Mit der Umsetzung der NIS2-Richtlinie stehen Unternehmen vor strengeren Anforderungen an Cybersecurity-Maßnahmen. Warum der Fachkräftemangel und die Notwendigkeit für Investitionen in Sicherheit und Weiterbildung neue Strategien und Anpassungen erfordern, um die Cyberresilienz zu stärken und wirtschaftliche Risiken zu minimieren, erklärt Ed Parsons, ISC2, im Gespräch.

Foto: Isc2 Ed Parsons ist als Vice President Global Markets and Member Relations für The International Information System Security Certification Consortium (ICS2) tätig. ISC2 ist ein gemeinnütziger und der weltweit größte Mitgliederverband für Cybersecurity-Experten. Der Verband setzt sich für eine sichere Cyber-Welt und die Weiterentwicklung des Berufsstandes ein. it&t business: Was kommt auf Unternehmen zu, wenn die NIS2-Richtline in Kraft tritt?

Ed Parsons: Die Frist, bis zu der die Länder die NIS2-Richtlinie in nationales Recht umsetzen müssen, rückt immer näher, wodurch sich die Zahl der Unternehmen, die den Anforderungen der Richtlinie unterliegen, erheblich erhöhen wird. NIS2 gibt Richtlinien für Risikomanagement, Unternehmensverantwortung, strengeres Reporting und Geschäftskontinuitätsplanung vor. Diese werden durch grundlegende Sicherheitsvorkehrungen unterstützt, einschließlich Supply Chain Security, Netzwerksicherheit, vorgeschriebene Verschlüsslung, Multi-Faktor-Authentifizierung und weitere Praktiken wie Schwachstellenmanagement und Cybersecurity-Training.

Durch die Verbesserung der Cyber-Resilienz der einzelnen Unternehmen zielt NIS2 darauf ab, die Cyber-Resilienz in der gesamten EU zu stärken. Allerdings stellt dies auch eine Herausforderung dar, insbesondere für mittelständische Unternehmen: ISC2 schätzt, dass 95Prozent der Unternehmen mit weniger als 100 Mitarbeitern überhaupt kein Fachpersonal für Informations- oder Systemsicherheit haben.

Obwohl die NIS2 in erster Linie für mittlere und große Unternehmen gilt, verdeutlicht diese Statistik eine zentrale Herausforderung bei der erfolgreichen Umsetzung der NIS2. Der Erfolg jeder Verordnung hängt von der Fähigkeit der Unternehmen ab, ihren Verpflichtungen nachzukommen, was wiederum genügend qualifiziertes Personal erfordert. Unseren Untersuchungen zufolge schätzen wir, dass im Jahr 2023 europaweit 347.761 zusätzliche Fachkräfte für Cybersicherheit benötigt werden, damit sich Unternehmen angemessen absichern können. Unternehmen sehen sich mit einem erheblichen Mangel an qualifiziertem Personal konfrontiert, was bei der Einhaltung der Vorschriften wahrscheinlich zu Herausforderungen führen wird.

it&t business: Im Cybersecurity-Sektor sollte eine Goldgräberstimmung herrschen, oder?

Ed Parsons: Wir gehen davon aus, dass die Nachfrage nach Anbietern von Cybersecurity-Lösungen steigen wird, da Unternehmen ihre Sicherheit entweder durch neue Produkte und Dienstleistungen oder durch die Einstellung von Cybersecurity-Fachkräften verstärken werden. Wir hoffen auch, dass NIS2 Organisationen dazu anregen wird, sich auf die Verbesserung der Fähigkeiten ihrer derzeitigen Belegschaft zu konzentrieren. Heute geben 92 Prozent der Cybersecurity-Experten an, dass ihre Organisation in einem oder mehreren Bereichen unter Qualifikationsdefiziten leidet. Die Mitarbeiter im Bereich der Cybersecurity sind in der Regel gut ausgebildet und hochqualifiziert, doch mit dem Inkrafttreten neuer Vorschriften und der Weiterentwicklung der Technologie können Qualifikationslücken entstehen. Es ist wichtig, dass Unternehmen in Schulungen investieren. NIS2 ist für Unternehme eine echte Gelegenheit, ihre derzeitige Sicherheitslage zu überprüfen und zu verbessern, und wir hoffen, dass sie zu größeren Investitionen in die Menschen führen wird, die zum Schutz der Unternehmen und Bürger der EU benötigt werden.

it&t business: Cyberangriffe verursachen große wirtschaftliche Schäden. Kann dieser Schaden beziffert werden?

Ed Parsons: Die Quantifizierung des wirtschaftlichen Schadens von Cyberangriffen kann komplex sein. Forscher bewerten die finanziellen Auswirkungen anhand verschiedener Metriken, z. B. der direkten Kosten für Ausfallzeiten, Abhilfemaßnahmen, Geldbußen und entgangene Geschäfte. Indirekte Kosten, einschließlich Rufschädigung und Verlust des Kundenvertrauens, spielen ebenfalls eine wichtige Rolle. Obwohl eine genaue Quantifizierung aufgrund der Einzigartigkeit und des Ausmaßes eines jeden Angriffs schwierig sein kann, bieten Untersuchungen von IBM und dem Ponemon Institute, die im jährlichen „Cost of a Data Breach“-Report vorgestellt werden, einen Einblick in den durch solche Vorfälle verursachten Schaden, der sich auf Beispiele aus der Praxis stützt. Jüngste Ergebnisse deuten darauf hin, dass die Durchschnittskosten einer Datenpanne im Jahr 2024 gegenüber dem Vorjahr weltweit um 10 Prozent auf 4,88 Millionen US-Dollar gestiegen sind.

it&t business: Wie sollten sich Unternehmen positionieren, um das Risiko von Cyberkriminalität zu minimieren?

Ed Parsons: Um das Risiko der Cyberkriminalität wirksam zu verringern, sollten Unternehmen dem Aufbau eines qualifizierten und gut ausgestatteten Cybersecurity-Teams Priorität einräumen. Angesichts der Tatsache, dass 75 Prozent der Fachleute für Cybersecurity die aktuelle Bedrohungslage als die schwierigste der letzten fünf Jahre bezeichnen, liegt die Notwendigkeit einer robusten Verteidigung auf der Hand. Allerdings berichten 92 Prozent der Cybersicherheitsexperten weltweit von Qualifikationsdefiziten in ihren Teams, und nur 52 Prozent glauben, dass ihre Unternehmen über die erforderlichen Tools und Fachkräfte verfügen, um in den nächsten zwei bis drei Jahren auf Cybervorfälle zu reagieren. Die Investition in Cybersecurity-Talente und die Förderung einer starken Sicherheitskultur sind daher entscheidende erste Schritte.

Grundlegende Cyberhygiene-Praktiken wie regelmäßige Software-Updates, Patches und solide Kennwortrichtlinien sind ebenfalls unerlässlich. Darüber hinaus ist es wichtig, die spezifische Bedrohungslandschaft Ihres Unternehmens zu verstehen. Durch die Bewertung der Bedrohungen, die Ihr Unternahmen am wahrscheinlichsten betreffen, können Sie Investitionen anpassen und Ressourcen so zuweisen, dass die größten Risiken wirksam bekämpft werden.

it&t business: Welche Zertifizierungen gibt es? Wie lange dauert es, sie zu erlangen?

Ed Parsons: ISC2 bietet eine breite Palette von Zertifizierungen an, die auf die Bedürfnisse von Cybersecurity-Experten in verschiedenen Phasen ihrer Karriere zugeschnitten sind.

Für Berufseinsteiger ist die Zertifizierung Certified in Cybersecurity (CC) ein hervorragender Einstieg. Diese Zertifizierung erfordert keine vorherigen Erfahrungen und ist daher ideal für Neueinsteiger, einschließlich Hochschulabsolventen oder Personen, die einen Karrierewechsel anstreben, und bietet eine umfassende Einführung in die Kernbereiche der Cybersecurity. Für erfahrenere Fachleute gilt der Certified Information Systems Security Professional (CISSP) weltweit als der Goldstandard im Bereich Cybersecurity. Um den CISSP zu erlangen, sind in der Regel mindestens fünf Jahre Vollzeit-Berufserfahrung in mindestens zwei der acht Bereiche erforderlich, welche vom Common Body of Knowledge (CBK) abgedeckt werden. Die Vorbereitung auf diese Zertifizierung dauert in der Regel mehrere Monate.

Darüber hinaus bietet ISC2 auch Zertifizierungen für diejenigen an, die sich weiter spezialisieren möchten. Jeder Zertifizierungspfad ist auf den Aufbau spezifischer Kompetenzen zugeschnitten und hilft Fachleuten, ihre individuellen Karriereziele zu erreichen. Die Zeit, die für die Vorbereitung und den Erwerb dieser Zertifizierungen benötigt wird, variiert je nach Vorerfahrung, Kenntnissen und persönlichen Karrierezielen. Laut der Studie von ISC2 nennen 65Prozent der Cybersecurity-Experten weltweit die Erweiterung ihrer Fähigkeiten als Hauptmotivation für den Erwerb von Zertifizierungen, 53 Prozent das ‚Auf dem Laufenden bleiben‘ bei Sicherheitstrends und 50Prozent ihre Karriere und berufliche Weiterentwicklung.