Überblick über die europäische NIS2-Richtlinie

NIS2 ist eine neue EU-Richtlinie, der Sie Beachtung schenken sollten.

Es lässt sich nicht leugnen, dass die Digitalisierung interne und externe Prozesse effizienter gemacht hat, den Warenverkehr erleichtert und Kosten minimiert hat. Doch gerade diese Abhängigkeit von vernetzten digitalen Systemen hat Hersteller – und ihre Wertschöpfungsketten – einer beispiellosen Ebene von Cybersicherheitsbedrohungen ausgesetzt, da Cyberkriminelle zunehmend Schwachstellen innerhalb der Lieferkette ins Visier nehmen. 

Die Europäische Union hat diesen Bereich tiefgreifender Bedenken erneut angegangen durch die Richtlinie zur Netz- und Informationssicherheit NIS2, indem sie rechtliche Maßnahmen ergriffen hat, um die Cybersicherheitsverteidigung in einer breiteren Palette von Sektoren zu stärken, die Verantwortlichkeit der Führungskräfte einzuführen, Unternehmen für ihre Lieferketten verantwortlich zu machen und erhebliche finanzielle Strafen für Nichteinhaltung zu implementieren.

Lassen Sie uns erkunden, wie die NIS2-Richtlinie neue Standards für die Cybersicherheit setzt und was das für Sie und Ihre Geschäftspartner bedeutet.

Die steigende Bedrohung durch Cybersicherheit in der PCB-Industrie

Während die Fähigkeiten unserer Gegner reifen, muss auch unsere Reaktion reifen.

Laut dem Global Threat Report 2024 von CrowdStrike, war der Technologiesektor im Jahr 2023 die am häufigsten für interaktive Eindringaktivitäten gezielte Branche, und der Telekommunikationssektor war die zweithäufigst gezielte Branche.

Als Schlüsselkomponenten in nahezu allen elektronischen Geräten sind Leiterplatten (PCBs) entscheidende Vermögenswerte in diesen und vielen anderen lebenswichtigen Branchen wie Luft- und Raumfahrt, Automobilindustrie und Gesundheitswesen; jede Störung in den Lieferketten von PCBs, die durch Cyberbedrohungen verursacht wird, hat das Potenzial, sich über ganze Sektoren auszubreiten und kostspielige Verzögerungen sowie Betriebsstillstände zu verursachen. In den letzten zehn Jahren wurde die Fertigung jedoch durch das, was als Industrie 4.0 bezeichnet wird, und digitale Innovationen wie digitale Zwillinge, Robotik, KI, Cloud-Computing und das industrielle Internet der Dinge (IIoT) transformiert. Während diese Fortschritte Wachstum und Effizienz steigern, erhöhen sie auch die Exposition des Sektors gegenüber Cyberbedrohungen und bieten neuen Eintrittspunkten für Cyberkriminelle, die ausgenutzt werden können.

Andere Faktoren, die die Cybersicherheitsrisiken in der Fertigung erhöhen, umfassen unzureichende Mitarbeiterschulungen, bei denen ein Mangel an Bewusstsein zu schwachen Passwörtern oder Anfälligkeit für Phishing-Angriffe führen kann. Zusätzlich schafft die Abhängigkeit von veralteten Systemen ohne moderne Sicherheitsfunktionen Cyber-Risiken, ebenso wie komplexe Lieferketten mit zahlreichen Drittanbieterpartnern, die mehrere Eintrittspunkte für Hacker bieten. Die hochkompetitive Natur der Branche und ihre Abhängigkeit von datengesteuerten Operationen erhöht auch die Wahrscheinlichkeit von Diebstahl geistigen Eigentums oder Datenverletzungen.

Cyberbedrohungen können viele Formen annehmen, einschließlich Angriffe auf die Lieferkette, Ransomware, Diebstahl geistigen Eigentums und Sabotage der Produktion, und bedeuten erhebliche finanzielle, strategische und rufschädigende Risiken.

Häufige Arten von Cyberangriffen in der Fertigung

Häufige Arten von Cyberangriffen in der Fertigung und wie sie funktionieren:

• Ransomware-Angriffe: Bösartige Software ("Malware"), die den Zugriff auf ein Computersystem oder Dateien einschränkt, bis ein Lösegeld gezahlt wird.
• Phishing-Angriffe: Täuschende E-Mails, Websites oder Nachrichten, die darauf abzielen, Personen dazu zu bringen, sensible Informationen preiszugeben.
• Whaling-Kampagnen: Ausgefeilte Phishing-Angriffe, die sich gegen hochrangige Personen innerhalb einer Organisation richten.

Wie sieht das in der Realität aus? Durch einen Ransomware-Angriff könnten böswillige Akteure die Produktion vollständig stoppen, mit Verlusten, die sich sowohl nach oben als auch nach unten durch die Lieferkette ziehen. Die Offenlegung proprietärer PCB-Designs durch Datenverletzungen könnte zu möglichen Markteinbußen und Wettbewerbsnachteilen führen.

Als ein aktuelles Beispiel für die sehr reale Bedrohung, die die Cybersicherheit für die Industrie darstellt, hat der in den USA ansässige Halbleiterlieferant Microchip Technology bestätigt, dass ein kürzlicher Ransomware-Angriff zum Diebstahl von persönlichen Informationen und anderen Daten aus seinen Systemen geführt hat. Das Unternehmen meldete den Vorfall am 20. August und informierte die US-SEC, dass einige Server und Geschäftsabläufe betroffen waren. Es gelang ihnen jedoch, den Angriff einzudämmen, indem sie die betroffenen Systeme isolierten.

Verständnis der NIS2-Richtlinie

Als Erweiterung der NIS-Richtlinie, die 2016 eingeführt wurde und sich hauptsächlich auf Sektoren kritischer Infrastrukturen wie Energie und Verkehr konzentrierte, erweitert NIS2 den Geltungsbereich des ursprünglichen regulatorischen Rahmens und fordert Organisationen in einer breiteren Palette von Branchen zur Übernahme auf, als Reaktion auf die gestiegene Reife und Intensität der heutigen Cybersicherheitslandschaft.

Wichtige Aspekte der Richtlinie, auf die Sie achten sollten, umfassen:

• Erweiterter Geltungsbereich: Im Gegensatz zu seinem Vorgänger umfasst die NIS2-Richtlinie eine breitere Palette von Sektoren, die von Kerninfrastrukturindustrien auf eine Reihe von Fertigungssektoren erweitert wurden, einschließlich der PCB-Herstellung, die unter die Kategorie "essenzieller" Sektor eingestuft wird. Das Ziel ist es, Entitäten zu schützen, die Dienstleistungen anbieten, die für wirtschaftliche und soziale Aktivitäten kritisch sind.
• Strengere Sicherheitsanforderungen: NIS2 erzwingt robustere Cybersicherheitsmaßnahmen, indem es von Organisationen verlangt, Verfahren zur Erkennung und Behandlung von Cyber-Vorfällen zu implementieren und dabei die Geschäftskontinuität zu gewährleisten, einschließlich Anforderungen an die Vorbeugung von Vorfällen, Risikomanagement und Reaktion auf Vorfälle.
• Verbesserte Sicherheit der Lieferkette: In Artikel 21(2)(d) geregelt, stellt eines der wichtigsten Elemente der NIS2-Richtlinie für Hersteller Standards zur Bewertung der Cybersicherheitslage von Lieferanten vor. Unter dieser Bestimmung müssen Schlüssel- und wesentliche Einheiten angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Sicherheit der Lieferkette zu schützen.
• Meldepflichten bei Vorfällen: Unter NIS2 sind Organisationen nun verpflichtet, Vorfälle den nationalen Behörden zu melden, wobei eine Frist von 24 Stunden für die Erstmeldung und weitere Updates innerhalb von 72 Stunden vorgeschrieben sind.
• Verantwortlichkeit und Governance: NIS2 fügt eine neue Ebene der Verantwortung für Unternehmensführung hinzu, indem Organisationen einen benannten Beauftragten oder Manager für Cybersicherheit ernennen müssen, und das Senior-Management kann für Nichteinhaltung zur Verantwortung gezogen werden. 
• Sanktionen bei Nichteinhaltung: Die NIS2-Richtlinie ermöglicht erhebliche finanzielle Strafen bei Nichteinhaltung. Diese Strafen variieren, können aber bis zu 10 Millionen Euro oder 2% des weltweiten Umsatzes des Unternehmens erreichen und schaffen einen überzeugenden wirtschaftlichen Anreiz, die Standards einzuhalten.

Was NIS2 für Ihre Lieferkette bedeutet

Durch das Setzen strengerer Cybersicherheitsstandards in wesentlichen Industrien stellt die NIS2-Richtlinie sowohl eine Chance als auch eine Verpflichtung für PCB-Hersteller dar, erhöhte Cybersicherheitsstandards zu erfüllen und dabei widerstandsfähigere Lieferketten zu schaffen.

Hier sind einige spezifische Auswirkungen der Richtlinie auf die Lieferketten der PCB-Herstellung:

Verschärfte Cybersicherheitsstandards

Die NIS2-Richtlinie verlangt, dass PCB-Hersteller einen strengen Satz von Cybersicherheitsanforderungen erfüllen, einschließlich der Schaffung und Aufrechterhaltung starker Sicherheitsrahmen, von regelmäßigen Schwachstellenbewertungen bis hin zur Implementierung von Multi-Faktor-Authentifizierung und Verschlüsselungsprotokollen.

Organisationen müssen sicherstellen, dass sie Mechanismen und Budgets bereitstellen, um Cyber-Risiken kontinuierlich zu identifizieren, zu bewerten und zu mindern, ein Engagement, das die Einstellung spezialisierter Cybersicherheitspersonal, Investitionen in fortschrittliche Bedrohungserkennungswerkzeuge und die Schaffung von Sicherheitsbetriebszentren (SOCs) zur Überwachung der Netzwerkaktivität erfordern kann. Für diejenigen, die zuvor begrenzte Ressourcen für Cybersicherheit bereitgestellt haben, ist es eine Veränderung, die sorgfältig geplant werden muss.

Erhöhte Sichtbarkeit und Transparenz der Lieferkette

Das Ziel der Richtlinie, die Sicherheit der Lieferkette zu erhöhen, wird eine gesteigerte Transparenz von Lieferanten und Partnern erfordern und kann Hersteller dazu veranlassen, Sicherheitsaudits und -bewertungen entlang der Lieferkette durchzuführen, um die Einhaltung der NIS2-Anforderungen zu gewährleisten.

PCB-Hersteller müssen möglicherweise von Drittanbietern verlangen, ihre Sicherheitspraktiken zu demonstrieren, was zu Reibungen mit Lieferanten führen und zu strategischeren Entscheidungen zwingen kann, um die Einhaltung zu gewährleisten, insbesondere wenn Lieferanten nicht willens oder in der Lage sind, den Standards der Richtlinie zu entsprechen.

Verschärfte Protokolle für die Meldung von Vorfällen

PCB-Hersteller sind verpflichtet, bedeutende Cybersicherheitsvorfälle innerhalb von 24 Stunden an nationale Behörden zu melden und innerhalb von 72 Stunden weitere Updates zu liefern. Wie Hersteller wissen, minimiert eine Verkürzung der Reaktionszeit die Auswirkungen. Obwohl dies Bedenken hinsichtlich des Rufschadens aufwerfen kann, ist die Meldung von Vorfällen wesentlich, um potenzielle Schäden zu begrenzen.

Um diese Meldeanforderungen zu erfüllen, benötigen Hersteller robuste Prozesse zur Erkennung, Klassifizierung und Eskalation von Vorfällen. Ein strukturierter Plan für die Reaktion auf Vorfälle kann verhindern, dass Sicherheitsverletzungen eskalieren und die Auswirkungen auf die gesamte Lieferkette begrenzen.

Verantwortlichkeit der Führungsebene und Risikomanagementkultur

Eine der wirkungsvollsten Änderungen der NIS2-Richtlinie ist die Anforderung an die Verantwortlichkeit der Führungsebene in Bezug auf die Einhaltung der Cybersicherheit. Führungskräfte in PCB-Herstellungsunternehmen müssen jetzt über Cybersicherheitsplanung und Reaktionsstrategien informiert und daran beteiligt sein.

Diese Verschiebung unterstreicht die Bedeutung der Einbettung von Cybersicherheit in die Unternehmensführungsstruktur. Führungskräfte müssen über Cyber-Risiken aufgeklärt und dazu ermutigt werden, Initiativen zur Cybersicherheit zu unterstützen. Im Gegenzug betont die Richtlinie eine "Kultur der Cybersicherheit", in der Mitarbeiter auf allen Ebenen in Best Practices, Bedrohungsbewusstsein und sicherem digitalen Verhalten geschult werden.

Strafen und die Kosten der Nichteinhaltung

Mit Strafen von bis zu 10 Millionen Euro oder 2% des weltweiten Umsatzes eines Unternehmens sind die finanziellen Folgen der Nichteinhaltung der NIS2-Richtlinie erheblich, und für viele PCB-Hersteller stellen sie eine ernsthafte Bedrohung dar. Organisationen können schwerwiegende Konsequenzen für das Versäumnis, rechtliche Verpflichtungen zu erfüllen, gegenüberstehen. Unternehmen sollten eine proaktive Haltung einnehmen, die die Gelegenheit nutzt, sich zu differenzieren und in die Einhaltung nicht nur als regulatorische Verpflichtung, sondern auch als kostensparende, markenstärkende Maßnahme zu investieren.

Jenseits der Geldstrafen könnte der Reputationsschaden erheblich sein, insbesondere für Hersteller, die mit sensiblen oder hochkarätigen Kunden arbeiten. Nichteinhaltung oder bedeutende Cybersicherheitsverletzungen könnten zu einem Verlust des Vertrauens von Verbrauchern und Partnern führen und letztendlich Ihre langfristige Lebensfähigkeit und Wachstum gefährden.

Wie man die NIS2-Richtlinie einhält

Die Einhaltung der NIS2-Richtlinie erfordert strategische Planung und Ressourcenzuweisung. Hier sind einige Schritte, die PCB-Hersteller in Betracht ziehen sollten:

Führen Sie Cybersicherheitsrisikobewertungen durch: Um eine gezielte Cybersicherheitsstrategie zu entwickeln und zuerst die Bereiche mit hohem Risiko anzugehen, beginnen Sie mit einer umfassenden Bewertung der Cybersicherheitsrisiken, um potenzielle Schwachstellen zu identifizieren. 

Entwickeln Sie eine robuste Sicherheitsstrategie für die Lieferkette: Arbeiten Sie eng mit Lieferanten zusammen, um deren Cybersicherheitspraktiken zu bewerten und einen Aktionsplan zur Behebung etwaiger Bedenken zu erstellen. Legen Sie vertragliche Verpflichtungen zur Einhaltung von Cybersicherheitsstandards fest und fordern Sie regelmäßige Berichte über die Sicherheitslage.

Implementieren Sie fortschrittliche Systeme zur Erkennung und Reaktion auf Vorfälle: Investieren Sie in Systeme, die eine Echtzeit-Erkennung von Bedrohungen und Reaktionssysteme bieten. Etablieren Sie Protokolle zur Reaktion auf Vorfälle, die schnelles Handeln und die Einhaltung von Berichtspflichten ermöglichen.

Schulen Sie Führungskräfte und Mitarbeiter in den besten Praktiken der Cybersicherheit: Implementieren Sie ein umfassendes Schulungsprogramm, das nicht nur technisches Personal, sondern auch Führungskräfte und alle Mitarbeiter einbezieht. Der Aufbau einer „cyberbewussten“ Kultur kann menschliche Fehler reduzieren und die Cybersicherheit insgesamt stärken. Wenn Sie in diesem Bereich weitere Hilfe suchen, bietet das Weltwirtschaftsforum ein Handbuch zum Aufbau einer Kultur der Cyber-Resilienz in der Fertigung.

Stellen Sie klare Governance und Verantwortlichkeit her: Ernennen Sie einen Cybersicherheitsbeauftragten oder richten Sie ein funktionsübergreifendes Team ein, das für die Einhaltung der Cybersicherheit verantwortlich ist. Dieses Team sollte regelmäßig dem Vorstand Bericht erstatten und Updates zu Compliance, Risiken und Vorfallmanagement liefern.

Eine widerstandsfähigere, sicherere PCB-Lieferkette

Obwohl die Einhaltung von Vorschriften eine Hürde darstellen kann, die erhebliches Engagement, Investitionen und Anpassungen erfordert, liegt der Vorteil in einer transparenteren, sichereren und widerstandsfähigeren PCB-Lieferkette.

Um den Aufwand und die Kosten in Perspektive zu setzen, wurde der Vorfall in der Lieferkette von Applied Material im Jahr 2023 auf Kosten in Höhe von 250 Millionen Dollar geschätzt.

Die Bedeutung der Cybersicherheit in der heutigen Zeit wird von Kunden und Klienten nicht untergraben und sollte nicht durch Ihre Lieferkette gefährdet werden. Indem Unternehmen proaktiv ihre Schwachstellen angehen und die Einhaltung der NIS2 sicherstellen, können sie nicht nur das Risiko von Unterbrechungen mindern, sondern sich auch als zuverlässige, vertrauenswürdige Partner differenzieren, die ihren Teil zur Gewährleistung der Stabilität und Sicherheit der globalen PCB-Lieferkette beitragen.