Daten sind das Herzstück der digitalen Transformation. Der Zugang zu immer größeren Datenmengen und die Fähigkeit, diese zu nutzen, sind wesentliche Faktoren für Innovationen. Die Bedeutung von Daten, insbesondere in kritischen Sektoren, zieht die Aufmerksamkeit der Cyberkriminalität auf sich. Das Thema Cybersicherheit und Cyberangriffe wird für unsere Gesellschaft immer wichtiger, da die Zahl der Angriffe weltweit massiv zunimmt und die betroffenen Unternehmen, sowohl öffentliche als auch private, enormen wirtschaftlichen Schaden erleiden. Die Cyber-Bedrohungen für die Systeme des Landes werden immer raffinierter und verbreiteter.
Die Ergebnisse des Threat Landscape 2023, des Jahresberichts der Agentur der Europäischen Union für Cybersicherheit (ENISA), der einen detaillierten Überblick über die Bedrohungslandschaft im Bereich der Cybersicherheit gibt, zeigen einen Anstieg der Cybersecurity-Vorfälle: Von Juli 2022 bis Juni 2023 gab es etwa 2.580 Vorfälle, von denen 220 speziell zwei oder mehr EU-Mitgliedstaaten betreffen. Zu den am stärksten betroffenen Sektoren gehören öffentliche Behörden mit 19 % und das Gesundheitswesen mit 8 %. Allerdings zielen 6 % aller Vorfälle auf das verarbeitende Gewerbe, den Transport- und den Finanzsektor ab.
Als Reaktion auf die Herausforderungen der Cyberkriminalität wurden im Jahr 2022 Anstrengungen unternommen, um den Rechtsrahmen für die Cybersicherheit sowohl auf europäischer als auch auf nationaler Ebene zu stärken, und zwar mit einer Reihe von politischen Maßnahmen und Vorschlägen für Rechtsvorschriften, Zertifizierungen und neuen EU- und nationalen Richtlinien, die auf das Management von Cyberrisiken abzielen.
Gesetzgebung zur Cybersicherheit: Der europäische Überblick
Im Maßnahmenpaket für die digitale Zukunft Europas ist die Europäische Datenstrategie von großer Bedeutung, die im Februar 2022 mit dem Ziel vorgeschlagen wurde, einen Binnenmarkt für Daten zu schaffen, der Europas globale Wettbewerbsfähigkeit und Datensouveränität gewährleistet.
Sie besteht aus einer Reihe von Gesetzesinitiativen, die von der Europäischen Kommission vorgelegt wurden und bereits in Kraft sind: Gesetz über digitale Dienste (DSA); Gesetz über digitale Märkte (DMA); Gesetz über die Datenverwaltung (DGA); Datengesetz (DA). Ebenfalls vor kurzem, am 11. Januar 2024, ist das Datengesetz (DA) in Kraft getreten, das für Fairness im digitalen Umfeld sorgen wird, indem es klarstellt, wer unter welchen Bedingungen einen Mehrwert aus Daten schaffen kann. Das Datengesetz wird in über einem Jahr, am 12. September 2025, in Kraft treten.
Auf europäischer Ebene und kaskadenartig in allen Mitgliedstaaten ist die Verabschiedung der NIS-II-Richtlinie (EU-Richtlinie 2022/2055) im November 2022 zu erwähnen, mit der die NIS-Richtlinie (EU-Richtlinie 2016/1148) aktualisiert und überarbeitet wurde und die klareren und strengeren Verpflichtungen in Bezug auf die Cybersicherheit sowie größere Belastungen und Verantwortlichkeiten in Bezug auf dieses Thema vorsieht.
Die NIS-2-Richtlinie steht im Einklang mit den verschiedenen europäischen Verordnungen und Richtlinien zum Datenschutz und zum Schutz der Privatsphäre, vor allem mit der EU-Datenschutzgrundverordnung 2016/679 (GDPR), aber auch mit der DORA-Verordnung (Digital Operational Resilience Act, EU-Verordnung 2022/2554), der CER-Richtlinie (Critical Entity Resilience), dem Cyber Resilience Act und auf nationaler Ebene mit dem Nationalen Cybersicherheitsperimeter, der durch die Gesetzesverordnung Nr. 105 von 2019 eingeführt wurde. Damit wird sichergestellt, dass Organisationen Maßnahmen ergreifen, die zur Risikominderung geeignet sind, und dass digitale Produkte und Dienstleistungen mit einem Mindestmaß an Cybersicherheit entwickelt werden.
Die Verpflichtungen von NIS 2
Artikel 21 der NIS-2-Richtlinie legt in Absatz 1 fest, dass die Verpflichteten geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen müssen, um die Risiken für die Sicherheit der Informationssysteme und -netze zu beherrschen, die sie für ihre Tätigkeiten oder die Erbringung ihrer Dienste nutzen, und um die Auswirkungen von Zwischenfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder zu minimieren.
Wenn Sie zu den Verpflichteten gehören, müssen Sie durch eine Lückenanalyse festlegen, was die "angemessenen" technischen, betriebswirtschaftlichen und organisatorischen Maßnahmen sein werden, mit direktem Bezug auf den Grundsatz der "Rechenschaftspflicht" der Datenschutz-Grundverordnung, um IT-Systeme und -Netzwerke zu schützen, indem Sie eine Art Multi-Risiko-Ansatz anwenden. Im Vergleich zur Datenschutz-Grundverordnung ist in der NIS-2-Richtlinie klarer festgelegt, welche Maßnahmen dies sein können. Die Liste umfasst auch Strategien und Verfahren im Zusammenhang mit der Verwendung von Verschlüsselung und, falls erforderlich, Anonymisierung oder Pseudomisierung.
Auf der Grundlage der Richtlinie wird es unerlässlich sein, das eigene IT-Sicherheitsniveau ständig zu überwachen und die ergriffenen Maßnahmen entsprechend den Schwachstellen und tatsächlichen Bedrohungen, sowohl intern als auch extern, die die Sicherheit beeinträchtigen können, zu aktualisieren. Die NIS-2-Richtlinie erfordert daher einen kontinuierlichen Ansatz für das Management der Cybersicherheit durch die Festlegung klarer Ziele und die ständige Überwachung der erzielten Ergebnisse.
Die Einhaltung der NIS2-Richtlinie ist nicht nur eine Gelegenheit zur Einhaltung von Vorschriften, sondern auch eine Gelegenheit zur Einführung einer Sicherheitskultur sowie von technischen und organisatorischen Best Practices, die das Niveau der IT-Sicherheit erhöhen können.
Zertifizierungen und Sicherheitsstandards
Gleichzeitig wurden auch Zertifizierungssysteme und Informationssicherheitsstandards wie ISO 27001:2022 und der NIST-Rahmen für Cybersicherheit aktualisiert, für den die Version 2.0 für Februar 2024 angekündigt wurde. Es ist eines der praktischsten und wirksamsten Instrumente für die Analyse von Cyberrisiken, mit dem Organisationen ihre Infrastruktur untersuchen und proaktive Maßnahmen zur Ermittlung und Behebung von Schwachstellen ergreifen können. Kürzlich, im Dezember 2023, wurde eine Änderung des EU-Gesetzes von 2022 über die Cybersicherheit vernetzter Produkte, der Cyber Resilience Act (oder CRA), veröffentlicht mit dem Ziel, die Cybersicherheitsvorschriften zu stärken und sicherere Hardware- und Softwareprodukte zu gewährleisten.
In Bezug auf den italienischen Rechtsrahmen sind unter den Initiativen zur Bekämpfung des Phänomens der Cyberangriffe auch die Verabschiedung der Nationalen Cybersicherheitsstrategie 2022-2026 mit einem beigefügten Umsetzungsplan und die Aufnahme der Tätigkeit des Nationalen Bewertungs- und Zertifizierungszentrums (CVCN) durch das Dekret des Präsidenten des Ministerrats vom 17. Mai 2022 zu erwähnen. Die von der Nationalen Agentur für Cybersicherheit (ACN) definierte Strategie zielt darauf ab, bis 2026 82 Maßnahmen zu ergreifen, um das Land in mehreren Bereichen widerstandsfähiger gegen Cyberangriffe zu machen.
SECO: Garantierter Hard- und Softwareschutz
Dieses komplexe und differenzierte Regulierungsszenario zielt einerseits darauf ab, die Voraussetzungen für die Entwicklung sicherer digitaler Produkte zu schaffen und deren Schwachstellen zu verringern, und andererseits diejenigen, die Lösungen und Technologien für die neue Generation digitaler Geräte entwickeln, dazu zu bringen, der Sicherheit während des gesamten Produktlebenszyklus mehr Aufmerksamkeit zu schenken, da sich die Entscheidungen der Nutzer zunehmend auf sichere Produkte konzentrieren.
SECO ist bestrebt, die Sicherheit seiner Produkte sowohl in Bezug auf die Hardware als auch auf die Software zu gewährleisten, um eine proaktive Antwort auf die Herausforderungen der Cybersicherheit zu geben. Durch sicherheitsorientiertes Design werden die Hardware-Geräte und die Clea-Software-Suite von SECO entwickelt, um den Kunden die Einhaltung von Branchenvorschriften wie dem Cyber Resilience Act, CRA, zu erleichtern, die Sicherheit von IoT-Geräten zu verbessern und die digitale Resilienz zu stärken.
SECO-Hardwaregeräte enthalten spezielle Sicherheitskomponenten wie das Trusted Platform Module (TPM), einen kryptografischen Prozessor zur Umsetzung fortschritt