Die digitale Souveränität als Rückgrat der IT- und OT-Cybersicherheitsstrategie

Trotzdem ist „über die Hälfte der Fachleute aus der Energie-Industrie zum Beispiel der Ansicht, dass die Cyberattacken auf diesen Sektor in naher Zukunft auch menschliche Opfer fordern werden und dass zu viele Organisationen zu wenig unternehmen, um sich abzusichern“. So ein Bericht der norwegischen Risikomanagementgesellschaft DNV, der am 19. Mai 2022 veröffentlicht wurde und auf einer Umfrage unter knapp 1.000 Fachkräften sowie auf dedizierten Interviews mit Führungskräften aus dem Energieumfeld aus mehreren Ländern weltweit basiert. Diese Behauptung aus der realen Welt ist ein Paradebeispiel für die Risiken, denen sowohl die Allgemeinheit als auch die Regierungen heute ausgesetzt sind.

Festzuhalten ist zudem, dass KRITIS-Organisationen bei der Ausarbeitung ihrer Modernisierungspläne den Paradigmen der Cybersicherheit nicht immer Vorrang einräumen. Dabei ist dies ein ausschlaggebender Faktor zur Gewährleistung einer optimalen Prozesssicherheit bei der Konzeption von IT/OT-Projekten: Das an allen Standorten, im Inland wie im Ausland, gewährleistete Sicherheitsniveau wird zum Beispiel bei allen Akquisitionsprojekten berücksichtigt. Die Souveränität von Cybersicherheitslösungen (Made in Europe) spielt dabei eine zunehmend wichtige Rolle.

Eine umfassende Verteidigung ohne Schwachstellen

Sich für souveräne Cybersicherheitslösungen zu entscheiden, bedeutet vor allem, Transparenz zu gewährleisten und jedes Risiko zu vermeiden, dass Daten zu böswilligen Zwecken missbraucht werden könnten bzw. dass anderorts genehmigte Backdoors dazu ausgenutzt werden, sich Zugang zu hochsensiblen Netzen zu verschaffen. Im Prinzip geht es darum, die Risiken einer Kompromittierung hoheitlicher Informationen oder der Lahmlegung kritischer Infrastrukturen und Dienste durch ausländische Akteure jeder Art zu verringern. Nur so kann eine umfassende Verteidigung ohne Schwachstellen gewährleistet werden.

Ein solcher Ansatz ist von entscheidender Bedeutung, um jegliches Risiko der Einmischung oder Wirtschaftsspionage zu vermeiden. Beispielhaft ist hierfür der Fall der chinesischen Hackergruppe Winnti, gegen die kürzlich aufgrund der Anschuldigung ermittelt wurde, im Auftrag des chinesischen Staates eine groß angelegte Spionageoperation in den USA, Europa und Asien durchgeführt zu haben.

Die Beibehaltung der digitalen Unabhängigkeit Europas ist auch der einzige Weg, um eine lokale, selbstständige Reaktion auf kritische Bedrohungen bzw. bei der Behebung von Cybervorfällen zu ermöglichen – zum Beispiel, um Produktions- oder Dienstabbrüche zu minimieren. Europäische Lösungen sind in der Lage, diese lokale Reaktion etwa in Form von schnellem technischen Support oder der Unterstützung lokaler Teams bei Incident-Response-Verfahren zu liefern.

Und schließlich gewährleistet die Wahl souveräner Lösungen auch die Einhaltung der geltenden europäischen Regelungen und Normen, die den sicheren Zugang zu Informations- und operativen Systemen (Absicherung, Authentifizierung, Segmentierung, Rückverfolgbarkeit von Daten, Verschlüsselung usw.) gesetzlich vorschreiben.

Kurz gesagt: Es besteht Bedarf an vertrauenswürdigeren europäischen Lösungen, zumal Grenzen –– angesichts der Verbreitung von Produktions- und Diensterbringungsstandorten in der ganzen Welt – keine Rolle mehr spielen, wenn ein europäisches Unternehmen angegriffen wird.

Erhalt und die Weiterentwicklung des europäischen Know-hows

Um die KRITIS dabei zu unterstützen, die richtigen Entscheidungen zu treffen, können führende europäische Hersteller von Cybersicherheitslösungen auf mehrere Mittel zum Aufbau eines zuverlässigen, widerstandsfähigen Umfelds zurückgreifen. Die erste Möglichkeit besteht darin, das lokal verfügbare Angebot an Sicherheitslösungen zu erweitern, um sicherzustellen, dass Endkunden mindestens eine souveräne Lösung beziehen können. Dies geht zum Beispiel Hand in Hand mit der Sensibilisierung der Industrie und der KRITIS für die Implementierung europäischer Sicherheitskomponenten im Rahmen der Modernisierung ihrer Infrastrukturen. In europäische Marktführer der Cybersicherheit investieren wäre ein verantwortungsbewusster und sozialverträglicher Ansatz.

Darüber hinaus ist es im Allgemeinen wichtig, europäische Start-ups der Cybersicherheitsbranche über nationale Organisationen zu unterstützen, Investitionen in die lokale Cyberwirtschaft über spezielle Fonds zu garantieren und die Ausbildung von Fachkräften zu fördern. Dies sind nicht nur die Voraussetzungen dafür, dass sich Unternehmen in Europa ansiedeln und dort bleiben, sondern auch für den Erhalt und die Weiterentwicklung des europäischen Know-hows.

Durch die Einbeziehung des gesamten Ökosystems und eine wirksame Zusammenarbeit zwischen den europäischen Akteuren wird es möglich sein, die digitale Unabhängigkeit bei der Absicherung der KRITIS zu verstärken und gleichzeitig einen optimalen Schutz unserer Wirtschaft, unserer Bürger und unserer Umwelt zu gewährleisten.

Autor: Uwe Gries, Country-Manager DACH bei Stormshield