Startseite > Security > Was der Datengrundschutz für DORA und NIS-2 lehrt

Erfahrungen aus der DSGVO nutzen

Was der Datengrundschutz für DORA und NIS-2 lehrt

24. Mai 2024, 7:00 Uhr | Mark Molyneux | Redaktion: Jörg Schröper

Computer Devices

Was mit der DSGVO begann, setzt die EU mit NIS-2 und DORA konsequent fort. Sie reglementiert die Datenindustrie und die digitalen Prozesse vieler Firmen, um Daten und Netze robuster zu machen gegen Angriffe. Mark Molyneux, EMEA CTO bei Cohesity, nahm Stellung dazu.

Aus der Einführung der DSGVO lassen sich wichtige Schlüsse zum Umgang mit den neuen Regeln für Unternehmen ziehen, so Molyneux. Ob die DSGVO Zähne haben wird oder die Folgen für Firmen eher unsichtbar sein werden, wenn sie gegen die Vorgaben verstoßen? Das war die große Frage bei der Einführung am 24. Mai 2018. Werden die angekündigten Sanktionen durchgesetzt und wenn ja, wie streng? Diese Fragen beantwortet der Cohesity-Manager im folgenden Text. Cohesity ist Anbieter für KI-gestützte Datensicherheit und -Management.

Nach sechs Jahren gibt der sogenannte Enforcement Tracker ein deutliches Bild ab. Er listet alle bisherigen Verfahren und verhängten Bußgelder auf. 4,5 Milliarden Euro Bußgelder wurden bisher im Jahr 2024 ausgesprochen, eine halbe Milliarde mehr als 2023 zur gleichen Zeit. Ein Anstieg von elf Prozent innerhalb von zwölf Monaten. Die globale Anwaltskanzlei DLA Piper geht in ihrer jährlichen Studie vom Januar 2024 zu Bußgeldern und Datenschutzverletzungen sogar von einem Anstieg von 14 Prozent aus.

DLA Piper hat darin ebenfalls festgestellt, dass sich der Trend der vergangenen Jahre fortsetzt: Wurden in Deutschland 2022 durchschnittlich 328 Verstöße pro Tag gemeldet, waren es im vergangenen Jahr 335 Meldungen – ein konstant hoher Wert. Wenn Firmen die personenbezogenen Daten der EU-Bürger unsachgemäß verarbeiten, werden sie gemeldet und im Ernstfall abgestraft.

Aktuell will die EU mit weiteren neuen Regelungen dafür sorgen, dass Firmen nicht nur ihren Umgang mit Daten optimieren, sondern auch ihre IT operativ besser aufstellen, um Cyberangriffen stärker zu widerstehen. Mit dem Digital Operational Resilience Act (DORA), auf die Finanzindustrie fokussiert, und der NIS-2 Directive sind Regelwerke entwickelt worden, um von Firmen in Europa mehr operative Cyberresilienz zu fordern.

DORA wird am 17. Januar 2025 scharf geschaltet, während NIS-2 bereits bis spätestens 17. Oktober 2024 relevant wird. Einige europäische Länder sind bereits weit fortgeschritten und werden ihre lokalen Gesetze vor diesem Stichtag verabschieden. Wer als Firma in diesen europäischen Ländern geschäftlich aktiv ist, muss also früher auf die Vorgaben reagieren, auch wenn die deutsche Gesetzgebung noch nicht fertig ist.

Die EU hat wie bei der DSGVO auch bei diesen neuen Regelwerken signifikante Bußgelder für Verstöße vorgesehen. Kommen Firmen ihren DORA-Verpflichtungen nicht nach, drohen Bußgelder von bis zu 10 Millionen EUR oder fünf Prozent des weltweiten Vorjahresumsatzes. Die Strafen bei NIS-2 sind nochmal schärfer und nehmen die Geschäftsleitung nun stärker ins Visier. Die Geldbußen können von 100.000 Euro bis zu 20 Millionen Euro für juristische Personen erreichen. Die Bußgelder haben sich seit dem IT-Sicherheitsgesetz 2.0 aus dem Jahr 2021 bei Verstößen deutlich erhöht. Es ist zudem zu erwarten, dass die Behörden Verstöße ähnlich konsequent verfolgen werden, wie sie es bei der DSGVO tun.

Wie NIS-2 und DORA zusammenhängen

NIS-2 erweitert die Menge der Industriesektoren, die der Vorgabe folgen müssen, drastisch im Vergleich zum Vorgänger von 2016. In Deutschland allein ist mit knapp 30.000 Firmen der Großteil der Wirtschaft betroffen - mit Ausnahme des Finanzmarkts. Dieser wird vorrangig von DORA reglementiert, man spricht hier von einer Lex Specialis. Wichtig ist zu wissen: In all den Fällen, in denen NIS-2 Bereiche reguliert, die in DORA ausgespart wurden, ist NIS-2 zu betrachten. Letztere füllt also die Aussparungen von DORA, beide hängen zusammen.

Die große Änderung bei den Vorgaben betrifft die obligatorischen Meldepflichten für Datenschutzverletzungen. Im Rahmen der Richtlinie werden die folgenden Anforderungen festgelegt:

Innerhalb von 24 Stunden muss die Organisation eine Frühwarnung geben, wenn der Verdacht besteht, dass ein schwerwiegender Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte.
Innerhalb von 72 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls muss die Frühwarnung mit einer ersten Bewertung, einschließlich seiner Schwere und Auswirkungen, aktualisiert werden. Die Organisation sollte dem nationalen CERT auch alle Indikatoren für eine Gefährdung im Zusammenhang mit dem Angriff mitteilen.
Auf Anfrage eines nationalen CERT oder einer Aufsichtsbehörde muss die Organisation Zwischenstatusaktualisierungen bereitstellen.
Innerhalb eines Monats nach Einreichung der Vorfallmeldung muss die Organisation einen Abschlussbericht vorlegen.

Von Vorarbeiten bei der DSGVO profitieren

Die DSGVO hat von Firmen bereits ein besseres Daten-Management verlangt, indem die Firmen personenbezogene Daten strenger und sorgfältiger verwalten mussten als alle anderen Informationen. Die Auskunftspflicht wie das Recht auf Vergessen sowie die Meldepflicht bei Datenverlust haben von Unternehmen bereits Prozesse und Workflows gefordert, die in ähnlicher Weise bei NIS2 und DORA im Falle eines Angriffs greifen können. Der Einsatz einer KI-getriebenen Data-Security- und Management-Plattform kann Firmen immens helfen, diese Prozesse skalierbar und effizient im Unternehmen umzusetzen.

Dateninhalte genau kennen: Bei einer Attacke wollen die Hacker Daten stehlen, verschlüsseln oder löschen. Unternehmen müssen daher genau wissen, welche Daten sie besitzen und welchen Wert sie haben. Nur dann können sie Fragen der Governance und Compliance beantworten und beispielsweise steuern, dass bestimmte Datentypen gewisse Speicherorte nicht verlassen dürfen. Und sie werden schneller verstehen, welche Daten im Detail betroffen sind, sollten Hacker erfolgreich eingedrungen sein. Dadurch wird das Reporting für NIS-2 und DORA beschleunigt und die Ergebnisse viel genauer. Im Alltag ist diese Aufgabe gigantisch und die meisten Firmen haben Berge von Informationen angehäuft, von denen sie wenig bis überhaupt nichts wissen.

Auf diesem Gebiet können KI-Lösungen wie Cohesity Gaia massiv helfen und eine der komplexesten Probleme entschärfen, indem sie die Daten von Firmen automatisiert klassifizieren. Business Owner können beispielsweise direkte Fragen zu bestimmten Daten stellen und bekommen automatisch von Gaia eine entsprechende Antwort mit einer Liste aller betroffenen Dokumente.

Da Cohesity die Daten aus dem eigenen Backup klassifiziert, lassen sich betroffenen Daten einer Attacke genau untersuchen, selbst wenn die ursprünglichen Systeme von einem Cybervorfall betroffen sind.

Datenflüsse steuern: Sind die Daten mit den richtigen Merkmalen eingestuft und klassifiziert, lassen sich von der darunter liegenden Datenmanagement-Plattform automatisch Regeln durchsetzen, ohne dass der Data Owner eingreifen muss. Dadurch sinken die Risiken für menschliche Fehler.

So könnte eine Firma durchsetzen, dass bestimmte Daten wie Intellectual Property oder Finanzdaten niemals an andere Speicherorte oder externe KI-Module weitergegeben werden dürfen. Moderne Daten-Management-Plattformen steuern den Zugriff auf diese Daten, indem sie diese automatisch verschlüsseln und sich Anwender per Access Controls und Multifaktor-Authentifizierung autorisieren müssen. Diese Zugriffskontrollrichtlinien sind ein Kernelement in NIS-2, bei dem eine granulare rollenbasierte Zugriffskontrolle verlangt wird, um das Sicherheitsprinzip der geringsten Privilegien zu erreichen.

Cohesity unterstützt hier das Konzept Quorum. Es ermöglicht einer Organisation, das Sicherheitsprinzip der Aufgabentrennung umzusetzen.

Auf Vorfälle reagieren: Damit eine Firma die Berichte für NIS-2, DORA und DSGVO überhaupt erstellen kann, muss sie handlungsfähig sein. Bei Ransomware oder einem Wiper-Angriff wird das Licht in der Firma ausgeknipst, im sprichwörtlichen Sinn. Im Ernstfall funktioniert nichts mehr. Kein Telefon, keine E-Mail, keine Tür, geschweige denn die Website. Die IT-Teams der CIOs und CISOs werden auf diese Attacke nicht einmal reagieren können, da alle Sicherheitstools offline, Beweise in Logs und auf den Systemen verschlüsselt sind. Niemand wird sein Team zusammentelefonieren können, da VoIP nicht arbeitet.

Auf Basis einerData Cloud Platform dagegen können die Infrastruktur-und Seucrity-Teams gemeinsam einen isolierten Cleanroom etablieren, in dem ein Notfallset an Tools und System- und Produktionsdaten liegt, um einmal einen Notbetrieb der Gesamt-IT zu schaffen. Darin liegen alle essenziellen Tools für die Security-Teams, damit diese mit dem essenziellen Incident-Response-Prozess beginnen können. Dieser Prozess ist essenziell, um richtige und aussagekräftige Berichte für NIS-2, DORA und DSGVO-Verstöße zu generieren.

Vom Cleanroom aus lässt sich übrigens die Produktionsumgebung Schritt für Schritt und eng abgestimmt mit den Infrastrukturteams wiederherstellen, und zwar mit gehärteten sauberen Systemen.

Die Regelwerke NIS-2 und DORA sind wichtig für Europa und die Wirtschaft, denn sie stärken die Cyberresilienz der Firmen und Behörden. Sie spiegeln auch die Realitäten wider. KI und Service-Modelle wie Ransomware as a Service haben nicht nur die Menge von Cyberkriminalität wachsen lassen, sondern auch deren Qualität. Unsere digitale Infrastruktur muss robuster werden gegen erfolgreiche Angriffe. Dazu müssen Firmen all jene Prozesse und Workflows überarbeiten und optimieren, die mit Daten hantieren. Cohesity kann hier als zentrale sichere Plattform für Datenmanagement im Hintergrund massiv helfen, eine möglichst große operative Cyberresilienz zu gewährleisten.