Das australische Gesetz über die Sicherheit kritischer Infrastrukturen (Security of Critical Infrastructure Act 2018), SOCI, ist der Eckpfeiler der Regierungsstrategie zur Bewältigung von Risiken für kritische Infrastrukturen. Sein Ziel ist es, sicherzustellen, dass die Betreiber wichtiger Infrastrukturen angemessene Sicherheitsmaßnahmen ergreifen, und der Regierung die Informationen und Befugnisse zu geben, um auf Bedrohungen zu reagieren.
Ursprünglich galt das SOCI nur für vier Sektoren (Strom, Gas, Wasser und Häfen), wurde jedoch inzwischen auf 11 Sektoren der gesamten Wirtschaft ausgeweitet. Das Gesetz zielt darauf ab, kritische Infrastruktureinrichtungen und -dienste in diesen 11 Sektoren zu schützen und sie widerstandsfähig gegen Störungen der australischen Sicherheit, Wirtschaft und Gesellschaft zu machen.
Um dies zu erreichen, erlegt das Gesetz den Eigentümern kritischer Anlagen Verpflichtungen in Form von positiven Sicherheitsverpflichtungen (PSOs), erweiterten Cybersicherheitsverpflichtungen (ECSOs) und staatlichen Unterstützungsmaßnahmen auf.
So müssen die zuständigen Stellen beispielsweise Einzelheiten zu den Vermögenswerten registrieren, Cybervorfälle möglicherweise an das australische Cybersicherheitszentrum (ACSC) melden und ein formelles Risikomanagementprogramm, das sogenannte Critical Infrastructure Risk Management Program (CIRMP), unterhalten. Für Anlagen, die als Systeme von nationaler Bedeutung eingestuft werden, könnten sogar noch strengere Anforderungen gelten, wie z. B. obligatorische Reaktionspläne bei Vorfällen, Cyber-Übungen und Schwachstellenbewertungen. Das SOCI kodifiziert im Wesentlichen das, was einst als bewährte Praxis der Branche galt, in ein durchsetzbares Gesetz. Das SOCI kodifiziert im Wesentlichen das, was früher als bewährte Praxis der Branche galt, in verbindliches Recht.
Zwei Lager hinsichtlich der Auswirkungen: Etablierte Sektoren vs. neuere Marktteilnehmer
Die ursprünglich regulierten Sektoren betrachten SOCI wahrscheinlich als eine Erweiterung des bestehenden Rahmens. Energie- und Versorgungsunternehmen arbeiten seit Jahrzehnten nach strengen Zuverlässigkeits- und Sicherheitsstandards (z. B. NEM-Codes oder Wasserschutzgesetze), sodass die Formalisierung dieser Praktiken im Rahmen von SOCI wie eine Fortsetzung der bestehenden Governance wirken kann.
Im Gegensatz dazu bewegen sich Organisationen in den erst kürzlich hinzugefügten Sektoren wie Kommunikation, Datenspeicherung und -verarbeitung, Gesundheitswesen, Hochschulwesen und Verkehr auf neuem regulatorischem Terrain. In diesen Branchen fehlt oft die Tradition der Infrastrukturregulierung, was bedeutet, dass die Einhaltung der SOCI-Vorgaben den Aufbau vieler Prozesse von Grund auf erfordert. Dazu gehören die Erstellung von Anlagenverzeichnissen, die Ausarbeitung von CIRMPs, die Implementierung von Kontrollmaßnahmen und die Schulung der Teams in Verfahren zur Meldung von Vorfällen.
So kann beispielsweise ein Universitäts- oder Krankenhausnetz nun als Betreiber kritischer Infrastrukturen eingestuft werden, sodass es erforderlich ist, die betroffenen Anlagen zu ermitteln, die Abhängigkeiten zu bewerten und einen konformen CIRMP zu implementieren.
Dazu gehört oft der Aufbau einer formellen Sicherheits-Governance von Grund auf – die sich an Rahmenwerken wie den ASD Essential Eight, ISO 27001 oder dem NIST Cybersecurity Framework orientiert – sowie die Einrichtung von Mechanismen zur rechtzeitigen Erkennung von Vorfällen, zur Reaktion darauf und zur Berichterstattung an das ACSC.
Im Gegensatz dazu verfügen Betreiber in traditionell regulierten Sektoren möglicherweise bereits über ausgereifte Risikoprogramme und können bestehende Kontrollen anpassen, um die Anforderungen der SOCI zu erfüllen. Unabhängig von der Branche müssen alle Organisationen das Cyber-Risikomanagement nun in ihre Kerngeschäftsprozesse integrieren und dürfen es nicht als parallele oder isolierte Aktivität behandeln.
OT und die Herausforderung der IT-Konvergenz
Eine große Herausforderung für SOCI ist die Absicherung von OT-Umgebungen (Operational Technology), d. h. der industriellen Steuerungssysteme, die vielen kritischen Anlagen zugrunde liegen. OT birgt eine Reihe von Risiken.
Viele Geräte wurden nie unter dem Gesichtspunkt der Cybersicherheit entwickelt. Sie arbeiten oft mit veralteten Betriebssystemen oder Firmware, die sich nicht einfach patchen lassen, und verwenden proprietäre oder veraltete Protokolle wie Modbus, DNP3 oder Profibus, denen es an grundlegender Authentifizierung und Verschlüsselung mangelt.
Gleichzeitig hat die Konvergenz von IT- und OT-Netzwerken die Angriffsfläche vergrößert. Zuvor isolierte Umgebungen sind nun zunehmend mit den IT-Systemen des Unternehmens und dem Internet verbunden, um Fernüberwachung, Analysen und Automatisierung zu ermöglichen. Dies eröffnet Angreifern neue Wege, sich seitlich zwischen den Umgebungen zu bewegen, und erhöht das Risiko einer Betriebsunterbrechung durch Cyberangriffe.
Industrieunternehmen müssen ein Gleichgewicht zwischen Systemverfügbarkeit und Cybersicherheit finden. Wenn Systeme für Updates oder zur Segmentierung offline genommen werden, kann dies den Betrieb beeinträchtigen; bleiben sie jedoch ungeschützt, steigt das Risiko.
SOCI ermutigt Organisationen, OT-spezifische Strategien anzuwenden. Dazu können eine strenge Netzwerksegmentierung, das Prinzip der geringsten Berechtigungen, Out-of-Band-Überwachung sowie ausfallsichere Konzepte zur Absicherung dieser Umgebungen gehören.
Datendienstleister und Meldepflichten
Eines der weniger häufig diskutierten, aber für SOCI von entscheidender Bedeutung ist die Verpflichtung zur Benachrichtigung von Datendienstleistern. Wenn ein Dritter geschäftskritische Daten im Zusammenhang mit Ihrem regulierten Vermögenswert speichert oder verarbeitet, sind Sie verpflichtet, diesen darüber zu informieren, dass SOCI gilt. Dadurch wird sichergestellt, dass Ihre Dienstleister ihre Rolle beim Schutz kritischer Daten verstehen und darauf vorbereitet sind, Sie im Falle eines Vorfalls oder einer Prüfung zu unterstützen.
Darüber hinaus ist die Meldung von Vorfällen eine zentrale Anforderung der SOCI. Ein Cybersicherheitsvorfall, der erhebliche oder relevante Auswirkungen auf Ihre wesentlichen Dienste hat, muss dem ACSC innerhalb eines strengen Zeitrahmens gemeldet werden. Sind die Auswirkungen erheblich, muss die Meldung innerhalb von 12 Stunden erfolgen. Bei relevanten, aber weniger schwerwiegenden Vorfällen ist eine Meldung innerhalb von 72 Stunden erforderlich.
Dabei handelt es sich nicht um eine freiwillige Maßnahme. Es ist eine gesetzliche Verpflichtung. Durch die rechtzeitige Meldung erhält die ACSC Einblick in die Bedrohungen der nationalen Systeme und kann so rechtzeitig und wirksam reagieren. Zudem wird dadurch der Grundsatz gestärkt, dass der Schutz kritischer Infrastrukturen eine gemeinsame Aufgabe von Industrie und Regierung ist.
Jenseits der Prävention: Die wahre Bedeutung von Resilienz
Viele Organisationen verstehen Resilienz nach wie vor als die Fähigkeit, Bedrohungen abzuwehren oder zu verhindern. Wahre Resilienz geht jedoch über die Prävention hinaus. Sie ist die Fähigkeit, Schocks abzufedern, sich schnell zu erholen und den Betrieb auch unter widrigen Umständen aufrechtzuerhalten. SOCI fordert Organisationen dazu auf, diese umfassendere Definition zu übernehmen.
Resilienz bedeutet, über erprobte Wiederherstellungspläne, zuverlässige Offline-Backups, redundante Systeme und ein Playbook für die Wiederaufnahme des Betriebs während oder nach einem Vorfall zu verfügen. Sie bedeutet auch kontinuierliche Verbesserung, das Lernen aus jedem Ereignis, die Anpassung der Abwehrmaßnahmen und das Schließen von Lücken vor dem nächsten Angriff.
Dies ist angesichts der jüngsten Trends besonders wichtig. Aus Berichten des Australian Signals Directorate (ASD) und anderer Regierungsstellen geht hervor, dass Cybervorfälle in Bereichen wie Wasser, Energie und Verkehr zunehmen.
Selbst relativ kleine Ereignisse können Auswirkungen auf voneinander abhängige Systeme haben und Lieferketten, die öffentliche Sicherheit sowie wichtige Dienstleistungen beeinträchtigen. Diese Trends verdeutlichen die Dringlichkeit eines auf die Wiederherstellung ausgerichteten Ansatzes.
CISOs müssen die Führung übernehmen, damit Cyber-Resilienz mehr als nur ein Häkchen auf einer Checkliste ist. Das bedeutet, dass Resilienz als dynamische, durchgängige Fähigkeit behandelt wird, bei der Menschen, Prozesse und Technologie zusammenwirken.
Ein regulatorischer Wandel mit strategischen Vorteilen
Die SOCI stellt einen bedeutenden Wandel im australischen Ansatz zur Cyberregulierung dar. Sie geht über fragmentierte, freiwillige Ansätze hinaus und schafft einen kohärenten nationalen Rahmen für den Schutz kritischer Infrastrukturen. Die SOCI hat zwar neue Komplexität, Meldepflichten und Kosten für die Einhaltung der Vorschriften mit sich gebracht, bietet den Unternehmen aber auch die Möglichkeit, ihren Sicherheitsstandard zu erhöhen und die Widerstandsfähigkeit in den Mittelpunkt ihrer Tätigkeit zu stellen.
Anstatt SOCI lediglich als Compliance-Aufgabe zu betrachten, können zukunftsorientierte CISOs es als strategischen Impulsgeber nutzen. Sie sorgt für Rückendeckung auf Vorstandsebene bei Investitionen, formalisiert Risk-Management-Praktiken und verbessert die Abstimmung zwischen Geschäftsbetrieb und Sicherheit. Durch die Einbeziehung staatlicher Fördermaßnahmen und Mechanismen zum Austausch von Bedrohungsinformationen wird die SOCI zudem als Instrument der Zusammenarbeit positioniert und ist nicht nur eine Vorschrift.
Da sich Bedrohungen weiterentwickeln und die digitale Infrastruktur immer stärker in das gesellschaftliche Leben eingebettet ist, muss die Widerstandsfähigkeit oberste Priorität haben. SOCI schafft die Voraussetzungen dafür. Jetzt liegt es an uns, zu handeln.
Weitere Informationen zu Ihren Pflichten finden Sie im Leitfaden zum SOCI-Gesetz (A Guide to the SOCI Act).
