Energieunternehmen: NIS2-Audit, Risikobewertung und vCISO-Service

Ausgangslage

Ein Energieunternehmen in Kaunas, Litauen, mit 200 Mitarbeitenden betreibt die Infrastruktur für Wärmeerzeugung und -verteilung in einem Teil der Stadt. Die IT-Landschaft ist gemischt: Büro-Systeme, Microsoft 365 und Buchhaltung sowie, in einem getrennten Netz, die Steuerungssysteme der Produktion (SCADA), die von der Technikabteilung betreut werden. Die IT-Abteilung besteht aus drei Personen, und die Cybersicherheitsfunktion ist dem IT-Leiter neben der täglichen Arbeit zugewiesen.

Nach dem aktualisierten Cybersicherheitsgesetz, das die NIS2-Richtlinie umsetzte (in litauischem Recht „TIS2“), wurde das Unternehmen als wesentliche Einrichtung eingestuft. Die nationale Cybersicherheitsbehörde forderte es auf, eine Risikobewertung, Sicherheitsrichtlinien und ein Verfahren für das Vorfallmanagement einzureichen. Das Unternehmen hatte einige alte Dokumente, die nach dem früheren Gesetz erstellt worden waren, aber keines, das seine heutige Infrastruktur abbildete.

Der Geschäftsführer und die Geschäftsleitung wollten zweierlei: die tatsächliche Lage kennen und eine Person haben, die dauerhaft für die Sicherheit verantwortlich ist, nicht nur dann, wenn eine Aufforderung eintrifft.

Was erforderlich war

• Ein unabhängiges IT-Sicherheitsaudit für das Büronetz und seine Schnittstellen zum Betriebsnetz.
• Eine Risikobewertung, die die Geschäftsleitung versteht und die die nationale Cybersicherheitsbehörde akzeptiert.
• Ein Satz von Sicherheitsrichtlinien und Verfahren, zugeschnitten auf das Unternehmen und nicht aus einer Vorlage kopiert.
• Regelmäßige Schwachstellenscans und ein klarer Prozess, wer die gefundenen Lücken in welcher Frist schließt.
• Ein Plan für das Vorfallmanagement mit den Fristen für die Meldung an die nationale Cybersicherheitsbehörde.
• Eine dauerhafte Sicherheitsführung ohne zusätzliche Einstellung.

Was wir getan haben

Monat 1: IT-Sicherheitsaudit

Wir führten ein IT-Sicherheitsaudit durch: Prüfung der Netzarchitektur, Analyse von Zugriffen und privilegierten Konten, externe und interne Schwachstellenscans, Bewertung der Microsoft-365-Konfiguration und Interviews mit IT- und Technikabteilung. Das Ergebnis waren 64 Feststellungen, davon 9 kritisch. Am häufigsten waren gemeinsame Administratorpasswörter, Fernzugriff auf das Betriebsnetz ohne Multifaktor-Authentifizierung, Netzwerkgeräte, die nicht aktualisiert wurden, und Backups im selben Netz wie die Server.

Monat 2: Risikobewertung und Schließen kritischer Lücken

Aus den Audit-Feststellungen entwickelten wir eine Risikobewertung, die auf den Auswirkungen auf den Betrieb des Unternehmens beruht: Was würde mit der Wärmeversorgung, der Buchhaltung und dem Kundenservice geschehen. Die Geschäftsleitung genehmigte die Risikobereitschaft und eine Prioritätenliste. Parallel schloss die IT-Abteilung mit unserer Hilfe die kritischen Lücken: Für alle Fernzugriffe wurde Multifaktor-Authentifizierung eingeführt, administrative Konten wurden getrennt, Netzwerkgeräte aktualisiert, und Backups wurden auf unveränderlichen Speicher verlagert.

Am schwierigsten war das Betriebsnetz. Einige SCADA-Komponenten laufen auf alten Betriebssystemen, die sich ohne den Hersteller nicht aktualisieren lassen. Statt sie zu aktualisieren, setzten wir kompensierende Maßnahmen um: strikte Netzwerksegmentierung, Zugriff nur über einen kontrollierten Sprungserver mit Sitzungsaufzeichnung und separates Monitoring. Diese Lösungen stimmten wir mit der Technikabteilung ab, damit die Sicherheit die Produktionsprozesse nicht behindert.

Monat 3: Richtlinien und Vorfallplan

Wir schrieben 12 Richtlinien und Verfahren: Informationssicherheitsrichtlinie, Zugriffsverwaltung, Lieferantensicherheit, Änderungsmanagement, Backup- und Wiederherstellungsverfahren, Vorfallmanagement und weitere. Jedes umfasst nur wenige Seiten und nennt eine konkrete verantwortliche Person. Der Vorfallplan beschreibt Klassifizierung, die Fristen für die Meldung an die nationale Cybersicherheitsbehörde, die Kommunikation mit der Kommune und den Kunden sowie die Maßnahmen, falls das Betriebsnetz betroffen ist. Den Plan testeten wir mit einer Planübung (Tabletop) gemeinsam mit der Leitung.

Monat 4: vCISO und regelmäßiger Zyklus

Ab dem vierten Monat begannen wir mit dem CISO-Service: Unser zertifizierter Spezialist (CISM, CRISC) arbeitet einen Tag pro Woche als Sicherheitsverantwortlicher des Unternehmens. Wir führten monatliche Schwachstellenscans mit Behebungsfristen nach Schweregrad ein, einen vierteljährlichen Bericht an die Geschäftsleitung und eine jährliche Aktualisierung der Risikobewertung.

Ergebnis

Alle 9 kritischen Audit-Feststellungen waren bis Ende des dritten Monats geschlossen; die Zahl offener kritischer Schwachstellen liegt jetzt bei null, bestätigt durch den Scan jedes Monats. Das Unternehmen hat 12 genehmigte Richtlinien und Verfahren, ein Risikoregister und einen Vorfallplan, ein Paket, das bei der nationalen Cybersicherheitsbehörde eingereicht wurde und ohne Anmerkungen blieb.

Jedes Quartal erhält die Geschäftsleitung einen einseitigen Bericht: die Veränderung der Risiken, offene Schwachstellen nach Schweregrad, Vorfälle und den Stand der Audit-Maßnahmen. Es ist das erste Mal, dass Sicherheit auf Leitungsebene als ständiger Tagesordnungspunkt behandelt wird und nicht als Reaktion auf ein Schreiben. Die Ergebnisse der monatlichen Scans zeigen den Trend: Innerhalb eines halben Jahres sank die Zahl der Schwachstellen mittleren Schweregrads um etwa ein Drittel, und neu gefundene Lücken werden innerhalb der vereinbarten Frist geschlossen.

„Das Audit zeigte, was wir vermutet hatten. Am wichtigsten: Jetzt gibt es jemanden, der jeden Monat prüft, dass sich die Lücken nicht wieder geöffnet haben.“

Was wir in einer ähnlichen Situation raten

• Beginnen Sie mit einem Audit, nicht mit Richtlinien. Eine Richtlinie, die ohne Kenntnis der tatsächlichen Lage geschrieben wurde, lässt sich nicht umsetzen.
• Lassen Sie das Betriebsnetz nicht außerhalb des Umfangs. Die Schnittstellen zwischen Büro- und Produktionsnetz sind meist der schwächste Punkt.
• Stellen Sie der Geschäftsleitung Risiken in der Sprache des Geschäfts dar: Stunden ohne Versorgung, Bußgelder, Reputation. Das gibt Budget schneller frei als eine Liste technischer Schwachstellen.
• Sicherheit ist ein Zyklus, kein Projekt. Ein monatlicher Scan und ein vierteljährlicher Bericht zählen mehr als das dickste Dokument.