Das australische Gesetz über die Sicherheit kritischer Infrastrukturen (Security of Critical Infrastructure Act 2018), SOCI ist der Eckpfeiler der Regierungsstrategie zur Bewältigung von Risiken für kritische Infrastrukturen. Sein Ziel ist es, zu bestätigen, dass die Betreiber wichtiger Infrastrukturen angemessene Sicherheitsmaßnahmen ergreifen, und der Regierung die Informationen und Befugnisse zu geben, um auf Bedrohungen zu reagieren.
Ursprünglich war SOCI nur auf vier Sektoren (Strom, Gas, Wasser und Häfen) ausgerichtet, wurde aber inzwischen auf 11 Sektoren der gesamten Wirtschaft ausgeweitet. Das Gesetz zielt darauf ab, kritische Infrastrukturanlagen und -dienste in diesen 11 Sektoren zu schützen und sie gegen Störungen der australischen Sicherheit, Wirtschaft und Gesellschaft widerstandsfähig zu machen.
Um dies zu erreichen, erlegt das Gesetz den Eigentümern kritischer Güter Verpflichtungen in Form von positiven Sicherheitsverpflichtungen (PSOs), erweiterten Cybersicherheitsverpflichtungen (ECSOs) und staatlichen Unterstützungsmaßnahmen auf.
So müssen die verantwortlichen Stellen beispielsweise Einzelheiten zu den Vermögenswerten registrieren und möglicherweise Cyber-Vorfälle an das australische Cybersicherheitszentrum (ACSC) melden und ein formelles Risikomanagementprogramm, das sogenannte Critical Infrastructure Risk Management Program (CIRMP), unterhalten. Für Anlagen, die als Systeme von nationaler Bedeutung eingestuft werden, könnten sogar noch strengere Anforderungen gelten, wie z. B. obligatorische Reaktionspläne auf Vorfälle, Cyber-Übungen und Schwachstellenbewertungen. SOCI kodifiziert im Wesentlichen das, was einst als bewährte Praxis der Industrie galt, in ein durchsetzbares Gesetz. Das SOCI kodifiziert im Wesentlichen das, was früher als bewährte Praxis der Branche galt, in verbindliches Recht.
Zwei Lager der Auswirkungen: Alteingesessene Sektoren vs. neuere Marktteilnehmer
Die ursprünglich regulierten Sektoren sehen SOCI wahrscheinlich als eine Erweiterung des bestehenden Rahmens. Energie- und Versorgungsunternehmen arbeiten seit Jahrzehnten nach strengen Zuverlässigkeits- und Sicherheitsstandards (z. B. NEM-Codes oder Wassersicherheitsgesetze), so dass die Formalisierung dieser Praktiken im Rahmen von SOCI wie eine Fortsetzung der bestehenden Governance wirken kann.
Im Gegensatz dazu bewegen sich Organisationen in den erst kürzlich hinzugefügten Sektoren wie Kommunikation, Datenspeicherung und -verarbeitung, Gesundheitswesen, Hochschulwesen und Verkehr auf neuem regulatorischem Terrain. In diesen Branchen fehlt oft die Tradition der Infrastrukturregulierung, was bedeutet, dass die Einhaltung der SOCI-Vorgaben den Aufbau vieler Prozesse von Grund auf erfordert. Dazu gehören die Erstellung von Anlagenverzeichnissen, die Ausarbeitung von CIRMPs, die Implementierung von Kontrollmaßnahmen und die Schulung der Teams in Verfahren zur Meldung von Vorfällen.
So kann beispielsweise ein Universitäts- oder Krankenhausnetz nun als Betreiber kritischer Infrastrukturen eingestuft werden, so dass es erforderlich ist, die betroffenen Anlagen zu ermitteln, die Abhängigkeiten zu bewerten und einen konformen CIRMP zu implementieren.
Dazu gehört oft der Aufbau einer formellen Sicherheits-Governance von Grund auf – die sich an Rahmenwerken wie den ASD Essential Eight, ISO 27001 oder dem NIST Cybersecurity Framework orientiert – und die Einrichtung von Mechanismen für die rechtzeitige Erkennung von Vorfällen, die Reaktion darauf und die Berichterstattung an den ACSC.
Im Gegensatz dazu verfügen Betreiber in traditionell regulierten Sektoren möglicherweise bereits über ausgereifte Risikoprogramme und können bestehende Kontrollen anpassen, um die Anforderungen der SOCI zu erfüllen. Unabhängig von der Branche müssen alle Organisationen das Cyber-Risikomanagement jetzt in ihre Kerngeschäftsprozesse integrieren und dürfen es nicht als parallele oder isolierte Aktivität behandeln.
OT und die Herausforderung der IT-Konvergenz
Eine große Herausforderung für SOCI ist die Sicherung von OT-Umgebungen (Operational Technology), d. h. der industriellen Kontrollsysteme, die vielen kritischen Anlagen zugrunde liegen. OT birgt eine Reihe von Risiken in sich.
Viele Geräte wurden nie im Hinblick auf Cybersicherheit entwickelt. Sie arbeiten oft mit veralteten Betriebssystemen oder Firmware, die nicht einfach gepatcht werden können, und verwenden proprietäre oder veraltete Protokolle wie Modbus, DNP3 oder Profibus, denen es an grundlegender Authentifizierung und Verschlüsselung fehlt.
Gleichzeitig hat die Konvergenz von IT- und OT-Netzwerken die Angriffsfläche vergrößert. Zuvor isolierte Umgebungen sind nun zunehmend mit den IT-Systemen des Unternehmens und dem Internet verbunden, um Fernüberwachung, Analysen und Automatisierung zu ermöglichen. Dies schafft neue Wege für Angreifer, sich seitlich zwischen den Umgebungen zu bewegen, und erhöht das Risiko einer Betriebsunterbrechung durch Cyberangriffe.
Industrieunternehmen müssen ein Gleichgewicht zwischen Systemverfügbarkeit und Cyberschutz finden. Wenn Systeme für Updates oder Segmentierung offline genommen werden, kann dies den Betrieb beeinträchtigen, aber wenn sie ungeschützt bleiben, steigt das Risiko.
SOCI ermutigt Organisationen, OT-spezifische Strategien anzuwenden. Diese können eine strenge Netzwerksegmentierung, den Zugriff mit den geringsten Rechten, Out-of-Band-Überwachung und ausfallsichere Konzepte zur Sicherung dieser Umgebungen umfassen.
Datendienstleister und Meldepflichten
Eines der weniger häufig diskutierten, aber von entscheidender Bedeutung für SOCI ist die Verpflichtung zur Benachrichtigung von Datendienstleistern. Wenn ein Dritter geschäftskritische Daten im Zusammenhang mit Ihrem regulierten Vermögenswert speichert oder verarbeitet, sind Sie verpflichtet, diesen darüber zu informieren, dass SOCI gilt. Dadurch wird sichergestellt, dass Ihre Dienstleister ihre Rolle beim Schutz kritischer Daten verstehen und darauf vorbereitet sind, Sie im Falle eines Vorfalls oder einer Prüfung zu unterstützen.
Darüber hinaus ist die Meldung von Vorfällen eine zentrale Anforderung der SOCI. Ein Cybersicherheitsvorfall, der erhebliche oder relevante Auswirkungen auf Ihre wesentlichen Dienste hat, muss dem ACSC innerhalb eines strengen Zeitrahmens gemeldet werden. Wenn die Auswirkungen erheblich sind, muss die Meldung innerhalb von 12 Stunden erfolgen. Bei relevanten, aber weniger schwerwiegenden Vorfällen ist eine Meldung innerhalb von 72 Stunden erforderlich.
Es handelt sich dabei nicht um eine freiwillige Maßnahme. Sie ist eine gesetzliche Verpflichtung. Durch die rechtzeitige Meldung erhält die ACSC Einblick in die Bedrohungen der nationalen Systeme und kann so rechtzeitig und wirksam reagieren. Außerdem wird dadurch der Grundsatz gestärkt, dass der Schutz kritischer Infrastrukturen eine gemeinsame Aufgabe von Industrie und Regierung ist.
Jenseits der Prävention: Die wahre Bedeutung von Resilienz
Viele Organisationen verstehen Resilienz nach wie vor als die Fähigkeit, Bedrohungen abzuwehren oder zu verhindern. Wahre Resilienz geht jedoch über die Prävention hinaus. Sie ist die Fähigkeit, Schocks abzufedern, sich schnell zu erholen und den Betrieb auch unter widrigen Umständen aufrechtzuerhalten. SOCI fordert Organisationen dazu auf, diese umfassendere Definition zu übernehmen.
Widerstandsfähigkeit bedeutet, über getestete Wiederherstellungspläne, zuverlässige Offline-Backups, redundante Systeme und ein Playbook für die Wiederaufnahme des Betriebs während oder nach einem Vorfall zu verfügen. Es bedeutet auch kontinuierliche Verbesserung, Lernen aus jedem Ereignis, Anpassen der Abwehrmaßnahmen und Schließen von Lücken vor dem nächsten Angriff.
Dies ist angesichts der jüngsten Trends besonders wichtig. Aus Berichten des Australian Signals Directorate (ASD) und anderer Regierungsstellen geht hervor, dass Cybervorfälle in Bereichen wie Wasser, Energie und Verkehr zunehmen.
Selbst relativ kleine Ereignisse können Auswirkungen auf voneinander abhängige Systeme haben und Lieferketten, öffentliche Sicherheit und wichtige Dienstleistungen beeinträchtigen. Diese Trends verdeutlichen die Dringlichkeit eines auf die Erholung ausgerichteten Ansatzes.
CISOs müssen die Führung übernehmen, damit Cyber-Resilienz mehr als nur ein Kästchen ist. Das bedeutet, dass Resilienz als dynamische, durchgängige Fähigkeit behandelt wird, bei der Menschen, Prozesse und Technologie zusammenarbeiten.
Ein regulatorischer Wandel mit strategischen Vorteilen
SOCI stellt einen bedeutenden Wandel im australischen Ansatz zur Cyberregulierung dar. Er geht über fragmentierte, freiwillige Ansätze hinaus und schafft einen kohärenten nationalen Rahmen für den Schutz kritischer Infrastrukturen. Die SOCI hat zwar neue Komplexität, Meldepflichten und Kosten für die Einhaltung der Vorschriften mit sich gebracht, bietet den Unternehmen aber auch die Möglichkeit, ihren Sicherheitsstandard zu erhöhen und die Widerstandsfähigkeit in den Mittelpunkt ihrer Tätigkeit zu stellen.
Anstatt SOCI lediglich als Compliance-Aufgabe zu betrachten, können zukunftsorientierte CISOs es als strategischen Impulsgeber nutzen. Es sorgt für Rückendeckung auf Vorstandsebene bei Investitionen, formalisiert Risk-Management-Praktiken und verbessert die Abstimmung zwischen Geschäftsbetrieb und Sicherheit. Durch die Einbeziehung staatlicher Fördermaßnahmen und Mechanismen zum Austausch von Bedrohungsinformationen wird SOCI zudem als Instrument der Zusammenarbeit positioniert und ist nicht nur eine Vorschrift.
Da sich Bedrohungen weiterentwickeln und die digitale Infrastruktur immer stärker in das gesellschaftliche Leben eingebettet ist, muss die Widerstandsfähigkeit oberste Priorität haben. SOCI schafft die Voraussetzungen. Jetzt liegt es an uns, zu handeln.
Weitere Informationen über Ihre Pflichten finden Sie im Leitfaden zum SOCI-Gesetz (A Guide to the SOCI Act).
