Auf 202,4 Milliarden Euro – was rund der Hälfte des Bundeshaushaltes entspricht – beliefen sich zuletzt die jährlichen Schäden durch Cyberangriffe in der deutschen Wirtschaft. Trotzdem kümmern sich laut Dr.-Ing. Ulrich Greveler, Professor für Angewandte Informatik, insbesondere IT-Sicherheit, zu wenige Unternehmen um dieses brisante Thema.
Die Gefahren, die von Cybersecurity ausgehen sind vielfältig – von Datendiebstahl über Erpressung bis zum Lieferkettenstillstand droht vielfältiges Ungemach. Das haben auch die Gesetzgeber erkannt und verschiedene Richtlinien, Verordnungen und Gesetze auf den Weg gebracht. Einen Überblick verschaffte der Unternehmensabend am 21. Mai, zu dem die HSRW gemeinsam mit der wir4-Agentur für Wirtschafts- und Strukturförderung Moers, Kamp-Lintfort, Neukirchen-Vluyn und Rheinberg GmbH eingeladen hatte.
Was steckt hinter NIS2, CRA und AI-ACT?
Gleich zu Beginn wurde deutlich: Informationssicherheit ist eine Führungsaufgabe. Das besagt die NIS2-Richtlinie (Network and Information Systems Directive 2) der EU, die derzeit durch das neue deutsche Cybersicherheitsrecht (u. a. im BSI-Gesetz) national verankert wird. Das Geschäfts- und Haftungsrisiko für IT-Sicherheit liegt bei der Geschäftsführung und kann nicht delegiert werden. NIS2 ist laut Prof. Dr.-Ing. Greveler relevant für fast alle Unternehmen. Zu den zentralen Unternehmenspflichten gehören ein angemessenes Cyber-Risikomanagement, ein Incident-, Notfall- und Krisenprogramm, Steuerung von Dienstleistern und Lieferanten sowie Dokumentation und Nachweisfähigkeit. Prof. Dr.-Ing. Greveler: „Die durch NIS2 vorgegebenen Maßnahmen sind vergleichbar mit Pflichten, die für jedes Unternehmen selbstverständlich sein sollten. Dazu gehören beispielsweise ein Datenbackup oder eine Multi-Faktor-Authentifizierung.“ Und er unterstrich: „Vorbereitung schafft Handlungsfähigkeiten in Krisenfällen.“
Während NIS2 also den eigentlichen Betrieb eines Unternehmens im Fokus hat, betrifft der Cyber Resilience Act (CRA) produzierende Unternehmen, die in ihren Produkten digitale Komponenten nutzen bzw. einbauen. Mit der EU-Verordnung soll die Produktsicherheit über den gesamten Lebenszyklus eines Produkts gewährleistet werden. Hersteller müssen künftig Cybervorfälle melden und regelmäßige Sicherheitsupdates bereitstellen. „Wenn das Gesetz ab Dezember 2027 missachtet wird, wird für das jeweilige Produkt kein CE-Zeichen erteilt“, warnt Prof. Dr.-Ing. Greveler. Die CE-Kennzeichnung besagt, dass das vernetzte Produkt einen ausreichenden Schutz vor Cybergefahren gewährt.
Zum Abschluss wurde der EU-AI Act (das Gesetz über Künstliche Intelligenz) vorgestellt, der einheitliche Regeln für die Anbieter von KI-Produkten in der EU sowie den Einsatz von KI festlegt. Folgende KI-Praktiken dürfen demnach nicht angewendet werden: Social Scoring, Emotion Recognition, Manipulation und biometrische Kategorisierung.
Nach einem Besuch des Labors, gab es die Gelegenheit zum Netzwerken und Eintauchen in das Thema bei leckeren Häppchen und kühlen Getränken.