Seit dem 1. Mai 2023 gilt für Betreiber von kritischen Infrastrukturen (KRITIS) die Pflicht zur Einführung von Systemen zur Angriffserkennung (SzA). Laut Ralf Taegener, Geschäftsführer der BOC IT-Security GmbH, besteht hinsichtlich der Umsetzungsquote jedoch durchaus noch Luft nach oben – und das nicht nur bei Unternehmen im Bereich der Siedlungsabfallentsorgung, die davon erstmals betroffen sind: „Viele Unternehmen – und das vor allem in der Energiebranche – sind über die erste Planungsphase noch nicht hinausgekommen. Nichtsdestotrotz sollte die Umsetzung der gesetzlichen Vorgaben auch in ihrem Eigeninteresse umgehend erfolgen. Denn die Bedrohungslage hat sich für Unternehmen – und damit auch deren Kunden – in den letzten Jahren deutlich verschärft.“
Jörg Peine-Paulsen vom Fachbereich Wirtschaftsschutz/Verfassungsschutz im Niedersächsischen Ministerium für Inneres und Sport hat zur Umsetzung der KRITIS-Anforderungen ebenfalls eine klare Meinung: „Die Aufrechterhaltung unseres Gemeinwohls ist eine Aufgabe, um die wir uns als Gesellschaft gerade in unsicheren Zeiten besonders kümmern müssen. Sehr wichtige Bestandteile in diesem Fokus sind kritische Unternehmen oder Einrichtungen, kurz KRITIS, deren Produktionsanlagen bzw. Systeme – genannt kritische Infrastrukturen – von wesentlicher Bedeutung für die Produktion wichtiger bzw. notwendiger Güter oder Dienstleistungen sind. Ein umfangreicher Lieferausfall dieser Produkte kann in der Regel nicht durch andere Akteure aufgefangen oder ausgeglichen werden. Mögliche Konsequenzen daraus sind, dass zu viele Menschen entsprechende Waren bzw. Dienstleistungen nicht mehr beziehen können und Hunger, Durst, mangelnde Energie- oder Gesundheitsversorgung folgen können. Angemessener Schutz von KRITIS ist daher unerlässlich.“
IT-Sicherheitsgesetz 2.0
Bereits seit Sommer 2015 gibt es in Deutschland das IT-Sicherheitsgesetz. Dieses wurde ab Mai 2021 aktualisiert und erweitert. Seitdem gilt das Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0). Darin enthalten ist die für Betreiber von kritischen Infrastrukturen (KRITIS) geltende Frist zur Einführung von Systemen zu Angriffserkennung ab dem 1. Mai 2023. Die in § 8a (1a) BSIG formulierten Anforderungen an ein SzA-System werden von der EPDR-Lösung von WatchGuard, die eine kontinuierliche Endpunktüberwachung sowie die Erkennung und Klassifizierung aller Aktivitäten gewährleistet, vollumfänglich abgedeckt. Auffälliges Verhalten von Benutzern, Computern und Prozessen wird erkannt und blockiert. Auf diese Weise lässt sich zum Beispiel unter anderem Ransomware auf die Schliche kommen. Entsprechende Malware-Infektionen haben auf Unternehmensseite in den letzten Jahren immer wieder zu Ausfällen des IT-Betriebs geführt. Mit dem Einsatz der WatchGuard EPDR-Lösung, die alle notwendigen Funktionen für Endpoint Protection (EPP) und Endpoint Detection & Response (EDR) umfasst, wird dieses Risiko massiv reduziert. Ein klarer Vorteil angesichts der bereits verstrichenen Frist: Die Lösung inklusive der erforderlichen Dokumentation lässt sich laut Taegener kurzfristig einführen. Damit sind Unternehmen für den Ernstfall gerüstet und können darüber hinaus dem künftig zweijährlich anstehenden Prüftermin beruhigt entgegensehen.
Schnelle Umsetzung erleichtert
Entsprechend der Dringlichkeit hat WatchGuard zudem eine Rabattaktion ins Leben gerufen: Betreiber von kritischen Infrastrukturen (egal ob im Bereich Energie, Gesundheit, Informationstechnik und Kommunikation, Transport und Verkehr, Wasser, Finanz- und Versicherungswesen, Ernährung oder Entsorgung) können sich noch bis Ende September diesen Jahres 30 Prozent Nachlass auf das EPDR-Angebot sichern.