Die Folgen des Cyberresilienzgesetzes

Das Datum für die Umsetzung des EU-Gesetzes zur Cyberresilienz rückt näher und zwingt Führungskräfte dazu, Maßnahmen zu ergreifen. Das Cyberresilienzgesetz verändert grundlegend die Sicherheitsverpflichtungen für alle Produkte, die Hersteller in der EU verkaufen.

Das Gesetz zielt darauf ab, dass Produkte so konzipiert werden, dass sie grundlegend sicher sind und während ihres gesamten Lebenszyklus sicher bleiben. Es macht starke Cybersicherheit zur Voraussetzung für den Marktzugang.

Unternehmen müssen jetzt handeln, um einen Flickenteppich aus einer immer umfangreicheren Gesetzgebung zu Cyberrisiken, Governance und Compliance zu bewältigen. Doch es besteht ein Missverhältnis: Mehr als die Hälfte (51 %) der Unternehmen investieren laut dem 2026 Risk and security outlook von ServiceNow nur begrenzt oder gar nicht in die Nachverfolgung regulatorischer Vorschriften. Das wirkt sich auf die Fähigkeit eines Unternehmens aus, sich angemessen auf die damit verbundenen Folgen vorzubereiten.

Was ist das Cyberresilienzgesetz?

Das Cyberresilienzgesetz ist eine Verordnung, die auf bestehenden Regeln aufbaut, um die Cybersicherheitsstandards in der EU zu verbessern. Es wurde entwickelt, um Verbraucher und Unternehmen vor Schwachstellen in Software- und Hardwareprodukten zu schützen.

Im Rahmen des Gesetzes müssen Unternehmen folgende Anforderungen erfüllen:

• Sicherstellen, dass Produkte die grundlegenden Cybersicherheitsanforderungen erfüllen, um sie vor unbefugtem Zugriff zu schützen
• Ausgenutzte Schwachstellen oder schwerwiegende Incidents überwachen und sie innerhalb von 24 Stunden an Regulierungsbehörden melden
• Während der erwarteten Lebensdauer des Produkts Sicherheitssupport und Software-Updates bereitstellen
• Die CE-Kennzeichnung bereitstellen, um die Einhaltung der
  EU-Sicherheitsstandards zu demonstrieren

Das Gesetz trat am 10. Dezember 2024 in Kraft, wobei die Verpflichtungen in den folgenden drei Jahren schrittweise einzuführen waren. Ab dem 11. September 2026 müssen Produkthersteller Sicherheitsvorfälle oder bekannte Exploits innerhalb von 24 Stunden an das Computer Security Incident-Reaktionsteam (CSIRT) der zuständigen Behörden melden.

Das volle Gewicht des Gesetzes tritt ab dem 11. Dezember 2027 in Kraft, wenn die nationalen Marktüberwachungsbehörden mit der Durchsetzung beginnen. Von Produktherstellern fordert das Gesetz vollständige Transparenz über gesetzlich relevante Sicherheitsverletzungen. Die Reichweite der Verordnung ist global, d. h. jeder Anbieter, der seine Produkte innerhalb der EU verkauft, muss das Gesetz einhalten, um Marktzugang zu erhalten.

Compliance-Verstöße können zu schweren Strafen führen, einschließlich der Rücknahme von Produkten vom Markt und Geldstrafen von bis zu 15 Millionen Euro oder 2,5 % des Gesamtumsatzes des Unternehmens im vorangehenden Geschäftsjahr, je nachdem, welcher Wert höher ist.

Für die meisten Unternehmen werden sich die praktischen Auswirkungen in schnelleren und häufigeren Sicherheitsupdates für die gekauften Produkte zeigen.

Wie kann ein Unternehmen integrierte Sicherheit bereitstellen?

Das Cyberresilienzgesetz unterstreicht die Bedeutung von in das Produkt integrierten Sicherheitskomponenten, d. h. dass Cyberresilienz von Anfang an in den Betrieb und den Entwicklungslebenszyklus von Software eingebunden werden muss. Dieser Ansatz stellt proaktive Resilienz sicher und vermeidet, dass sie erst nach einem Incident getestet wird.

Alle Unternehmen können Maßnahmen ergreifen, um ihre Software und Beschaffung von Grund auf sicher zu machen:

1. Einbettung von Compliance in die Produktentwicklung: Die Bewertung von Sicherheitsrisiken wird in die Designphasen integriert, um die Kontrollen zu definieren, die erforderlich sind, damit das Produkt dem „Secure by Design“-Framework entspricht. Dies bietet zahlreiche Vorteile, wie die Möglichkeit, eine kontinuierliche Überwachung der Steuerungen, eine automatische Nachweiserfassung und die Nachverfolgung regulatorischer Änderungen zu implementieren.

2. Nachverfolgung von Sicherheitsmerkmalen: Konformitätskennzeichen und Sicherheitszusagen von Drittparteien oder Lieferanten werden innerhalb des Systems überwacht, in dem Risiken durch Drittparteien verwaltet werden. Das Kontroll-Framework wird genutzt, um die Leistung kontinuierlich zu überprüfen – nicht nur in definierten Intervallen oder von Zeit zu Zeit.

3. Integration des Schwachstellenmanagements: Schwachstellen werden kontinuierlich identifiziert und den Kunden offengelegt und entsprechende Sicherheitsupdates werden bereitgestellt. Hierfür werden klar definierte Patching-Prozesse entwickelt, die konsequent ausgeführt werden.

4. Zugriffssteuerung: Die Zugriffskontrolle ist eine der grundlegenden Produktanforderungen des Gesetzes. Produkte müssen den Schutz vor unbefugtem Zugriff durch geeignete Kontrollmechanismen gewährleisten. Hierzu werden Authentifizierungs- und Identitäts- oder Zugriffsverwaltungssysteme eingesetzt, die über mögliche unbefugte Zugriffe berichten.

5. Regelmäßige Prüfung der Resilienz: Das Sicherheitsprofil wird durch laufende Tests von Szenarien und Auswirkungen sowie Toleranzprüfungen gestärkt, um sicherzustellen, dass Ihr Unternehmen auch bei Incidents betriebsfähig bleibt. Dazu ist auch eine Zuordnung der Asset-Abhängigkeit erforderlich, die Drittparteien einschließt.

6. Verwaltung einer Softwarestückliste (SBOM): Der vollständige Bestand der Produktkomponenten wird dokumentiert und beim Verkauf des Produkts bereitgestellt. So können die Sicherheitsteams Ihrer Kunden effizient erkennen, wo Schwachstellen vorhanden sind.

Wie unterstützt ServiceNow die Einhaltung der Compliance-Anforderungen?

Da Incidents innerhalb von 24 Stunden gemeldet werden müssen, sind Unternehmen gezwungen, schnell zu handeln, um den Umfang eines Ereignisses zu bewerten und dann zu ermitteln, was der Regulierungsbehörde und den Kunden berichtet werden muss. ServiceNow arbeitet mit Unternehmen zusammen, um mehrere Datenquellen in einer zentralen Ansicht zusammenzuführen, Schwachstellen und Bedrohungen im Zusammenhang mit Assets zu priorisieren, den Explosionsradius und damit die potenzielle Schadensreichweite zu minimieren und Probleme innerhalb der von der Regulierungsbehörde vorgegebenen Fristen zu beheben.

Die Einhaltung strikter Zeitpläne für die Incident-Berichterstattung erfordert Geschwindigkeit und vollständige Transparenz. ServiceNow Security Incident Response vereint Sicherheitsworkflows auf einer zentralen Plattform, sodass Teams ausgenutzte Schwachstellen schnell identifizieren können. Die manuelle Nachverfolgung wird durch Automatisierungen ersetzt, welche sowohl die Infrastruktur als auch die Compliance schützen.

Um die Angriffsfläche zu minimieren, erkennt Armis von ServiceNow alle verbundenen Assets in Echtzeit und inventarisiert sie. Über das vereinheitlichte Sicherheitsrisiko-Management konsolidiert die Lösung die Erkenntnisse in Bezug auf Risiken/Fehlkonfigurationen in einem Asset-Bestand von mehr als 7 Milliarden Geräten.

Armis überwacht außerdem den Netzwerk-Datenverkehr passiv, um anomales Geräteverhalten zu melden, das die Verfügbarkeit von gemeinsam genutzten Netzwerken/Services beeinträchtigen könnte.

Das Cyberresilienzgesetz schreibt vor, dass Hersteller Sicherheitsrisiken im Rahmen ihrer Produktplanung und -entwicklung bewerten. Das integrierte Risikomanagement von ServiceNow unterstützt Unternehmen dabei, ihre Pläne für organisationale Resilienz zu verwalten und Risiken, einschließlich Steuerungen, über den gesamten Produktlebenszyklus hinweg zu bewerten und zu überwachen.

Das Produkt basiert auf einem einzigen Aktionssystem und ermöglicht es Ihnen, den auditfähigen Prozess hinter der Produktsicherheit zu demonstrieren.

Wenn ein Cyberangriff auftritt, hilft ServiceNow Betriebliches Kontinuitätsmanagement Unternehmen dabei, die betroffenen Assets, Unternehmensbereiche und kritischen Prozesse ihres Betriebs schnell zu identifizieren. Dann können Geschäftskontinuitäts­pläne mithilfe der automatisierten Workflows für die Notfallwiederherstellung präzise ausgeführt werden.

Sicherheitsteams können die Abhängigkeitszuordnung über kritische Geschäfts­prozesse hinweg nutzen, um verschiedene Szenarien zu üben, sodass sie im Fall eines Ereignisses gut vorbereitet sind.

Wenn sich Unternehmen auf manuelle Tabellen und fragmentierte Kommunikation verlassen, um die Systemleistung von Drittparteien nachzuverfolgen, sind sie den blinden Flecken der Lieferkette ausgesetzt. ServiceNow Risikomanagement von Drittparteien ermöglicht es Unternehmen, die Nachverfolgung ihres mehrdimensionalen Risikoprofils zu zentralisieren und potenzielle Schwachstellen im erweiterten Ökosystem zu identifizieren.

Die SBOM-Fähigkeit von ServiceNow hilft Unternehmen, die Softwaresicherheit zu verbessern, Schwachstellen zu verwalten und Compliance-Risiken in der Lieferkette zu mindern. Dies geschieht, indem die Schwachstellen mit den Komponenten der SBOM korreliert werden. Dabei werden die Korrekturaktivitäten basierend auf der Kritikalität der Geschäftsprozesse priorisiert.

Zur Gewährleistung der Identitäts-Governance deckt der ServiceNow Access Graph die Anforderungen des Cyberresilienzgesetzes (Teil I.2) für die Zugriffssteuerung und die geringsten Berechtigungen direkt ab. Dabei wird ein breiterer Bereich einbezogen als beim herkömmliche Identitäts- und Zugriffsmanagement. Diese Anforderungen werden immer relevanter, da die von dem Gesetz betroffenen Produkte autonome KI-Komponenten einbetten.

Mit dem umfassenden Portfolio an Lösungen für Cyber- und Risikomanagement von ServiceNow können Unternehmen viele der Anforderungen im Zusammenhang mit dem Cyberresilienzgesetz automatisieren und so Panik in letzter Minute vermeiden.

Erfahren Sie mehr darüber, wie ServiceNow Ihnen helfen kann, mit KI-gestützten Risiko- und Sicherheitsfunktionen Resilienz aufzubauen.