Unternehmen werden im Jahr 2024 proaktivere Risikomanagementstrategien verfolgen, um nicht nur böswillige Angriffe und Datenlecks zu verhindern, sondern auch die zunehmende Zahl von Vorschriften zur Cybersicherheit erfolgreich einzuhalten.
Da sich die Bedrohungslage insbesondere im Zeitalter der KI erheblich ausweitet, steigen die Anforderungen an Unternehmen, bei Sicherheitsvorfällen Transparenz zu zeigen und Angriffe sowie Sicherheitsverletzungen offenzulegen. Diese beiden Faktoren werden Unternehmen dazu veranlassen, ihre Cybersicherheitsstrategien weiterzuentwickeln, um cyberresilient zu werden.
Warum gerade jetzt Cyberresilienz?
Cyberresilienz rückt für viele Organisationen weltweit in den Vordergrund, da Aufsichtsbehörden und Gesetzgeber bestrebt sind, die Transparenz in Bezug auf Cybersicherheitsvorfälle und die Vorsorge zu stärken.
„Sie möchten, dass Führungskräfte in Unternehmen darlegen, ob und wie Cybersicherheit Teil der Geschäftsstrategie, der Governance-Prozesse, der Finanzplanung und der Kapitalallokation des Unternehmens ist“, sagte Melissa Hathaway, Präsidentin von Hathaway Global Strategies und Vorsitzende des Cyber Resilience Council von Commvault, in unserem Bericht „7 Emerging Trends in Cyber Resilience“.
Die Cybersicherheitsvorschrift der SEC, das „Information Security Registered Assessors Program“ (IRAP) in Australien, DORA in der EU und sogar Vorschriften auf Bundesstaatsebene wie die „Codes, Rules, and Regulations“ des Staates New York (23 NYCRR Teil 500) stellen Unternehmen vor die Herausforderung, Transparenz zu gewährleisten.
Hier befassen wir uns mit den bestehenden und sich abzeichnenden regulatorischen Anforderungen, die Führungskräfte im Bereich Cybersicherheit beherrschen müssen, um sicherzustellen, dass die von ihnen unterstützten Unternehmen sowohl die Compliance-Anforderungen erfüllen als auch Cyberresilienz erreichen.
SEC
Die jüngste SEC-Vorschrift verpflichtet registrierte Unternehmen dazu, wesentliche Cybersicherheitsvorfälle offenzulegen. Aufgrund der Auswirkungen dieser Vorschrift ist es erforderlich, dass Sicherheitsverantwortliche und Führungskräfte auf C-Level bei Cybersicherheitsvorfällen und der Meldung solcher Vorfälle eng zusammenarbeiten. Darüber hinaus verlangt die SEC-Vorschrift von den Unternehmen, in ihren Jahresberichten darzulegen, wie sich Cybersicherheit und deren Überwachung in ihr gesamtes Risikomanagementprogramm einfügen.
„Ob ein Unternehmen nun eine Fabrik durch einen Brand verliert – oder Millionen von Dateien durch einen Cybersicherheitsvorfall –, für Investoren kann dies von Bedeutung sein“, erklärte SEC-Vorsitzender Gary Gensler in einer Stellungnahme.
Fast ein Viertel des Jahres 2024 ist bereits vergangen, und es gab bereits einige wenige 8-K-Meldungen bei der SEC im Zusammenhang mit Cybervorfällen. Unternehmen, deren Geschäftsjahr am 31. Dezember endete, beginnen nun damit, ihre 10-K-Berichte mit aktualisierten Formulierungen zur Cyberresilienz zu veröffentlichen.
23 NYCRR Teil 500 – Verordnung
Das New Yorker Finanzdienstleistungsamt (NYDFS) hat die zweite Änderung zu Kapitel 23 der New Yorker Gesetze, Vorschriften und Verordnungen (23 NYCRR Teil 500) erlassen, um Informations- und Finanzsysteme angesichts der zunehmenden Häufigkeit und Raffinesse von Cyberangriffen zu stärken und zu schützen. Das Gesetz verpflichtet die dem NYDFS unterstellten Finanzinstitute, ein Cybersicherheitsprogramm einzuführen und aufrechtzuerhalten, das Verfahren zum Schutz sensibler Kundendaten vor Sicherheitsbedrohungen und zum Management von Cyberrisiken umfasst.
Zu den Anforderungen zur Einhaltung von 23 NYCRR 500 gehören mehrere Ziele, auf deren Erfüllung Unternehmen, die unter NYCRR 500 fallen, hinarbeiten müssen. Zunächst müssen Unternehmen ein Cybersicherheitsprogramm einrichten und aufrechterhalten, das darauf ausgelegt ist, die Vertraulichkeit, Integrität und Verfügbarkeit ihrer IT-Systeme zu gewährleisten. Das Programm sollte Risiken in verschiedenen Betriebsbereichen abdecken, darunter Informationssicherheit, Daten-Governance, Bestandsaufnahme der Ressourcen, Systembetrieb, System- und Netzwerksicherheit, Datenschutz für Kundendaten und vieles mehr.
Das Gesetz verpflichtet Unternehmen dazu, Penetrationstests und Schwachstellenanalysen durchzuführen. Und die Liste der betroffenen Unternehmen ist noch länger.
DORA
Auch Führungskräfte aus den Bereichen Cybersicherheit und Wirtschaft verfolgen aufmerksam die bevorstehenden Fristen des „Digital Operational Resilience Act“ (DORA).
DORA trat am 16. Januar 2023 in Kraft und sieht eine Umsetzungsfrist von zwei Jahren vor. Von der Verordnung erfasste Finanzunternehmen müssen die Vorschriften bis zum 17. Januar 2025 erfüllen. Obwohl sich das Gesetz auf Organisationen in der Europäischen Union (EU) konzentriert, müssen auch Unternehmen außerhalb der EU aus dem Finanz- und IKT-Sektor Maßnahmen zur Anpassung an DORA ergreifen, wenn sie wesentliche IKT-Dienstleistungen für in der EU ansässige Finanzunternehmen erbringen.
DORA schafft einen Rechtsrahmen für die digitale Betriebsresilienz, wonach alle betroffenen Unternehmen darauf hinarbeiten müssen, IKT-bedingten Störungen und Bedrohungen zu widerstehen, darauf zu reagieren und sich davon zu erholen. Das Gesetz zielt darauf ab, Cyberbedrohungen zu verhindern und deren Auswirkungen zu mindern. DORA umfasst die folgenden fünf Hauptsäulen:
- IKT-Risikomanagement
- Meldung von IKT-bezogenen Vorfällen
- Prüfung der digitalen Ausfallsicherheit
- IKT-Risiken für Dritte
- Gemeinsamer Informationsaustausch
DORA zielt darauf ab, die Widerstandsfähigkeit kritischer digitaler Infrastrukturen gegenüber Cybersicherheitsbedrohungen und -angriffen zu verbessern. Durch die Ausrichtung an den Grundsätzen von DORA kommen Unternehmen der Verbesserung ihrer Cyber-Resilienz einen Schritt näher.
Werden Sie cyberresilient
Falls die sich ständig ausweitende Bedrohungslage noch nicht ausreicht, um die Notwendigkeit einer hohen Cyberresilienz deutlich zu machen, so unterstreicht die Flut neuer Vorschriften dies noch nachdrücklich. Unternehmen müssen verstehen, welche Anforderungen hinsichtlich der Berichterstattung an sie gestellt werden.
Für viele Unternehmen bedeutet die Einhaltung zahlreicher Vorschriften, dass Cybersicherheitswissen über den CISO hinaus im gesamten Unternehmen vorhanden sein muss. Das bedeutet, dass Sicherheitsverantwortliche mit Führungskräften der obersten Ebene und dem Vorstand zusammenarbeiten müssen, um Transparenz und Cyberresilienz zu gewährleisten.
Weitere Informationen dazu, wie Commvault Cloud Ihr Unternehmen auf dem Weg zu mehr Cyberresilienz unterstützen kann, finden Sie unter: https://www.commvault.com/platform.
