iStock Photo Getty Images +
Der Bericht weist auf Bedenken hinsichtlich einer Reihe von Risiken hin, darunter Risiken für die Sicherheit der Lieferkette, der Mangel an Cyberexperten und die Risiken böswilliger Aktivitäten von Cyberkriminellen und staatlich geförderten Bedrohungsakteuren.
Im Rahmen der Risikobewertung wurden technische und nichttechnische Risiken genauer ermittelt. Sowohl im Telekommunikations- als auch im Stromsektor sind die Risiken in der Lieferkette nach wie vor das Hauptanliegen, insbesondere in Bezug auf den 5G-Ausbau und die Infrastruktur für erneuerbare Energien. Ransomware, Datenwischer und die Ausnutzung von Zero-Day-Schwachstellen wurden ebenfalls als anhaltende, aber dringende Bedenken in beiden Sektoren identifiziert, insbesondere in Bezug auf die Betriebstechnologie.
Für den Stromsektor sind böswillige Insider das kritischste Risiko, das ermittelt wurde, da es schwierig ist, neues Personal angemessen zu überprüfen und lokale Cybersicherheitstalente anzuziehen. Zu den Hauptbedrohungen für den Telekommunikationssektor gehören Angriffe über Roaming-Infrastrukturen und Angriffe aus großen Bot-Netzwerken.
Darüber hinaus wurden die physische Sabotage der Kabelinfrastruktur und das Stören von Satellitensignalen als spezifische Risiken identifiziert, die besonders schwer zu mindern sind.
Um diese Risiken zu mindern, enthält der Bericht eine Reihe von Empfehlungen in vier Bereichen zur Verbesserung, die wie folgt zusammengefasst werden können:
- Resilienz und Cybersicherheit können durch den Austausch bewährter Verfahren zur Eindämmung von Ransomware, Schwachstellenüberwachung, Personalsicherheit und Vermögensverwaltung verbessert werden. Darüber hinaus muss die Zusammenarbeit mit dem Netz der technischen Mitgliedstaaten, dem Computer Security Incident Response Team (CSIRTs),den Strafverfolgungsbehörden und internationalen Partnern intensiviert werden. Die Mitgliedstaaten sollten weitere Selbstbewertungen für die Sektoren gemäß der NIS2-Richtlinie und der CER-Richtlinie durchführen.
- Das kollektive Cyber-Situationsbewusstsein und der Informationsaustausch müssen verbessert werden und den geopolitischen Kontext, potenzielle physische Schäden und Desinformation einbeziehen.
- Die Notfallplanung, das Krisenmanagement und die operative Zusammenarbeit müssen verbessert werden, indem die Grenzen zwischen Sektoren und Cybersicherheitsbehörden bei den Verfahren verkürzt werden.
- Die Sicherheit der Lieferkette sollte durch Folgebewertungen der Abhängigkeiten von Anbietern aus Drittländern mit hohem Risiko und die Entwicklung eines EU-Rahmens für die Sicherheit der Lieferkette weiter angegangen werden.
Angesichts der Kritikalität der Infrastrukturen und Netze, die Gegenstand dieses Berichts sind, und angesichts der sich rasch entwickelnden Bedrohungslage und unbeschadet der Zuständigkeiten der Mitgliedstaaten in Bezug auf die nationale Sicherheit werden die Mitgliedstaaten, die Kommission und die ENISA aufgefordert, diese widerstandsfähigkeitssteigernden Maßnahmen so bald wie möglich umzusetzen, und zwar auf der Grundlage der Arbeiten, mit denen bereits mit der Umsetzung einiger Empfehlungen begonnen wurde.
Laden Sie den untenstehenden Bericht herunter, um weitere Informationen zu erhalten.
Hintergrund
In seinen Schlussfolgerungen zur Entwicklung der Cyberabwehr der Europäischen Union vom 23. Mai 2022 fordert der Rat die Kommission, den Hohen Vertreter und die NIS-Kooperationsgruppe auf, in Abstimmung mit den einschlägigen zivilen und militärischen Einrichtungen und Agenturen und etablierten Netzwerken, einschließlich des CyCLONe der EU, eine Risikobewertung durchzuführen und Risikoszenarien aus der Perspektive der Cybersicherheit in einer Bedrohungslage oder einem möglichen Angriff auf Mitgliedstaaten oder Partnerländer zu erstellen und sie den einschlägigen Ratsgremien vorzulegen.
Darüber hinaus forderte der Rat in seinen Schlussfolgerungen vom 23. Mai 2023 zur EU-Politik zur Cyberabwehr die oben genannten Akteure auf, dafür zu sorgen, dass Risikobewertungen, Szenarien und nachfolgende Empfehlungen bei der Festlegung und Priorisierung von Maßnahmen und Unterstützung auf EU-Ebene und gegebenenfalls auf nationaler Ebene berücksichtigt werden. Der Rat fordert ferner, dass „die Risikoszenarien von allen einschlägigen Akteuren bei Risikobewertungsprozessen sowie bei der Entwicklung von Cyberübungen berücksichtigt werden“.
Die Risikobewertung schließt an einen kürzlich veröffentlichten Bericht über die Cybersicherheit und Resilienz der Kommunikationsinfrastrukturen und -netze der EU an, der im Februar 2024 veröffentlicht wurde.
Weitere Informationen zu Cybersicherheitsrichtlinien finden Sie hier.