Cybersecurity-Reife kritischer Sektoren – der ENISA NIS360 Report
Mit dem diesjährigen NIS360 Report veröffentlicht die Europäische Agentur für Cybersicherheit (ENISA) bereits zum dritten Mal eine umfassende Bewertung der Cybersicherheitsreife und Kritikalität der von der NIS2-Richtlinie erfassten Sektoren mit hoher Kritikalität.
Ziel des Berichts
Ziel des Berichts ist es, den aktuellen Stand der Cybersicherheit in den verschiedenen kritischen Sektoren der Europäischen Union zu analysieren und Entwicklungen auf Ebene der jeweiligen Sektorökosysteme – also über einzelne Unternehmen hinaus – sichtbar zu machen.
Der Bericht dient Unternehmen, Behörden und anderen betroffenen Organisationen als Lagebild und Orientierungshilfe, um den jeweiligen Stand der sogenannten Cybersicherheitsreife im Vergleich zu anderen Sektoren besser einordnen zu können. Gleichzeitig macht er sichtbar, in welchen Bereichen bereits erhebliche Fortschritte erzielt wurden und wo weiterhin struktureller Handlungsbedarf besteht. Insbesondere stellt er dar, in welchen Sektoren die Differenz zwischen gesellschaftlicher Kritikalität und tatsächlicher Cybersicherheitsreife besonders groß ist.
Reifegrad
Der Reifegrad der Sektoren ergibt sich aus
- den regulatorischen Rahmenbedingungen und deren Wirksamkeit einschließlich der Aufsicht,
- dem Cyber-Risikomanagement des Sektors, insbesondere der Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen sowie dem Umgang mit Risiken/Schwachstellen,
- dem Informationsaustausch und der Zusammenarbeit,
- der operativen Einsatzbereitschaft.
Kritikalität
Die Kritikalität ergibt sich aus
- den sozioökonomischen Auswirkungen, die Vorfälle in den jeweiligen Sektoren mit sich bringen können,der Zeitkritikalität eines Vorfalls, also wie schnell sich dessen Auswirkungen aufgrund
- der Abhängigkeiten zu anderen Sektoren bemerkbar machen, sowie
- dem Grad der Digitalisierung, also der generellen Abhängigkeit des Sektors von Informations- und Kommunikationstechnik.
Ergebnisse und Ausblick
Der ENISA NIS360 Report zeigt, dass sich der Reifegrad der Cybersicherheit der unter die NIS2-Richtlinie fallenden Sektoren insgesamt weiter verbessert hat, insbesondere da Organisationen auf die sich weiterentwickelnden regulatorischen Anforderungen und die Cyberbedrohungen reagieren, denen sie ausgesetzt sind. Zu diesen Verbesserungen tragen nach Einschätzung der ENISA mehrere Faktoren bei, darunter Weiterentwicklungen der Cybersicherheitsgesetzgebung, eine erhöhte politische Aufmerksamkeit sowie Fortschritte beim Risikomanagement.
Die Sektoren 🏦Bankwesen, 🔌Elektrizität und 🌐Telekommunikation zählen weiterhin zu den reifsten und zugleich kritischsten Sektoren. Zudem konnten die Bereiche 🔐Vertrauensdienste, ✈️Luftfahrt und 📈Finanzmarktinfrastrukturen in die Kategorie mit hohem Reifegrad aufsteigen.
Allerdings verlaufen die Verbesserungen sehr ungleichmäßig, was die ENISA u.a. auf den Fachkräftemangel, die Größe der jeweiligen Akteure sowie auf sektorspezifische Besonderheiten zurückführt. Die kombinierte Betrachtung von Reifegrad und Kritikalität zeigt zudem, dass sich die sogenannte Risikozone verändert hat. Zur Risikozone gehören Sektoren, deren Reifegrad unter dem Durchschnitt liegt und hinter ihrer Kritikalität zurückbleibt.
Während der ⛽Gassektor aufgrund verbesserter Informationsweitergabe, stärkerer Zusammenarbeit und der besseren Implementierung von Risikomanagementmaßnahmen einen höheren Reifegrad erreicht hat und daher erste Fortschritte beim Verlassen der Risikozone erzielt, sind die Bereiche 🚆Schienenverkehr, 🚰Trinkwasser und 💧Abwasser gegenüber dem Vorjahr in die Risikozone gerückt, da ihr Reifegrad hinter ihrer Kritikalität zurückbleibt.
Die ENISA erwartet, dass Cybersicherheitsgesetzgebung, die zunehmende Wahrnehmung von Cyberrisiken und bisherige Erfahrungen auch künftig zu verstärkten Investitionen in die Cybersicherheit und Bereitschaftsbemühungen führen und dadurch weitere Sektoren die Risikozone verlassen können.
