Sicherheit und Resilienz stehen wieder hoch im Kurs. In Österreich wird insbesondere in den großen Forschungsprogrammen KIRAS und FORTE intensiv dazu geforscht. Dabei geht es um die Sicherheit von IT-Systemen, der Energieversorgung und von Lieferketten bis hin zu Fake- News, Überwachungsdrohnen, Erdbeobachtungssatelliten oder die Abwehr von Cyberangriffen.
Cybersecurity und Quantenverschlüsselung
Austria Innovativ beschäftigt sich in dieser Ausgabe besonders mit den Bereichen Cybersecurity und Quantenverschlüsselung sowie den empfindlichen Lieferketten. AIT-Sicherheitsexperte Helmut Leopold nimmt zur aktuellen Cybersecurity-Lage Stellung. Unser China- und Hightech- Experte Bernhard Seyringer berichtet über verdächtige Software in Ladekränen, und Karl Neumayer, Geschäftsführer von KOGNOS Consulting, plädiert, dass in den Vorstandsetagen wieder mehr Gewicht auf Strategie und Foresight sowie Geopolitik gelegt werden sollte.
„Komplexität ist die größte Gefahr für die Cybersicherheit“
Helmut Leopold, Leiter des Center for Digital Safety & Security am AIT, im Gespräch mit Alfred Bankhamer über die aktuellen Sicherheitsherausforderungen, warum NIS2 auch kleine Unternehmen betrifft, den Cyber Resilience Act sowie aktuelle Projekte rund um die Quantenverschlüsselung.
---
Was sind heuer die großen Herausforderungen in Europa im Bereich Cybersecurity und Resilienz?
Helmut Leopold: Besonders im letzten Jahr haben internationale Konflikte sowie technologische Entwicklungen neue hybride Bedrohungen gebracht. Neben klassischer Cyberkriminalität, die mit Ransomware, Erpressung oder Industriespionage die Wirtschaft und Industrie weiterhin massiv attackiert, kommen nun staatliche Akteure immer stärker hinzu. Da geht es auch um terroristische Aktivitäten und neue Angriffsmöglichkeiten durch KI, die eine neue Bedrohungslage bringen.
Davon sind verstärkt auch österreichische Unternehmen und Organisationen betroffen?
Im Frühjahr war beispielsweise die Uni Innsbruck Angriffsziel. Es erwischt auch immer wieder große Organisationen und Unternehmen, weil bisherige Cybersicherheitsmaßnahmen nicht mehr ausreichen und das Thema IT-Sicherheit immer noch eine zu geringe Priorität hat. Da die Geschäftsprozesse im Geschäftsleben heute ohne digitale Systeme nicht mehr funktionieren, ist aber IT-Sicherheit ein sehr zentrales Thema.
Wie sieht es mit der Resilienz in Europa aus?
Diesbezüglich hat sich Europa in den letzten Jahren schon gut aufgestellt, um die Cybersicherheit deutlich zu erhöhen. Dafür haben wir auf allen Ebenen jede Menge an Governance-Vorgaben, zu denen besonders die NIS2-Richtlinie (Netzwerk- und Informationssicherheit in der zweiten Version) zählt, die heuer umgesetzt werden muss. Das bereitet vielen Unternehmen Stress, ihre Systeme nun entsprechend der Vorgaben absichern zu müssen.
Dann kommt auch noch der Cyber Resilience Act …
… der noch nicht ganz fertig ist. Er sieht vor, dass jedes Produkt mit einem IT-Anteil eine Zertifizierung benötigt, die mit dem heutigen CEKennzeichen vergleichbar ist. Damit wird ein gewisser Grad an IT-Sicherheit garantiert. Diese Vorschrift betrifft eigentlich jeden Hersteller, da heute in fast allen Produkten eine digitale Komponente vorhanden ist. Durch die Zulieferketten wird es für jeden, auch kleineren Zulieferer, sehr relevant. Für den Großteil der Unternehmen sollte aber ein Selbstauskunftsverfahren genügen – auch das stellt schon ein gewisses Sicherheitsversprechen am Markt dar und gibt den Konsument:innen eine Orientierung.
Einige Branchen haben sich schon selbst Sicherheitsstandards gegeben.
Ja, im Automotiv-Sektor gibt es etwa eine Cybersicherheitsvorgabe für die herstellende Industrie, die auch für Zulassungen von Autos in der EU ausschlaggebend ist. Hier ist der Nachweis gefordert, dass die IT samt dazugehöriger Software entsprechend diesem Standard zertifiziert wurde. Die EU-Kommission unternimmt große Anstrengungen, um Kompetenzen durch Forschung laufend weiterzuentwickeln, und auch, dass entsprechende Kapazitäten für die unbedingt notwendige Ausbildung für die EU-Wirtschaft entstehen. Da spielt Österreich ebenfalls bereits eine wichtige Rolle, nachdem das AIT weltweit Cyber- Sicherheitstrainings für kritische Infrastrukturbetreiber im Auftrag der IAEA durchführt. Es ist also in letzter Zeit schon sehr viel passiert, um den heutigen Bedrohungen etwas entgegenzusetzen und die Resilienz des Standorts Europa zu erhöhen.
Für große Unternehmen mit eigenen IT- und Security- Abteilungen sind die neuen Regulierungen sicher leichter zu bewältigen als für die kleinen Unternehmen. Was kann hier getan werden?
Hier ist die Supply Chain das große Thema. Denn ob beim Bau eines Hauses oder Autos: der Letzte, der alles zusammenbaut, muss die gesetzlichen Vorgaben erfüllen. Deswegen werden alle großen Anbieter wie auch Energienetz- und Telekommunikationsbetreiber die Anforderungen in ihren Einkaufsbedingungen an ihre Zulieferer übertragen. Somit sind auch kleine Unternehmen gefordert, bei der Erfüllung der NIS2-Richtlinien mitzuwirken. Die Frage ist, wie wir es schaffen, Sicherheitslösungen kompetent einzubauen, zu betreiben und zu warten, damit auch Klein- und Mittelbetriebe ihre Systeme ohne großen Aufwand und Kosten schützen können. Das wird eine wichtige Frage für den europäischen Standort und eine Herausforderung für uns alle. Die Digitalisierung, Cloud Services und die Frage, wo man etwas speichern soll, sind schon lange große Themen in der Wirtschaft. Das Ziel ist nun, Daten so einfach wie Strom aus der Steckdose beziehen zu können, völlig egal, woher sie kommen. Dabei muss aber trotzdem die Kontrolle über die Daten, d. h. die Datensouveränität, behalten werden.
