Ich zitiere folgend die Richtlinie (EU) 2022/2555 (NIS 2) Kapitel IV, Artikel 21:

„(1) Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.

Die in Unterabsatz 1 genannten Maßnahmen müssen unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung ein Sicherheitsniveau der Netz- und Informationssysteme gewährleisten, das dem bestehenden Risiko angemessen ist. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Risikoexposition der Einrichtung, die Größe der Einrichtung und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere [ist Bestandteil des „Initial Risk Assessments“ nach der IEC 62443-3-2, Anm.], einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, gebührend zu berücksichtigen.

(2) Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen:

1. a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
2. b) Bewältigung von Sicherheitsvorfällen;
3. c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement;
4. d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
5. e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
6. f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
7. g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
8. h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
9. i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
10. j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

     

(3) Die Mitgliedstaaten stellen sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Buchstabe d des vorliegenden Artikels die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, berücksichtigen. Die Mitgliedstaaten stellen ferner sicher, dass die Einrichtungen bei der Erwägung geeigneter Maßnahmen nach jenem Buchstaben die Ergebnisse der gemäß Artikel 22 Absatz 1 durchgeführten koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten berücksichtigen müssen.“

Der Artikel kongruiert in weiten Bereichen mit der Normenreihe IEC 62443.

Wenn ein Anlagenbetreiber in den Wirkbereich der NIS 2 fällt, sehe ich die Risikoanalyse der Anlage/des Systems nach IEC 62443-3-2 passend zur Erfüllung der Anforderungen der NIS 2 – zumindest im Bereich der OT im Shopfloor.

Security in der Verordnung Maschinen als Pflicht für die CE-Konformität und die NIS 2 – das alles passiert gerade fast gleichzeitig. Gespräche vor Ort bei Interessenten/Kunden sowie auf Messen haben gezeigt, dass sich die österreichischen (K)MU-Maschinen- & Anlagenbauer/-betreiber der Tragweite dieser neuen gesetzlichen Verpflichtung nicht bewusst sind oder massiv unterschätzen. Oft ist schon alleine die Security-Verantwortung für Industrieanlagen im Shopfloor nicht geklärt.

All diese Gesetze und Normen, nur um uns zu schikanieren? Mitnichten, denn es sind längst überfällige Maßnahmen, um eine Resilienz der europäischen Industrie vor Cyberangriffen aufzubauen. In den 90ern und frühen 2000ern war es ein mehr oder weniger harmloses Vergnügen für Nerds, Security-Schwachstellen in Betriebssystemen zu finden oder mit simplen Programmen fremde Rechner zu manipulieren – „Hacking for fun“ sozusagen, ohne nennenswerten Schaden. Heutzutage werden ganze Unternehmen lahmgelegt und erpresst, was existenzbedrohend für Unternehmer und Angestellte sein kann. In der Welt der IT, also die klassischen Office-Netzwerke, sind Security-Maßnahmen schon fast eine Selbstverständlichkeit. Die Security für vernetzungsfähige Geräte und Steuerungssysteme im Shopfloor hinkt hingegen jener der IT stark hinterher.

Daher mein Appell zur Ergänzung Ihrer ToDo-Liste, labels „wichtig“ und „dringend“:

1. Technische und organisatorische Maßnahmen,
2. Konsultation durch Spezialisten und
3. sich rechtzeitig mit dem Thema beschäftigen – nämlich jetzt!