Die 3 Erfolgsfaktoren, um alle EU-Cybersecurity-Regularien einzuhalten [German]

… und 6 Schritte für die praktische Umsetzung.

Verordnungen und Richtlinien, wohin das Auge blickt: In der EU ist die Zahl der Cybersecurity-Regularien in den letzten zehn Jahren regelrecht explodiert. Es sind Regelwerke speziell für die Cybersicherheit entstanden, wie NIS und NIS-2 für kritische Infrastrukturen oder die Cyberresilienz-Verordnung (CRA) für Produkthersteller, aber Cybersecurity-Aspekte haben auch Einzug in viele benachbarte Regularien gehalten: die Arbeitsmittelrichtlinie, die Maschinenverordnung, die Seveso-III-Richtlinie (die Unfälle mit gefährlichen Stoffen verhindern soll), die Radio Equipment Directive (RED), die CER-Richtlinie über die Resilienz kritischer Einrichtungen, die KI-Verordnung, um nur ein paar zu nennen.

Es dürfte kaum noch eine Organisation in der EU (oder gar weltweit) geben, die nicht von irgendeinem EU-Cybersecurity-Regelwerk betroffen ist. Oft gelten sogar gleich mehrere.

Viele Organisationen gehen so vor, dass sie sich jede Verordnung oder Richtlinie einzeln vorknöpfen — verständlich, schließlich ist jede für sich schon komplex genug. Doch es geht auch effizienter, denn tatsächlich haben alle EU-Cybersecurity-Regularien gewisse Gemeinsamkeiten. Keine erfindet das Rad neu, im Gegenteil: Mit etwas Abstand betrachtet, basieren alle auf den gleichen drei Grundprinzipien.

Das heißt, mit nur drei Erfolgsfaktoren haben Sie bereits eine solide Grundlage, um erfolgreich alle EU-Cybersecurity-Regularien umzusetzen, die es derzeit gibt — und wahrscheinlich auch alle, die noch kommen werden.

Was „erfolgreich umsetzen“ bedeutet? Dass Sie nicht nur die Regeln einhalten, sondern tatsächlich sicherer werden, und dass Ihre Organisation dabei nicht in Compliance-Dokumentation und -Maßnahmen ertrinkt.

In diesem Artikel erkläre ich, was die drei Erfolgsfaktoren sind, und beschreibe die sechs Hauptschritte, mit denen sie praktisch umgesetzt werden.

3 Erfolgsfaktoren für alle EU-Cybersecurity-Regularien

Erfolgsfaktor 1: Business- und Cyberkontext verstehen

Bei allen EU-Cybersecurity-Regularien geht es darum, Risiken zu reduzieren — aber keine Cybersecurity-Risiken, sondern Risiken in der echten Welt. Das könnten die Risiken für den eigenen Betrieb eines Unternehmens oder einen kritischen Dienst sein (wie bei NIS, NIS-2, CER), Risiken für Mitarbeitende (Arbeitsmittelrichtlinie), Risiken für die Menschen, die in der Nähe von Anlagen leben, in denen mit gefährlichen Stoffen gearbeitet wird (Seveso-III) oder Risiken für Kunden, die Maschinen oder Produkte mit digitalen Elementen kaufen (CRA, Maschinenverordnung, RED).

Der erste Erfolgsfaktor besteht deshalb darin, nicht nur das Cybersystem zu verstehen, sondern auch dessen Kontext. Je nach Regelwerk kann der „Kontext“ Ihr Business, Ihre kritische Dienstleistung oder die Umgebung Ihrer Kunden sein.

Die zentrale Frage lautet: „Wie könnte das Cybersystem an Risiken (für die echte Welt) beteiligt sein?“. Das müssen Sie beantworten können, um priorisiert diejenigen Risiken anzugehen, die für die einzuhaltenden Regularien wirklich relevant sind. Meist ist das nur eine Teilmenge der endlosen Liste ALLER Cybersecurity-Risiken. Ein klares Verständnis von Ihrem Business- und Cyberkontext spart Ihnen also jede Menge Arbeit.

Erfolgsfaktor 2: Systematische Risikologik

Kein einziges EU-Regelwerk schreibt genau vor, welche Cybersecurity-Anforderungen einzuhalten sind. Es werden Vorschläge gemacht, aber entscheiden müssen Sie. Und zwar je nach Risiko.

Deshalb ist eine systematische Risikologik nötig: Damit ermitteln Sie, welche Security-Anforderungen wirklich relevant sind — für Ihre Cybersecurity und für Ihre Compliance. Eine systematische Risikologik etabliert eine direkte Argumentationslinie vom Businesskontext über das Cybersicherheitsrisiko bis hin zu den Cybersecurity-Anforderungen. Je klarer Ihre Risikologik ist, desto kürzer fällt die Liste Ihrer Cybersecurity-Anforderungen aus.

Erfolgsfaktor 3: Erklärbare Compliance

Jedes EU-Cybersecurity-Regelwerk fordert irgendeine Form von schriftlichem Nachweis über die Einhaltung. Bei manchen werden Sie regelmäßig auditiert, bei anderen verfassen Sie eine Konformitätserklärung und müssen der Marktaufsicht nur auf Anfrage Nachweise vorlegen.

In jedem Fall ist der schriftliche Nachweis für eine wasserdichte Compliance unerlässlich. Die gute Nachricht: Wenn Sie die Erfolgsfaktoren 1 und 2 gemeistert haben, ist die Grundlage schon da. Sie wissen, dass Sie sich genau mit den Risiken befassen, um die es dem Regelwerk geht (denen für die echte Welt), und Sie können für diese realen Auswirkungen die logisch passenden Security-Maßnahmen benennen.

Jetzt fehlt nur noch eines: Sie müssen das Ganze so dokumentieren, dass die Behörden (und Sie selbst in 3 Jahren) alles gut nachvollziehen können.

6 Schritten, um die Erfolgsfaktoren praktisch umzusetzen

Die drei Erfolgsfaktoren sind zugegeben sehr allgemein gehalten. Um zu greifbaren Ergebnissen zu gelangen, müssen Sie sie in die Praxis übersetzen, und das ist oft der schwierigste Teil. Meiner Erfahrung nach funktioniert es mit den folgenden sechs Schritten am besten.

Schritt 1: Business-Ziele

Alles fängt mit Ihren geschäftlichen Zielen an. Das ist der „Business“-Teil von Erfolgsfaktor 1.

Die wichtigste Gruppe von Business-Zielen sind die Schadensszenarien, die Sie verhindern müssen, die relevanten realen Auswirkungen (für Sie und/oder das jeweilige EU-Regelwerk). Schadensszenarien sind meist nur ein oder zwei Handvoll, und sie haben nichts mit Ihren Cybersystemen zu tun. Machen Sie es nicht komplizierter, als es ist.

Die zweite Gruppe von Business-Zielen sind Cyber-Regularien, die Sie erfüllen müssen.

Außerdem legen Sie in diesem Schritt Ihre Schutzziele (typischerweise Vertraulichkeit, Verfügbarkeit und Integrität) und Ihre Risikomatrix fest.

Schritt 2: Cyber-Systemmodell

Das ist der „Cyber“-Teil von Erfolgsfaktor 1. Sie müssen klar definieren, welche Cybersysteme beteiligt sind und wie sie mit Ihrem Businesskontext zusammenhängen.

Es bietet sich an, in Funktionen oder Use-Cases zu denken, um das Cybersystem zu beschreiben und gleichzeitig den Bezug zum Businesskontext zu behalten. Und vergessen Sie nicht, auch die Menschen zu modellieren, die mit Ihrem System interagieren.

Dieses Cybermodell sollte auf eine Seite passen, das ganze System auf den ersten Blick erfassbar sein. Das ist NICHT die Zeichnung, anhand der Ihre Admins das ganze Cybernetzwerk aufbauen und betreiben, sondern die Übersicht, mit der Sie später Angriffsszenarien ermitteln werden.

Schritt 3: Business Impact

Das ist der erste Schritt für Erfolgsfaktor 2. Er führt Business- und Cyberkontext zusammen. An dieser Stelle beantworten Sie auf systematische Art und Weise die Frage, welche Teile/Funktionen der Cybersysteme welchen Business Impact verursachen können, falls die Integrität, Verfügbarkeit oder Vertraulichkeit verletzt wird.

Widerstehen Sie der Versuchung, den Business Impact für jedes Cyber-Asset einzeln zu bewerten. Es ist sinnvoller, die Cyberfunktionen oder -dienste anzuschauen — denn wie sich der Ausfall von Funktionen oder Diensten auswirkt, lässt sich viel einfacher beantworten als was passiert, wenn ein Cyber-Asset ausfällt.

Außerdem geht es hier nur um Worst-Case-Szenarien. Wovon sie verursacht werden könnten, ist dabei egal.

Schritt 4: Cyber-Risikoanalyse

Hier entsteht Ihre systematische Risikologik. Dafür sind die ersten drei Schritte unverzichtbar, denn sonst setzt Ihre Risikologik im Cybersystem an und kann keinen Bezug zu echten/geschäftlichen Auswirkungen herstellen.

Bei der Risikoanalyse wählen Sie die relevantesten Business Impacts aus. Dann modellieren Sie Bedrohungsszenarien, die erklären, wie ein Missbrauch Ihres Cybersystems zu einem dieser Impacts führen kann. Sie bewerten die Eintrittswahrscheinlichkeit und den Schaden, aus denen sich das Risiko ergibt, und definieren die Security-Anforderungen, die dieses Risiko mindern.

Am Ende sollten Sie alle Security-Anforderungen bis zur Cybersystem-Funktion und den zugehörigen Businesszielen zurückverfolgen können. Auf dieser Grundlage können Sie später für jede Security-Anforderung erklären, warum Sie sie ausgewählt haben — oder nicht.

Schritt 5: Compliance Check

Der letzte Erfolgsfaktor ist die erklärbare Compliance.

Nach den Schritten 1 bis 4 können Sie sich sicher sein, die relevanten Business Impacts und Risiken für die relevanten Regelwerke angegangen zu haben.

Schritt 5 hat das einfache Ziel, dass Sie sich absolut sicher sind, auch alle Anforderungen aus den relevanten Regelwerken beachtet zu haben. „Beachtet“ heißt dabei nicht unbedingt, dass Sie alle umgesetzt haben, aber mindestens sollten Sie sich alle einmal einzeln vorgenommen und überlegt haben, ob sie auf Ihre Organisation zutreffen. Falls ja, dokumentieren Sie, welche Ihrer Cybersecurity-Anforderungen an deren Umsetzung beteiligt sind. Falls nein, dokumentieren Sie, warum sie nicht zutreffen.

Schritt 6: Berichte

Erklärbare Compliance bedeutet: Sie haben einen Bericht, der den formalen Anforderungen des EU-Regelwerks entspricht und Ihre glasklare Argumentationslinie in eine Sprache übersetzt, die Behörden und Auditoren verstehen.

Ein guter Bericht ist einer, den Sie auf Anfrage siegessicher hervorholen, weil alle Ihre Cybersecurity-Entscheidungen gründlich durchdacht und logisch nachvollziehbar sind und Sie keinen Zweifel haben, dass Sie alle regulatorischen Anforderungen einhalten.

So etwas entsteht nicht aus dem Nichts.

Sie müssen wissen, um welche realen Risiken Sie sich gemäß dem Regelwerk zu kümmern haben (Schritt 1).

Sie müssen sich sicher sein, dass Sie Ihr Cybersystem hinreichend verstanden haben (Schritt 2).

Sie müssen wissen, wie Ihr Cybersystem an den Risiken für die echte Welt beteiligt sein kann (Schritt 3).

Sie müssen entlang einer eindeutigen Argumentationslinie erklären, welche Security-Anforderungen Sie angewendet haben, um diese Risiken zu mindern (Schritt 4).

Und Sie müssen sich sicher sein, keine Anforderungen im betreffenden Regelwerk übersehen zu haben (Schritt 5).

Doch wenn all das einmal steht, dann wissen Sie genau, was Sie in Schritt 6 in Ihren Bericht schreiben müssen, und können jedes einzelne Wort darin souverän begründen.

Dieser Beitrag ist als Teil des monatlichen „Security-Briefing für Hard Hats“ erschienen. Das können Sie hier auf Englisch oder hier auf Deutsch abonnieren.

Mit dem Security Engineering Tool haben wir eine Software gebaut, die Sie Schritt für Schritt durch diese 3 Erfolgsfaktoren und die praktische Umsetzung führt.