Kühlanlagen-Hack: Warum NIS2 und CRA Pflicht sind

Cyberangriff auf französische Supermärkte und deren Kühlanlagen: Warum NIS2 und CRA mehr als Bürokratie sind.

Ein Cyberangriff auf vernetzte Kühlanlagen hat in Frankreich Hunderte Supermärkte getroffen. Die Folge: Große Mengen an Frisch- und Tiefkühlware mussten entsorgt werden. Der Vorfall zeigt, wie schnell Cyberangriffe auf vernetzte Geräte konkrete Auswirkungen auf den Filialbetrieb und die Lebensmittelversorgung haben können. Welche Rolle spielen EU-Regularien wie die NIS2-Richtlinie und der Cyber Resilience Act (CRA), um solche Risiken zu begrenzen?

Zusammenfassung (TL; DR):

• Der Cyberangriff auf vernetzte Kühlanlagen französischer Supermärkte demonstriert drastisch, wie digitale Schwachstellen im Internet der Dinge (IoT) zu massiven physischen Schäden und Versorgungsengpässen in der realen Welt führen.
• EU-Regularien wie die NIS2-Richtlinie und der Cyber Resilience Act (CRA) sind daher keine reine Bürokratie.
• Sie verpflichten Betreiber und Hersteller gesetzlich zur Umsetzung längst bekannter Sicherheits-Best-Practices sowie zum Risikomanagement der gesamten Lieferkette.

Angriffe auf das Internet der Dinge (IoT) sind nicht neu

Angriffe auf Nicht-IT-Geräte, also das Internet der Dinge (IoT) wie bei den Kühlanlagen, sollten niemanden mehr überraschen. Die Probleme sind bekannt: offen erreichbare Systeme, mangelnde Absicherung und fehlende Updates. Genau darum soll es mir hier aber nicht primär gehen.

Ich möchte den Blick auf das Vorgehen der Europäischen Union (EU) richten. Regularien wie die NIS2-Richtlinie (Network and Information Security Directive 2), der Cyber Resilience Act (CRA) und ähnliche Vorgaben haben in den letzten Jahren viel Kritik erhalten. Meiner Meinung nach oft zu Unrecht. Im Kern verlangen sie Dinge, die aus Cybersicherheitssicht eigentlich selbstverständlich sein sollten: kein Hype-Marketing, kein Feenstaub, sondern ein Mindestmaß an Security, dessen Umsetzung im Interesse jedes Unternehmens liegen sollte. Im Kontext dieses Vorfalls möchte ich drei Punkte aus NIS2 in Erinnerung rufen.

NIS2 für den Handel

• Security-Mindestmaßnahmen: Sie sollen genau solche Probleme verhindern: verwundbare, von außen erreichbare Geräte, die kritische Prozesse beeinflussen können.
• Der All-Hazards-Risk-Ansatz: NIS2 schreibt einen expliziten Risikoansatz vor, der alle Risiken umfasst. Ein IT-Risiko, das zu einem Versorgungsproblem anwachsen kann, fällt aus meiner Sicht eindeutig darunter. Selbst wenn das IT-Risiko isoliert betrachtet fälschlicherweise als gering eingestuft wird, gleichen die nachfolgenden Auswirkungen auf die Lebensmittelversorgung, den Gesundheitsschutz und den Filialbetrieb diese Fehleinschätzung aus.
• Lieferketten im eigentlichen Sinne: Im Kontext von NIS2 wird meist nur von IT- oder Software-Lieferketten gesprochen. In diesem Fall gab es jedoch einen Übersprung von der Cyberwelt in die reale Welt. Genau das adressiert NIS2: Cybersecurity-Probleme, die sehr schnell physische und gesellschaftliche Auswirkungen haben können.

CRA für Hersteller und Inverkehrbringer

Betrachten wir nun die andere Seite: Während NIS2 die Betreiber in den Fokus rückt, richtet sich der CRA stärker an Hersteller und Inverkehrbringer. Im Kontext des Vorfalls hätte der Betreiber – auch auf Grundlage von NIS2 (sofern er betroffen ist) – Pflichten zur Absicherung und Aktualisierung der Systeme. Auf Herstellerseite entsteht durch den CRA ebenfalls eine Verantwortung: Updates während der geplanten Supportzeit bereitzustellen und vor möglichen Verwundbarkeiten zu warnen – auch bei älteren Systemen.

Deshalb möchte ich den Fokus wieder auf die EU lenken. Ja, viele sind von der Regulierung genervt. Oft höre ich das Argument, solche Vorgaben seien überflüssig, da sie lediglich bewährte Verfahren verlangen. Genau an dieser Stelle hake ich ein: Ja, NIS2 und CRA verlangen im Kern Best Practices. Wenn alle diese Best Practices im Sinne des Fortbestehens der eigenen Organisation konsequent umsetzen würden, hätten wir viele dieser Probleme nicht und bräuchten weniger Regulierung. Die Realität sieht leider anders aus. Entsprechende Best Practices sind seit Jahren dokumentiert, etwa von der ENISA (European Union Agency for Cybersecurity) und dem BSI (Bundesamt für Sicherheit in der Informationstechnik), wenn auch oft als nicht rechtlich bindende Empfehlungen. Nur halten sich eben nicht alle daran.

Resilienz des Binnenmarktes

Entsteht daraus eine Gefahr für die Resilienz des Binnenmarktes, der eine der zentralen Säulen der EU ist, dann ist die regulatorische Reaktion nachvollziehbar. Wenn starke Empfehlungen nicht ausreichen, wird reguliert. Dass solche Vorfälle weiterhin passieren, zeigt aus meiner Sicht deutlich, dass dieser Schritt notwendig war und ist. EU-Blaming hin oder her.

Häufige Fragen (FAQ)