten Sicherheitsmaßnahmen dokumentieren, um Berichtspflichten nachzukommen.
4. Abstimmung mit Dienstleistern und Behörden: Die Zusammenarbeit mit IT-Dienstleistern und Branchenverbänden ist essenziell, um den Bedarf an Sicherheitstechnologien zu identifizieren und über branchenspezifische Entwicklungen informiert zu bleiben.

IoT und NIS-2: Anforderungen und Maßnahmen für Cybersicherheit

Für Unternehmen, die IoT-Dienste anbieten, bringt die NIS-2-Richtlinie erhebliche Anforderungen. Besonders in kritischen Sektoren wie Energie, Gesundheit oder Finanzen müssen IoT-Systeme so gestaltet werden, dass sie den Cybersicherheitsvorgaben entsprechen. Die NIS-2-Richtlinie stellt dabei spezifische Anforderungen an IoT-Projekte, die sowohl technische als auch organisatorische Maßnahmen umfassen.⁴

Technische Maßnahmen:

• Sichere Architektur: Bereits in der Planungsphase muss eine sichere IoT-Architektur entwickelt werden, die Datenschutz und Sicherheitsstandards wie Security by Design und Security by Default berücksichtigt.
• Starke Verschlüsselung: Die Kommunikation zwischen IoT-Geräten sollte mit modernen Verschlüsselungsprotokollen (z. B. TLS) abgesichert werden, um Daten vor Manipulation und Abhörversuchen zu schützen.
• Zugangskontrollen: Eine strikte Authentifizierung und Autorisierung (z. B. durch Multi-Faktor-Authentifizierung) ist essenziell, um unberechtigten Zugriff auf Geräte und Netzwerke zu verhindern.

Organisatorische Maßnahmen:

• Risikomanagement: Unternehmen müssen regelmäßig Sicherheitsrisiken bewerten und entsprechende Schutzmaßnahmen einleiten. Dies gilt insbesondere für vernetzte Geräte in kritischen Infrastrukturen.
• Meldepflichten: Sicherheitsvorfälle müssen unverzüglich den zuständigen Behörden gemeldet werden, damit schnell reagiert werden kann. Zudem sind alle Vorfälle sorgfältig zu protokollieren.
• Penetrationstests und Audits: Diese Maßnahmen sind entscheidend, um Schwachstellen zu identifizieren, die Sicherheitslage zu überprüfen und kontinuierliche Verbesserungen in den Sicherheitsprozessen zu gewährleisten.

NIS-2 in der Praxis: So werden IoT-Projekte sicher und konform

Die Implementierung von IoT-Projekten bietet Unternehmen die Möglichkeit, die Vorgaben der NIS-2-Richtlinie zu erfüllen. Durch gezielte Maßnahmen können Sicherheitsrisiken minimiert und die Sicherheit der IT-Infrastruktur gestärkt werden.

Edge

• Sichere Gerätekonfiguration → Geräte sollten mit sicheren Standardpasswörtern konfiguriert werden, die sofort geändert werden. Regelmäßige Software-Updates sind unerlässlich.
• Zugriffsberechtigungen → Implementierung von strengen Zugriffsberechtigungen, um sicherzustellen, dass nur autorisierte Benutzer auf IoT-Geräte zugreifen können
• Datenverschlüsselung → Verschlüsselung sensibler Daten sowohl während der Übertragung als auch im Ruhezustand, um unbefugten Zugriff zu verhindern
• Netzwerksegmentierung → Trennung von IoT-Geräten und kritischen IT-Systemen durch VLANs oder Firewalls zur Minimierung von Sicherheitsrisiken

Cloud

• Zugriffskontrollen →  Einsatz von Multi-Faktor-Authentifizierung (MFA), um unbefugten Zugriff auf Cloud-Dienste zu verhindern
• Sicherheitsstandards →  Implementierung anerkannter Standards wie ISO/IEC 27001 (Anforderungen an ein Informationssicherheits-Managementsystem) oder ISO/IEC 62443 (spezifische Sicherheitsanforderungen für industrielle Automatisierungs- und Steuerungssysteme)⁵

Übergreifend

• Zero-Trust-Ansatz → Jedes Gerät und jeder Benutzer wird als potenzielles Risiko betrachtet, was strenge Authentifizierungsverfahren erfordert
• Regelmäßige Risikoanalyse → Durchführung von regelmäßigen Analysen zur Identifizierung und Bewertung potenzieller Schwachstellen in der IoT-Infrastruktur
• Incident-Response-Strategie entwickeln → Unternehmen müssen auf Sicherheitsvorfälle vorbereitet sein und geeignete Reaktionsstrategien entwickeln, inklusive Notfallpläne und Mitarbeiterschulungen

Co-Autor: Niclas Wölfle