Die Netz- und Informationssysteme-Richtlinie (NIS2) der Europäischen Union hätte eigentlich spätestens am 18. Oktober 2024 in Deutschland in nationales Recht umgesetzt sein müssen, nun wird es voraussichtlich erst 2025 in Kraft treten. NIS2 schreibt neue Pflichten bei der IT-Sicherheit und beim IT-Risikomanagement vor, die alle EU-Länder einführen müssen. In Deutschland werden knapp 30.000 Unternehmen von den neuen Regeln betroffen sein. Ende Juli 2024 wurde der Gesetzenentwurf des Innenministeriums vom Bundeskabinett beschlossen, das sogenannte NIS-2-Umsetzungesetz. Damit soll das BSI-Gesetz (BSIG) grundlegend überarbeitet werden. Christian Knothe, Head of Solution Sales bei 1&1 Versatel, erklärt, was das für Stadtwerke bedeutet.
Herr Knothe, das NIS-2-Umsetzungsgesetz wird erst 2025 Inkrafttreten. Können Sie kurz erläutern, worauf sich Stadtwerke gefasst machen müssen?
Die NIS2-Richtlinie verschärft die Anforderungen an die Cybersicherheit für kritische Infrastrukturen, darunter auch Stadtwerke. Um ihre Cyberresilienz zu stärken, müssen diese ihre IT-Sicherheit deutlich verbessern, unter anderem durch ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001. Konkret bedeutet das also: Schutz der IT-Infrastruktur, Abwehr von Cyber-Angriffen, sichere Kommunikation und ein robustes Schwachstellenmanagement müssen umgesetzt werden. Verschärft wurden die Anforderungen in den Bereichen Aufsicht/Sanktionen, Zusammenarbeit und Risikomanagement (zum Beispiel Netzwerksicherheit, Zugangskontrolle, Verschlüsselung). Eine besondere Herausforderung bei der Umsetzung der NIS-2-Richtlinie für Stadtwerke ist zudem die Tatsache, dass viele der zu schützenden Produktionssysteme, wie Pumpen und elektrische Anlagen, dezentral über das Stadtgebiet verteilt und damit teilweise leicht zugänglich sind.
Angriffserkennung und Sicherstellung der Geschäftskontinuität – wie Systemwiederherstellung und Notfallpläne – sind verpflichtend. Sicherheitsvorfälle müssen dann unverzüglich an die zuständige Aufsichtsbehörde gemeldet werden. Innerhalb von 24 Stunden nach Bekanntwerden des Ereignisses muss eine sogenannte Frühwarnung erfolgen, spätestens innerhalb von 72 Stunden eine Meldung und eine erste Bewertung. Stadtwerke sollten ihr IT-Sicherheitsniveau analysieren und geeignete Maßnahmen umsetzen. Dabei können Managed Security Services helfen. Frühzeitiges Handeln ist wichtig, um die Frist einzuhalten und Strafzahlungen zu vermeiden.
Sie weisen darauf hin, dass Stadtwerke aufgrund ihrer strategischen Bedeutung ein attraktives Ziel für Cyberangriffe sind. Welche spezifischen Sicherheitsrisiken bestehen hier und wie können sie adressiert werden?
Stadtwerke sind potenziellen Sabotageakten, Ransomware-Angriffen, Hackerangriffen oder DDoS-Angriffen auf die IT-Infrastruktur ausgesetzt. Um diesen Risiken präventiv zu begegnen, sollten Stadtwerke besondere Aufmerksamkeit den unterschiedlichen Technologie-Domänen – IT, Operational Technology und Internet of Things – widmen, da jede spezifische Sicherheitsanforderungen hat.
Welche Maßnahmen empfehlen Sie Stadtwerken zur rechtzeitigen Umsetzung der NIS-2 Vorgaben?
Einige der wichtigsten Maßnahmen umfassen die Standort-Bestimmung und Risikoanalyse, um festzustellen, welche Maßnahmen bereits umgesetzt wurden und welche noch fehlen. Die Etablierung eines Informationssicherheits-Managementsystems ist ebenfalls entscheidend, um eine strukturierte Steuerung, Kontrolle und Verbesserung der Sicherheit zu ermöglichen. Darüber hinaus fordert NIS-2 spezifische Maßnahmen wie die Erkennung und Abwehr von Cyberangriffen, sichere und verschlüsselte Kommunikation, Multi-Faktor-Authentifizierung und ein umfassendes Schwachstellenmanagement.
Das Interview führte Stephanie Gust
