Secunet Security Networks Ag · XETR:YSN
Secunet Security Networks — Webinar EU NIS-2 und CRA (November 2023)
41 slides from Secunet Security Networks's conference presentation, Nov 7, 2023
Slide 1: EU NIS-2 und CRA – Maßnahmen und Strategien für Industrieunternehmen
EU NIS-2 und CRA – Maßnahmen und Strategien für Industrie- unternehmen Webinar 7. November 2023
Slide 2: (New) European Legislation on Security
(New) European Legislation on Security Überblick Alexander Schlensog Division Industry Essen, den 08.11.2023
Slide 3: Über secunet.
Über secunet. Deutschlands führendes Cybersecurity Unternehmen. 2 08.11.2023 | Industry Solutions – secunet Security Networks AG
Slide 4: Digitale Souveränität und Schutz vor Cyberangriffen
Digitale Souveränität und Schutz vor Cyberangriffen Mission Wir stärken die digitale Souveränität von Regierungen, Unternehmen und der Gesellschaft, indem wir die effektivsten secunet ist Deutschlands IT-Sicherheitslösungen anbieten. führendes Cybersecurity- Unternehmen. Wir schützen digitale Infras
Slide 5: secunet auf einen Blick – 25 Jahre Kompetenz in IT-Security
secunet auf einen Blick – 25 Jahre Kompetenz in IT-Security secunet Security Networks AG ▪ 1.100 Mitarbeiter ▪ 13 Standorte ▪ 347 Mio. Euro Konzernumsatz in 2022 Öffentliche Innere Verteidigung & Gesundheits- Industrie / Auftraggeber Sicherheit Weltraum Markt KRITIS ▪ > 500 Kunden, u.a. Bundesminist
Slide 6: Referenzen Industry (Auszug)
Referenzen Industry (Auszug) Sicherheitspartner der Bundesrepublik Deutschland. Stand: Juli 2023 5 08.11.2023 | secunet Security Networks AG - Industrial Cybersecurity
Slide 7: Agenda
Agenda 01 Einleitung 02 Fokus EU NIS-2 (+ Diskussionspapier u. Werkstattgespräch BMI) 03 Fokus EU CRA 04 Fokus EU RCE 05 Was ist jetzt zu tun? 06 Wie kann secunet helfen? 6 08.11.2023 | European Security Legislation – Übersicht
Slide 8: Einleitung
01 Einleitung Übersicht über die neue europäische Sicherheitsgesetzgebung 7 08.11.2023 | European Security Legislation – Übersicht
Slide 9: Grundlagen zur Digitalen Zukunft Europas (Auszug)
Grundlagen zur Digitalen Zukunft Europas (Auszug) Regulierungsdruck auf Industrie, Produkte und Dienstleistungen Cyber Skills Proposal (CSA) Resilienz Artificial Intelligence Act Draft DGA Data Governance Act Draft ECA European Chips Act Cybersecurity Draft CSR Directive on corporate sustainability
Slide 10: Aktuelle Entwicklung und Zielrichtung der neuen Europäischen Security-Gesetzgebung
Aktuelle Entwicklung und Zielrichtung der neuen Europäischen Security-Gesetzgebung EU Directive on Security of EU Cyber Resilience Act EU Directive on the resilience of Network and Information (EU CRA) critical entities Systems (EU NIS-2 Directive) (EU RCE Directive) Pflichten für Hersteller, Import
Slide 11: Überblick EU NIS-2
02 Überblick EU NIS-2 EU Directive on Security of Network and Information Systems 10 08.11.2023 | European Security Legislation – Übersicht
Slide 12: EU NIS-2: Überblick über das Gesetz
EU NIS-2 Überblick über das Gesetz ▪ EU Directive on Security of Network and Information Systems (Directive (EU) 2022/2555) ▪ Schaffung eines hohes Cybersicherheitsniveaus auf EU- Ebene und Stärkung des Binnenmarktes ▪ Antwort auf steigende Bedrohungslage im Cyberraum und Notwendigkeit einer konsoli
Slide 13: EU NIS-2: Ziele des Gesetzes
EU NIS-2 Ziele des Gesetzes ▪ Übergeordnetes Ziel ▪ Verbesserung des Cybersicherheitsniveaus; Schaffung eines hohen gemeinsamen Niveaus zur Stärkung des Binnenmarktes ▪ Strategische Ziele ▪ Verabschiedung nationaler Cybersicherheitsstrategien ▪ Förderung der Zusammenarbeit der EU-Länder ▪ Regelung v
Slide 14: EU NIS-2: Zielgruppen – wesentliche Sektoren
EU NIS-2 Zielgruppen des Gesetzes: wesentliche Sektoren essential (sectors with high criticality) / wesentlich (Sektoren mit hoher Kritikalität) Finanzmarkt- Gesundheits- Energie Verkehr Bankwesen infrastrukturen wesen Verwaltung Digitale Öffentliche Trinkwasser Abwasser von IKT- Weltraum Infrastruk
Slide 15: EU NIS-2: Zielgruppen – wichtige Sektoren
EU NIS-2 Zielgruppen des Gesetzes: wichtige Sektoren important (other critical sectors) / wichtig (sonstige kritische Sektoren) Produktion, Produktion, Herstellung Verarbeitung Post- und Abfallbewirt- und Handel mit und Vertrieb Kurierdienste schaftung chemischen von Stoffen Lebensmitteln Verarbeite
Slide 16: EU NIS-2: Zeitlicher Ablauf und Fristen
EU NIS-2 Zeitlicher Ablauf und Fristen EU-Mitgliedstaaten haben Zeit bis zum 17.10.2024, um Bestimmungen in nationale Gesetzgebung zu überführen NIS-2-Umsetzungs- und DE IT-SiG 2 Cybersicherheitsstärkungsgesetz Bis zum 17.10.2024, Durchführungsrechtsakte zu technischen und methodischen Anforderungen
Slide 17: EU NIS-2: Pflichten für die Staaten
EU NIS-2 Pflichten für die Staaten ▪ Entwicklung nationale Cybersicherheitsstrategie ▪ Einbezug von Cybersicherheit in Lieferkette von IKT ▪ Offenlegung von Schwachstellen ▪ Einrichtung von Notfallteams (CSIRT) ▪ Bewältigung massiver Cybersicherheitsvorfälle 16 08.11.2023 | European Security Legisla
Slide 18: EU NIS-2: Behördliche Befugnisse
EU NIS-2 Behördliche Befugnisse ▪ Auftrag zu wirksamer und risikobasierter Beaufsichtigung „Wirksam, verhältnismäßig und abschreckend“ ▪ Umfassende Kompetenzen wie Vor-Ort- Kontrollen, Überprüfungen (Stichproben), regelmäßige Sicherheitsprüfungen, Informations- und Datenzugang ▪ Behördliche Befugnis
Slide 19: Überblick NIS2UmsuCG
02 Überblick NIS2UmsuCG NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz 18 08.11.2023 | European Security Legislation – Übersicht
Slide 20: NIS2UmsuCG: Definitionen
NIS2UmsuCG Definitionen Besonders wichtige Einrichtungen (Auszug) • Bestimmte Einrichtungen (Anlage 1) mit >=250 MA oder Umsatz >50 Mio. Euro und Jahresbilanz >43 Mio. Euro • Betreiber kritischer Anlagen Wichtige Einrichtungen (Auszug) • Bestimmte Einrichtungen (Anlage 1 u. 2) mit >=50 MA oder Umsat
Slide 21: NIS2UmsuCG: Eingriffsmöglichkeit (allgemein)
NIS2UmsuCG Eingriffsmöglichkeit (allgemein) • BSI kann vom Hersteller betroffener Systeme die Mitwirkung verlangen • BSI kann Einrichtungen anweisen, über Sicherheitsvorfälle zu informieren (auch die Öffentlichkeit) • BSI kann Nachweise zur Erfüllung der gesetzlichen Anforderungen und die Beseitigun
Slide 22: NIS2UmsuCG: Eingriffsmöglichkeit
NIS2UmsuCG Eingriffsmöglichkeit • BSI kann besonders wichtige Einrichtungen verpflichten, Audits, Prüfungen oder Zertifizierungen durchführen zu lassen • BSI kann von besonders wichtigen Einrichtungen Nachweise und weitergehende Informationen bis zur Mängelbeseitigung dazu verlangen • BSI kann Einha
Slide 23: NIS2UmsuCG: Anforderungen
NIS2UmsuCG Anforderungen • Verpflichtung eignete, verhältnismäßige u. wirksame technische u. organisatorische Maßnahmen um Störungen gering zu halten • Stand der Technik • Aufbau Risikomanagement • Mindestmaßnahmen + risikobasierte Maßnahmen • Incident Management, ITIL-Prozesse • Notfall- u. Krisenm
Slide 24: NIS2UmsuCG: Anforderungen
NIS2UmsuCG Anforderungen • Registrierungspflicht • Pflicht zur Teilnahme am Informationsaustausch • Unverzügliche Meldung von Vorfällen • Systeme zur Angriffserkennung (ist zudem Teil der ISO 27001:2022 z. B. Annex 8.15, 8.16 und 8.21) 23 08.11.2023 | European Security Legislation – Übersicht
Slide 25: NIS2UmsuCG: Sanktionen
NIS2UmsuCG Sanktionen Ordnungswidrigkeiten bei Verstoß gegen Pflichten (z. B. unterlassene Meldungen, Unvollständigkeit, Nichterreichbarkeit) Geldbußen bis zu 2 Millionen Euro Geldbußen bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4% des weltweiten Umsatzes Geldbußen bei besonders wich
Slide 26: Überblick EU CRA
03 Überblick EU CRA EU Cyber Resilience Act 25 08.11.2023 | European Security Legislation – Übersicht
Slide 27: EU CRA: Überblick über das Gesetz
EU CRA Überblick über das Gesetz ▪ EU Cyber Resilience Act (CRA) ▪ Status: Aktuell Gesetzesentwurf ▪ Soll Anfang 2024 in Kraft treten, wirksam ab 12 bis 24 Monate nach Inkrafttreten ▪ Vorbeugung von Cyberkriminalität durch Stärkung der Cybersicherheit für vernetzte Produkte über die Lieferkette bzw.
Slide 28: EU CRA: Anwendungsbereich des Gesetzes
EU CRA Anwendungsbereich des Gesetzes ▪ Hersteller von Hardware und/oder Software ▪ Hersteller von Produkten, die solche Komponenten enthalten und in der EU vertrieben werden ▪ Differenziert in zwei Kategorien gemäß der möglichen Auswirkungen ▪ Produkte, welche größere Wirtschaftsbereiche betreffen,
Slide 29: EU CRA: Anforderungen an Cybersicherheit (Annex I)
EU CRA Anforderungen an Cybersicherheit (Annex I) Sicherheitsanforderungen Umgang mit Schwachstellen • Risikobasiertes Niveau an Sicherheit (Entwurf, Entwicklung • Schwachstellen und Komponenten identifizieren und und Produktion) dokumentieren (Software-Stückliste und Abhängigkeiten) • Produkte werd
Slide 30: EU CRA: Klassifikation von kritischen Produkten (Annex III)
EU CRA Klassifikation von kritischen Produkten (Annex III) Class II ▪ Hardware Security Modules (HSMs) ▪ Operating systems for servers, desktops, and mobile ▪ Secure cryptoprocessors devices ▪ Smartcards, smartcard readers and tokens ▪ Hypervisors and container runtime systems that ▪ Industrial Auto
Slide 31: EU CRA: Zeitlicher Ablauf und Fristen
EU CRA Zeitlicher Ablauf und Fristen # Draft # Geplante Ratifizierung # 12 bis 24 Monate Zeit für die Umsetzung für Betroffene EU Draft CRA Cyber Resilience Act (CRA) 2023 2024 2025 2026 30 08.11.2023 | European Security Legislation – Übersicht
Slide 32: EU CRA: Wesentliche Inhalte (Überblick)
EU CRA Wesentliche Inhalte (Überblick) ▪ Anforderungen werden nach Kriterien hinsichtlich der Relevanz der Auswirkungen unterschieden ▪ Für Produkte, die größere wirtschaftliche Bereiche betreffen werden strengere Vorschriften erwartet ▪ Solche Produkte sollen die Cybersicherheit bereits im Produkti
Slide 33: Überblick EU RCE
04 Überblick EU RCE EU Directive on the Resilience of Critical Entities 32 08.11.2023 | European Security Legislation – Übersicht
Slide 34: EU RCE: Überblick über das Gesetz
EU RCE Überblick über das Gesetz ▪ Directive on the Resilience of Critical Entities (Directive (EU) 2022/2557) ▪ Am 16.01.2023 in Kraft getreten, Umsetzung in nationales Recht bis 17.10.2024 („KRITIS- Dachgesetz“) ▪ Richtlinie über die Resilienz kritischer Einrichtungen ▪ Ziel: physische Widerstands
Slide 35: EU RCE: Ziele des Gesetzes
EU RCE Ziele des Gesetzes ▪ Integration des Blickwinkels „physischer Schutz“ in die Betrachtung von Sicherheit ▪ Verpflichtung zur Erstellung nationaler Strategien ▪ Verpflichtung der Mitgliedstaaten zur Identifikation von kritischen Einrichtungen ▪ Verpflichtung kritischer Einrichtungen diese angem
Slide 36: EU RCE: Zielgruppen des Gesetzes
EU RCE Zielgruppen des Gesetzes Geltungsbereich Finanzmarkt- Energie Verkehr Bankwesen Gesundheit infrastruktur Produktion, Verarbeitung Digitale Öffentliche Trinkwasser Abwasser Weltraum und Vertrieb Infrastrukturen Verwaltung von Lebensmitteln 35 08.11.2023 | European Security Legislation – Übersi
Slide 37: EU RCE: Zeitlicher Ablauf und Fristen
EU RCE Zeitlicher Ablauf und Fristen EU-Mitgliedstaaten haben Zeit bis zum 17. Oktober 2024, um Bestimmungen in nationale Gesetzgebung zu überführen DE „KRITIS Dachgesetz“ EU-Mitgliedstaaten haben Zeit bis zum 17. Richtlinie am 16. Bis zum 17. Januar 2026, eine Strategie zu Verbesserung Januar 2023
Slide 38: EU RCE: Wesentliche Inhalte
EU RCE Wesentliche Inhalte ▪ Funktionsfähiges Risikomanagement muss aufgebaut werden ▪ Technische, sicherheitsbezogene und organisatorische Maßnahmen zur Resilienz ▪ Katastrophenvorsorge, Physischer Schutz von Einrichtungen ▪ Risiko- und Krisenmanagementverfahren, Wiederherstellung u. alternative Li
Slide 39: Was sollten Betroffene jetzt tun?
Was sollten Betroffene jetzt tun? ▪ Prüfung der Betroffenheit ▪ Prüfung der neuen Anforderungen, die umzusetzen sind; Lieferketten, kritische Komponenten, Dienstleister, Unternehmenszuordnung und Mindestanforderungen beachten ▪ Meldeprozesse vorbereiten bzw. vorhandene anpassen (für relevante Incide
Slide 40: Wie kann secunet helfen?
Wie kann secunet helfen? ▪ Workshop „Betroffenheitsprüfung“ ▪ Workshop „Scoping“ – Identifikation der betroffenen Prozesse und Produkte ▪ Reifegradanalysen und Vor-Audits ▪ Konzeption zur Umsetzung der gesetzlichen Anforderungen ▪ Beratung und Implementierung zu Managementsystemen, Risikomanagements
Slide 41: secunet
secunet
secunet Security Networks — Webinar EU NIS-2 und CRA (November 2023) on 6ix