Managed Service Provider sollten Compliance-Checkbox-Falle vermeiden

Das letzte Quartal des Jahres 2024 markiert einen wichtigen regulatorischen Wandel im Bereich der Cybersicherheit. Die EU-Richtlinie zur Netz- und Informationssicherheit (NIS2) soll das Bedrohungsmanagement und die Meldung von Vorfällen verstärken. Für europäische Unternehmen war der Oktober der Stichtag für die Annahme und Umsetzung dieser Initiative.

Dies ist nur der Anfang der sich rasch entwickelnden Rahmenbedingungen für die Einhaltung der Cybersicherheit, an die sich die Unternehmen in Europa anpassen müssen. So wird beispielsweise der Digital Operational Resilience Act (DORA), der die IT-Sicherheit von Finanzunternehmen stärken soll, ab Januar 2025 in Kraft treten.

Mehr als eine „Abhak-Übung“

Zwar sind alle jüngsten Regulierungsinitiativen – EU-CRA (EU Cyber Resilience Act), NIS2 und DORA – zu Recht in Kraft, doch besteht ein erhebliches Risiko, dass Managed Service Provider (MSPs) die Einhaltung der Vorschriften auf eine verfahrenstechnische Formalität reduzieren. Die neuen Vorschriften als eine Art „Abhak-Übung“ zu behandeln, würde ihren eigentlichen Zweck sowohl für MSPs als auch für die Unternehmen, denen sie dienen, untergraben.

Die Erfüllung von Mindestanforderungen kann leicht zu bewerkstelligen sein, aber wie können MSPs diesen Weg vermeiden, um sicherzustellen, dass die Einhaltung der Vorschriften einen echten Mehrwert für ihre Sicherheitslage und die ihrer Anbieter bringt?

Zunehmende Verwundbarkeit kritischer Infrastrukturen

Weltweit sehen sich zahlreiche Branchen einer wachsenden Bedrohung durch Hacker ausgesetzt, die in kritische Infrastrukturen wie die Wasserversorgung, das Gesundheitswesen, das Bankwesen oder ganze Lieferketten in der Industrie und im Handel eindringen.

In jüngster Zeit wurden auch in Großbritannien Schwachstellen in öffentlichen Netzen bekannt, als Cyberangriffe auf Transport for London (TfL) und Network Rail erfolgten. Und im Januar drangen russische Hacker in die Systeme der australischen Regierung ein und stahlen 2,5 Millionen Dokumente.

Die zunehmende Verwundbarkeit kritischer Infrastrukturen hat dazu geführt, dass die Gesetzgebung immer strenger wird, was die Abgeordneten dazu veranlasst, den Anbietern bei der Stärkung ihrer Cyber-Sicherheitsmaßnahmen zu helfen. Dies erfordert einen strategischen Ansatz für die Cybersicherheit mit proaktiven Maßnahmen, die auf die Abwehr moderner Cyberbedrohungen zugeschnitten sind. MSPs müssen zum Beispiel bereit sein, sich mit selteneren Schwachstellen wie Sub-Zero-Day-Exploits zu befassen, die es Angreifern ermöglichen, Zugang zu und Kontrolle über wichtige Anlagen zu erlangen.

Nationale Sicherheit bedroht

Störungen kritischer Infrastrukturen können die nationale Sicherheit bedrohen und den Zugang zu lebenswichtigen Dienstleistungen wie Strom, Nahrung und Wasser einschränken. Angesichts dieser schwerwiegenden Folgen können es sich MSPs nicht leisten, sich mit der Einhaltung von Vorschriften zu begnügen. Stattdessen müssen sie sich darauf konzentrieren, einen Mehrwert zu schaffen, indem sie IT-Produkte anbieten, die die Sicherheit erhöhen und die Systeme der Anbieter widerstandsfähiger gegen Angriffe machen. Dieser Mehrwert entsteht durch Strategien zur Früherkennung und Prävention.

Ein proaktiver Ansatz konzentriert sich auf den Schutz und die Überwachung wichtiger Daten und nicht nur auf die Einhaltung von Mindeststandards. Der erste Schritt auf dem Weg zu einer proaktiven Cyber-Haltung besteht in der Einhaltung der digitalen Hygiene. Dazu gehören die bestimmungsgemäße Verwendung von Technologien, die kontinuierliche Überwachung ihrer Systeme zur Erkennung von Problemen und die Sammlung forensischer Daten.

Konzentration auf Früherkennung

Die Einführung eines robusten TDIR-Systems (Threat Detection, Incident Response) ermöglicht es MSPs, sich auf die Früherkennung zu konzentrieren, was für eine schnelle Reaktionszeit und die Verringerung der potenziellen Auswirkungen einer Sicherheitsverletzung entscheidend ist. Da die Bedrohungen immer raffinierter werden, bietet TDIR die nötige Flexibilität, um sich an die sich entwickelnden Cyber-Taktiken anzupassen und neuen Schwachstellen einen Schritt voraus zu sein.

Durch die Ausweitung der Anforderungen an die Industrie auf die ganze Welt bietet die NIS2-Richtlinie die Möglichkeit, die Zusammenarbeit zwischen Nachrichtendiensten und Strafverfolgungsbehörden zu erweitern. Ein wichtiger Aspekt dieser Zusammenarbeit ist der Informationsaustausch zwischen Branchen auf globaler Ebene. So sollten beispielsweise Wasserunternehmen weltweit Erkenntnisse über Cyber-Vorfälle und Abhilfestrategien austauschen, anstatt diesen Austausch auf ihre eigenen Regionen zu beschränken. Dieser globale Wissensaustausch kann die kollektive Reaktion auf Cyber-Bedrohungen verbessern und zu einer widerstandsfähigeren Infrastruktur über Grenzen hinweg führen.

Verbesserte Transparenz der IT-Systeme

MSPs sind gut positioniert, um diese globale Zusammenarbeit zu erleichtern und eine kostengünstige und sichere Kommunikation zu ermöglichen. Da MSPs einen Rund-um-die-Uhr-Support anbieten, bietet sich der Einsatz dieses Dienstes für eine verbesserte Transparenz der IT-Systeme an. Darüber hinaus ermöglicht die zentrale Verwaltung der IT-Systeme durch einen Anbieter eine bessere Übersicht für Teams, die von verschiedenen Standorten aus auf sensible Daten zugreifen. Dies verbessert die Überwachungsmöglichkeiten für Bedrohungen und deren Erkennung und minimiert das Risiko. Schließlich trägt die Zusammenarbeit auch dazu bei, die Einhaltung von Vorschriften durch die Standardisierung von IT-Prozessen in globalen Teams zu optimieren.

MSPs sollten sich darauf konzentrieren, aktuelle rechtliche Rahmenbedingungen so in ihre Sicherheitsstrategien einzubinden, dass es ihre Verteidigungsmechanismen wirklich verbessert. Indem sie über die grundlegende Einhaltung der Vorschriften hinausgehen und sich proaktiv mit den sich entwickelnden Bedrohungen auseinandersetzen, können MSPs sicherstellen, dass diese regulatorischen Initiativen nicht nur ihren Zweck erfüllen, sondern auch einen echten, dauerhaften Mehrwert für Unternehmen schaffen.

Andy Grolnick

ist CEO vom Security-Anbieter Graylog.