Sicherheitsrichtlinien

Bereits seit letztem Jahr soll die NIS2-Richtlinie der EU greifen, um Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union umzusetzen. Hier hat Deutschland bereits die Frist verpasst, Spezialistinnen und Spezialisten bewerten die Situation als „desolat“.

Die CER-Richtlinie zielt als Schwesterregelung zu NIS2 auf die physische Resilienz kritischer Einrichtungen gegenüber Bedrohungen ab. Auch hier ist man hierzulande spät dran: Die CER-Richtlinie soll im Rahmen des geplanten KRITIS-Dachgesetzes umgesetzt werden, das die Schutzmaßnahmen für kritische Infrastrukturen vereinheitlichen und stärken will. 
Das Ziel ist, die physische Resilienz kritischer Infrastruktur zu stärken: nicht wie bisher nur gegen Cyberangriffe, sondern auch gegen militärische oder geheimdienstliche Attacken, gegen Naturkatastrophen, Sabotage, Terroranschläge, Stromausfälle oder Lieferengpässe.

Im Rahmen der Aufrüstung für Prävention und Sicherung von Firmengelände, Hafenanlagen und Pipelines gehört inzwischen auch der Einsatz von Überwachungsdrohnen zu den gängigen Maßnahmen.

Sicherheitsrichtlinien: Ausweitung der Sicherheitskonzepte

Zu kritischer Infrastruktur zählten in Deutschland bisher die Bereiche Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheits- sowie Finanz- und Versicherungswesen. Das Dachgesetz definiert weitere kritische Sektoren, unter anderen Sicherheits- und Verteidigungsindustrie, Abfallwirtschaft, Weltrauminfrastruktur, Post und Kurierdienste, öffentliche Verwaltung, Chemie und kritische Forschung. Die Verabschiedung im Parlament ist für 2025 geplant. Als weitere Initiative richtet sich der Cyber Resilience Act (CRA) an Hersteller und Anbieter von „Produkten mit digitalen Elementen“, darunter etwa Software, eingebettete Systeme oder IoT-Geräte. Hier geht es um Produkte, die über digitale Schnittstellen kommunizieren, Daten verarbeiten oder steuerbar sind. Ab 2027 dürfen solche Produkte nur noch dann vertrieben werden, wenn sie CRA-konform sind: Hersteller geraten entsprechend unter Umsetzungsdruck. Die Pflicht zur Schwachstellenmeldung gilt bereits ab 2026.

Zu den großen Aufgaben rund um Schutz und Sicherheit gehört beispielsweise eine bessere Überwachung von Anlagen, Schienennetzen oder Lagern. Hier spielen Sensorik und KI – etwa mit Bildverarbeitung – eine entscheidende Rolle. In vielen Bereichen wird der Handlungsdruck höher, sich mit Themen wie Anomalieüberwachung oder Zutrittskontrolle zu befassen.

Vernetzte Fahrzeuge bisher nicht im Fokus

Ein weiterer Bereich, der eng mit kritischer Infrastruktur in Verbindung steht, sind vernetzte Autos und Nutzfahrzeuge. Expertinnen und Experten sind sich einig: Angesichts der steigenden Komplexität in vernetzten Systemen kann künftig nicht sicher verhindert werden, dass unautorisierte Akteure auf die Flotten zugreifen.

Hinter vernetzten Fahrzeugen steht eine Vielzahl von computergesteuerten, vernetzten Geräten, für die ein Remote-Zugriff, etwa für Sicherheits-Updates, notwendig ist. Die Vernetzung erstreckt sich zunehmend auch auf Mobilitätsinfrastruktur, zu der Ladegeräte für Elektrofahrzeuge, Verkehrsleit- sowie Telematik- und Flottenmanagementsysteme oder intelligente landwirtschaftliche Geräte zählen, aber perspektivisch auch autonome Systeme für selbstfahrende Autos.

Hier entstehen zudem weitere Angriffsvektoren, die auch kritische Infrastruktur betreffen: So könnten lahmgelegte Fahrzeuge wichtige Verkehrswege blockieren. Auch die Sabotage von Lkw-Flotten ist vorstellbar. Hier würden sensible Lieferketten ausfallen, wie etwa Transporte rund um Militär, Lebensmittel, Pharma, Treibstoff oder Entsorgung.