Am 10. Juni 2026 traten die „Security of Critical Infrastructure Legislation Amendment (Enhanced Critical Infrastructure Risk Management Program) Rules 2026“ der australischen Regierung in Kraft.
Das Innenministerium hat zusätzliche Anforderungen eingeführt, die sich auf die Cybersicherheitsreife, die Installation von Patches und veraltete Technologien, den Missbrauch von Zugangsdaten, laterale Bewegungen, den Zugriff von Mitarbeitern, Abhängigkeiten in der Lieferkette sowie das Zusammenspiel zwischen cyber- und physischen Sicherheitsrisiken beziehen.
Für Betreiber kritischer Infrastrukturen bekräftigt dies einen wichtigen Grundsatz: Resilienz muss in die Umgebung integriert und durch durchsetzbare Kontrollmaßnahmen, Überwachung, Nachweise und Wiederherstellungsfähigkeit unter Beweis gestellt werden.
Strategien für den Übergang zu den erweiterten CIRMP-Vorschriften (Critical Infrastructure Risk Management Program)
Dies ist eine Aktualisierung eines früheren Blogbeitrags vom März 2026.
Die neuen Anforderungen stehen in engem Zusammenhang mit mehreren Bereichen, die im Portfolio des „ OPSWAT“ zum Schutz kritischer Infrastrukturen behandelt werden:
- Kompromittierung von Anmeldedaten und kontrollierter Fernzugriff: Die Richtlinien führen explizite Anforderungen hinsichtlich einer phishing-resistenten Multi-Faktor-Authentifizierung für relevante Systeme, privilegierten Zugriff und Fernzugriff sowie eine zentrale Protokollierung und Überwachung der Authentifizierungsaktivitäten ein. MetaDefender™ Endpoint lässt sich in bestehende Identitätsanbieter und MFA-Dienste integrieren und sorgt gleichzeitig für die Durchsetzung der Gerätekonformität, bevor Zugriff gewährt wird.
Für Betriebsumgebungen bietet MetaDefender OT Access identitätsbasierten, richtliniengesteuerten Fernzugriff mit Sitzungsüberwachung, Audits und detaillierten Einschränkungen hinsichtlich der Zugriffsrechte von Mitarbeitern im Homeoffice oder Drittanbietern. Die phishingresistente MFA selbst sollte über einen geeigneten Identitätsanbieter implementiert werden, sofern dies gemäß den Vorschriften erforderlich ist; dies wird in Abschnitt 8B „Kompromittierung von Anmeldedaten“ als eigenständiges Risiko aufgeführt. - Netzwerktrennung und laterale Bewegung: Im Rahmen der 8C-Gefahr „Laterale Bewegung“ legen die Regeln konkrete Anforderungen fest, um zu verstehen, wie kritische Systeme miteinander verbunden sind, die Kommunikation zwischen ihnen einzuschränken, das Prinzip der geringsten Berechtigungen anzuwenden, Kommunikationspfade zentral zu überwachen und die Wiederherstellung zu unterstützen, während kritische Betriebsabläufe aufrechterhalten werden. MetaDefender Industrial Firewall bietet protokollorientierte Überprüfung und zonenbasierte Segmentierung für OT-Umgebungen.
MetaDefender NetWall™ kann eine hardwaregestützte Isolierung und kontrollierte Datenflüsse zwischen Netzwerken unterschiedlicher Sicherheitsklassifizierungen gewährleisten. Diese Kontrollmaßnahmen können Teil einer umfassenderen Architektur sein, die darauf ausgelegt ist, laterale Bewegungen einzudämmen und die betriebliche Unabhängigkeit während eines Vorfalls zu wahren. Außerdem kann die Lösung eine Strategie bieten, um Betreibern kritischer Infrastrukturen dabei zu helfen, die Vorgaben von CI Fortify zu erfüllen, wonach die Fähigkeit bestehen muss, während eines Zeitraums von 90 Tagen im Offline-Modus betriebsfähig zu bleiben. - Risiken durch Dritte und in der Lieferkette: Im Rahmen des Risikos „ Supply Chain “ gemäß 10A verlangen die Vorschriften von den betroffenen Unternehmen, wichtige Lieferanten und kritische Komponenten zu erfassen, Risiken in der Lieferkette zu identifizieren, maximal akzeptable Ausfallzeiten zu berücksichtigen und die mit wichtigen Lieferanten verbundenen Risiken zu bewerten. Technische Kontrollmaßnahmen ersetzen weder die Sorgfaltspflicht gegenüber Lieferanten noch die Bewertung von ausländischem Eigentum, ausländischer Kontrolle oder ausländischem Einfluss; jedoch können „ OPSWAT “ das Cyberrisiko verringern, das durch Software, Dateien und Daten entsteht, die über diese Lieferketten in kritische Umgebungen gelangen.
MetaDefender™ Core kann Software und Dateien auf Malware und bekannte Schwachstellen überprüfen und Software-Stücklisten (SBOMs) erstellen. MetaDefender™ Kiosk kontrolliert Dateien, die über Wechselmedien eingespielt werden, während MetaDefender™ Managed File Transfer Überprüfungen, Zugriffskontrollen, die Durchsetzung von Richtlinien und Prüfprotokolle auf den Dateiaustausch zwischen IT-, OT- und Drittanbieterumgebungen anwendet. - Offshore- und Fernzugriff auf kritische Systeme und Daten: Mit der Einführung wesentlicher Risiken im Rahmen von „6A All-Hazard“ erkennt die Regierung den Offshore- oder Fernzugriff auf kritische Komponenten und geschäftskritische Daten als zusätzliche wesentliche Risiken an. MetaDefender OT Access kann den Zugriff Dritter oder den Fernzugriff auf bestimmte OT-Ressourcen und -Aktivitäten einschränken und überwachen, während MetaDefender Managed File Transfer und MetaDefender NetWall den kontrollierten Datentransfer über Sicherheitsgrenzen hinweg durchsetzen können. Dies ermöglicht es Unternehmen, unnötige Verbindungen zu reduzieren und strengere Kontrollpunkte für Fernzugriffe auf kritische Umgebungen einzurichten.
- Cyber-physische Folgen: Die erweiterten CIRMP-Vorschriften verpflichten Organisationen dazu, die physischen Sicherheitsfolgen zu berücksichtigen, die sich aus Cyber-Risiken, Risiken im Zusammenhang mit Zugangsdaten, lateraler Bewegung, Personal und der Lieferkette ergeben. Dies ist besonders relevant in OT- und cyber-physischen Umgebungen, in denen ein Cyberangriff die Verfügbarkeit oder den sicheren Betrieb physischer Prozesse beeinträchtigen kann. Segmentierung, sicherer Fernzugriff, kontrollierte Dateiübertragung und vorbeugende Überprüfungen können dazu beitragen, die Wege zu verringern, über die sich ein digitaler Angriff zu einem betrieblichen oder physischen Vorfall entwickelt. Diese technischen Kontrollmaßnahmen ergänzen die im Rahmen des CIRMP geforderten Prozesse zur physischen Sicherheit und Geschäftskontinuität, ersetzen diese jedoch nicht.
So wird Compliance im Jahr 2028 aussehen
Die jüngsten Gesetzesänderungen im Rahmen des SOCI Act zur Verschärfung der CIRMP-Vorschriften erhöhen zudem das erwartete Reifegradniveau der Cybersicherheit für die betroffenen Vermögenswerte. Sie verweisen auf Rahmenwerke wie ISO/IEC 27001:2023, das NIST Cybersecurity Framework 2.0, „Essential Eight“ Reifegrad 2, den C2M2-Reifegradindikator Stufe 2 und das AESCSF-Sicherheitsprofil 2 oder einen entsprechenden gleichwertigen Ansatz.
Für Organisationen, die bereits den CIRMP-Verpflichtungen unterliegen, stellen die Änderungen im Jahr 2026 daher mehr als nur eine weitere Aktualisierung der Compliance-Vorgaben dar. Sie bieten eine klarere technische Orientierung: Ermitteln, was mit kritischen Systemen verbunden ist, kontrollieren, wer und was darauf zugreifen darf, Möglichkeiten für laterale Bewegungen minimieren, Zugriffspfade von Drittanbietern genau prüfen, Nachweise über Sicherheitskontrollen führen und Umgebungen gestalten, die in der Lage sind, kritische Abläufe fortzusetzen, wenn andere Systeme kompromittiert sind oder sich in der Wiederherstellungsphase befinden.
OPSWAT soll Betreibern kritischer Infrastrukturen dabei helfen, diesen Übergang zu bewältigen, indem es präventive und durchsetzbare Kontrollmaßnahmen für Dateien, Wechseldatenträger, Endgeräte, Fernzugriff, OT-Netzwerke und domänenübergreifende Datenflüsse bereitstellt. Keine einzelne Technologie gewährleistet für sich genommen die Einhaltung der CIRMP-Vorgaben, doch die Integration dieser Funktionen in ein umfassenderes Risikomanagementprogramm kann den verantwortlichen Stellen dabei helfen, regulatorische Anforderungen in messbare und überprüfbare operative Resilienz umzusetzen.
Um zu prüfen, ob Sie für die Fristen 2027 und 2028 gerüstet sind, wenden Sie sich an einen Experten für kritische Infrastruktur bei OPSWAT .
