Die Sicherheitsrichtlinien NIS2 und DORA der EU: Was Sie wissen müssen

The financial and essential services sectors were top targets for ransomware in 2022.

Organisationen in diesen Branchen stehen unter enormem Druck. Sie müssen transformieren und digitalisieren, um die Effizienz zu steigern – und das schnell bei gleichzeitiger Aufrechterhaltung von Verfügbarkeit und Sicherheit.

Gleichzeitig haben es Ransomware-Akteure absichtlich auf Finanz- und Betreiber wesentlicher Dienstleistungen abgesehen. Sie wissen, dass sich diese Branchen keine Ausfallzeiten leisten können und im Gegenzug die größten Chancen auf die Auszahlung eines Lösegelds bieten.

In the last year, we've seen countless cybersecurity incidents in banking and financial services and essential services sectors including energy, water, and transport. These attacks have caused huge financial losses and the potential for huge damage to the economy, underlying infrastructure, and the safety of consumers.

Warum Finanzdienstleistungen und grundlegende Dienstleistungen Cyber-Resilienz benötigen

Jedes Jahr gibt es ein neues Business-Buzzword, das im Mittelpunkt steht.

Heurig? Resilienz. Und das aus gutem Grund.

Over the past 12 months, there's been a significant shift in the way businesses manage cyber risks. Cyberattacks have evolved from simply stealing data, to impacting business availability. With the average cost of a data breach now $4.35 million, it's no longer enough to simply respond to attacks - it's about surviving them.

Learn why resilience is the banking sector's top security priority right now.

The problem is exacerbated by business leaders' lack of confidence in their organization's resiliency in the event of an attack. According to recent research by Enterprise Strategy Group, only 19% of business leaders feel their organization is prepared to handle the impact of a cyberattack. And over half think an attack would result in catastrophic business consequences.

Learn how Illumio Zero Trust Segmentation delivers cyber resilience here.

Die Antwort der Europäischen Union auf die Cyberresilienz - NIS2 und DORA

To boost resilience and incident response capabilities across Europe, European Union (EU) recently approved updates to the network and information system (NIS) directive for essential services, called NIS2, which is anticipated to come into force in the next few years.

Obwohl das Vereinigte Königreich nicht mehr Teil der EU ist, hat es die NIS-Richtlinie übernommen und bestätigt, dass es ebenfalls Aktualisierungen vornehmen wird. Die Aktualisierung wird die bestehende Richtlinie stärken, um sicherzustellen, dass grundlegende und digitale Dienste des Vereinigten Königreichs vor immer ausgefeilteren und häufigeren Cyberangriffen geschützt sind.

Darüber hinaus hat die EU den Digital Operational Resilience Act (DORA) erlassen, der sicherstellen soll, dass Banken und Finanzdienstleister Sicherheitsvorfällen standhalten, darauf reagieren und sich davon erholen können.

Nach der Veröffentlichung der Richtlinien erhalten Organisationen eine 24-monatige Umsetzungsfrist. Aber proaktive Veränderungen sind immer besser als reaktive Brandschutzübungen. Führungskräfte empfehlen, jetzt damit zu beginnen, um Compliance zu erreichen.

Was ist NIS2?

Das Hauptziel der neuen NIS2-Richtlinie besteht darin, den Wissensaustausch zu verbessern und die Reaktion grundlegender Dienste wie Energie, Verkehr, Banken und Gesundheitswesen nach Sicherheitsverletzungen zu stärken. Es handelt sich um eine Weiterentwicklung der ursprünglichen NIS-Richtlinie, die rechtliche Maßnahmen für die Sicherheit von Netzwerk- und Informationssystemen umriss.

Access the NIS2 directive draft here.

Warum NIS2 für grundlegende Dienste wichtig ist

Ziel dieser Richtlinie ist es, die Resilienz und die Reaktionsfähigkeit bei Sicherheitsvorfällen sowohl des öffentlichen und des privaten Sektors als auch der EU als Ganzes zu verbessern.

Aber es ist auch ein Signal für einen breiteren Trend - die Akzeptanz, dass es zu Verstößen kommen wird. Die Richtlinie trägt nicht nur zum Schutz kritischer IT-Ressourcen bei, belastet aber auch die Anbieter wesentlicher Dienste mit einer neuen Herausforderung bei der Einhaltung von Vorschriften.

Was ist DORA?

Während NIS2 Bank- und Finanzdienstleistungsorganisationen als Teil seiner Richtlinie umfasst, ist DORA speziell für den Finanzsektor gedacht.

The upcoming DORA directive aims to ensure that firms can withstand, respond to, and recover from breaches. The banking sector supports the global economy, and without strong cybersecurity measures, breaches can quickly become catastrophic. DORA requires banks to strengthen their cyber resilience, protect customer data, and ensure business continuity in the face of a security breach.

DORA, das Anfang 2023 in Kraft treten und bis 2025 anwendbar sein soll, wird die Finanzdienstleistungsbranche grundlegend verändern.

Access the DORA directive here.

Warum DORA für Bank- und Finanzdienstleistungen wichtig ist

Seit vielen Jahren bemüht sich die Branche, Geschäfts- und Sicherheitsergebnisse miteinander zu verbinden. DORA verbessert nicht nur die Resilienz von Finanzorganisationen, sondern wird auch die Verbindung zwischen Sicherheitsfunktionen und betrieblicher Resilienz deutlicher machen.

Unternehmen, die in den Geltungsbereich fallen, müssen in der Lage sein, Risiken schnell zu managen und anzugehen. In Kapitel II, Abschnitt II von DORA heißt es sogar, dass Unternehmen ein angemessenes Risikomanagement-Framework entwickeln, um Sicherheitsrisiken schnell, effizient und umfassend anzugehen und ein hohes Maß an digitaler betrieblicher Resilienz zu gewährleisten.

Aber das ist keine leichte Aufgabe - und Unternehmen müssen jetzt damit beginnen, die Grundlagen zu legen, sonst riskieren sie, ins Hintertreffen zu geraten.

3 Möglichkeiten, wie Illumio Zero Trust Segmentation dazu beitragen kann, NIS2- und DORA-Compliance zu erreichen

What should organizations immediately do to build resilience and be NIS2 and DORA compliant? Start with Zero Trust Segmentation (ZTS).

1. Verschaffen Sie sich einen Überblick über die Anwendungs- und Workload-Kommunikation

Als ersten Schritt ist es wichtig, eine Lückenanalyse durchzuführen, bei der die aktuellen Sicherheitsinitiativen und -risiken Ihres Unternehmens mit den NIS2- und DORA-Anforderungen verglichen werden.

An important tool in this process is application dependency mapping offered by the Illumio ZTS platform. Get quick, easy-to-understand visibility into application and workload traffic and communication across the entire hybrid attack surface. For example, see which servers are talking to business-critical assets or which applications have open lines to the Internet - giving bad actors simple access to your organization's network.

Diese Transparenz ermöglicht es Ihrem Sicherheitsteam, seine Arbeit im Hinblick auf die NIS2- und DORA-Compliance zu priorisieren. Sie können sehen, wo das Unternehmen bereits konform ist und wo bessere Sicherheitskontrollen eingerichtet werden müssen.

2. Legen Sie eine flexible, granulare Segmentierungsrichtlinie fest

Nachdem Sie Einblick in Ihr hybrides Netzwerk erhalten haben, können Sie Prioritäten für die Festlegung fundierter Sicherheitsrichtlinien setzen, die Ihre Cyber-Resilienz erhöhen und Ihnen helfen, NIS2- und DORA-Compliance zu erreichen.

Mit Illumio ZTS können Sie automatisch flexible, granulare Segmentierungsrichtlinien festlegen, die die Kommunikation zwischen Workloads und Geräten steuern. Dies erlaubt nur das, was notwendig und gewollt ist. Sie können z. B. die Kommunikation zwischen Server und Anwendung, von der Entwicklung bis zur Produktion oder von der IT zur OT einschränken.

Die Festlegung von Segmentierungsrichtlinien ist ein wichtiger Schritt zum Aufbau einer Zero-Trust-Architektur - einem Sicherheitsmodell, das in den NIS2- und DORA-Direktiven implizit enthalten ist.

3. Proaktive Isolierung von Assets oder reaktive Eindämmung der Ausbreitung von Sicherheitsverletzungen

Die Segmentierung Ihres Netzwerks mit Illumio ZTS bietet sowohl proaktive als auch reaktive Sicherheit gegen unvermeidliche Sicherheitsverletzungen und erreicht damit das Kernziel der Angriffsresilienz aus den NIS2- und DORA-Direktiven.

Isolieren Sie proaktiv hochwertige Assets, um den Zugriff auf das zu beschränken, was kritisch und notwendig ist. Das bedeutet, dass Sie sicher sein können, dass sich Ransomware oder andere Sicherheitsverletzungen nicht auf diese Assets ausbreiten, den Geschäftsbetrieb stoppen und katastrophale Schäden anrichten können.

During an active attack, reactively stop the spread of a breach and contain it to only a small part of your network in minutes. In fact, a recent Bishop Fox cyberattack emulation found that Illumio ZTS can stop the spread of a breach in less than 10 minutes. This is four times faster than endpoint detection and response (EDR) solutions alone.

• ‍Read more about how Illumio aligns with NIS2 requirements.
• Laden Sie unser kostenloses E-Book herunter, Strategien für DORA-Compliance: Schlüsselrolle der Zero-Trust-Segmentierung.