Das australische SOCI-Gesetz (Security of Critical Infrastructure Act) hat die Art und Weise, wie verantwortliche Stellen Cyber- und Betriebsrisiken bewältigen, grundlegend verändert. Das Gesetz verlagert den Schwerpunkt von der strategischen Ausrichtung auf eine nachweisbare operative Widerstandsfähigkeit, die durch belegte Risikomanagementpraktiken gestützt wird.
Die jüngsten Änderungen bekräftigen die Erwartung der australischen Regierung, dass Betreiber kritischer Infrastrukturen über statische Rahmenbedingungen hinausgehen und praktische, operative Kontrollmaßnahmen einführen, insbesondere im Bereich der Cyber- und Informationssicherheit.
Gemäß Teil 2A des SOCI-Gesetzes müssen verantwortliche Stellen ein CIRMP (Risikomanagementprogramm für kritische Infrastrukturen) einrichten, aufrechterhalten und einhalten. Diese Anforderung gilt branchenübergreifend, unter anderem für:
|
|
|
Die meisten dieser Branchen müssen einen ausgereifteren, nachweisbaren und sich kontinuierlich verbessernden Ansatz für das Risikomanagement in den Bereichen Personal, Prozesse und Technologie verfolgen.
Die zwischen 2021 und 2024 eingeführten Änderungen bekräftigen drei zentrale Erwartungen:
- Klar definierte und umgesetzte Maßnahmen zur Cyber- und Informationssicherheit
- Kontinuierliche Risikobewertung und -überprüfung statt statischer Dokumentation
- Aufsicht und Rechenschaftspflicht auf Vorstandsebene
Die Aufsichtsbehörden erwarten mittlerweile von den Organisationen, dass sie die Wirksamkeit ihrer Kontrollmaßnahmen – gestützt auf Überwachungs-, Protokollierungs- und Governance-Nachweise – sowie deren operative Wirksamkeit nachweisen. Compliance ist nicht mehr nur eine reine Dokumentationsaufgabe. Es handelt sich um eine operative und Führungsaufgabe, die unmittelbar mit der nationalen Widerstandsfähigkeit verbunden ist.
Das SOCI-Gesetz und das CIRMP
Verantwortliche Stellen müssen einen CIRMP einführen, pflegen und einhalten, der der Kritikalität der Anlage und dem Bedrohungsumfeld angemessen ist. Der CIRMP darf sich nicht auf bloße Grundsatzerklärungen beschränken, sondern muss praktische, risikobasierte Kontrollmaßnahmen vorsehen, die den tatsächlichen Gefahren Rechnung tragen.
Gemäß den CIRMP-Anforderungen müssen Organisationen:
- Ermitteln Sie Gefahren, die erhebliche Auswirkungen auf kritische Infrastruktureinrichtungen haben könnten
- die wesentlichen Risiken, die sich aus diesen Gefahren ergeben, minimieren oder beseitigen
- Überprüfen und aktualisieren Sie die Kontrollmaßnahmen regelmäßig, um Änderungen bei den Bedrohungsaktivitäten Rechnung zu tragen
- Aufzeichnungen und Belege führen, um die behördliche Überprüfung und Zusammenarbeit zu unterstützen
- Risiken in vier definierten Gefahrenbereichen angehen:
- Risiken im Bereich der Cyber- und Informationssicherheit
- Physische Sicherheit und Naturgefahren
- Gefahren für das Personal
- Risiken in der Lieferkette
Auch wenn CIRMP weiterhin auf Grundsätzen basiert, erwarten die Aufsichtsbehörden eine ausgereifte Betriebsführung. Organisationen müssen nachweisen, dass Kontrollmaßnahmen umgesetzt, überwacht und kontinuierlich verbessert werden. Eine bloße Dokumentation reicht nicht aus. Es sind Belege für die Aufsicht durch die Unternehmensführung, für Risikobewertungsprozesse und für technische Durchsetzungsmechanismen erforderlich.
Cyberrisiken als Core des CIRMP
Cyber- und Informationssicherheitsrisiken stellen eine der größten und sich am schnellsten entwickelnden Gefahren für kritische Infrastrukturen dar. Der CIRMP bekräftigt die Bedeutung von Cyberrisiken als zentralen Pfeiler der Resilienzplanung und trägt damit der zunehmenden Häufigkeit von Ransomware-Angriffen, Kompromittierungen der Lieferkette und Angriffen auf OT-Umgebungen Rechnung.
Die verantwortlichen Stellen müssen nachweisen, dass sie genau verstehen, wie sich Cyberbedrohungen wesentlich auf die Verfügbarkeit, Integrität oder Zuverlässigkeit kritischer Infrastruktureinrichtungen auswirken könnten.
Dazu gehört die Fähigkeit, Folgendes zu erkennen:
- Wie Daten, Dateien und Software in IT-, OT- und ICS-Umgebungen gelangen und sich dort bewegen
- Wo Vertrauensgrenzen zwischen IT-, OT- und Drittanbieternetzwerken bestehen
- Wie sich Malware oder unbefugter Zugriff auf Betriebssysteme ausbreiten könnte
- Ob Lieferanten, Auftragnehmer oder Wechseldatenträger unkontrollierte Risiken mit sich bringen
Die Änderungen des SOCI-Gesetzes stellen klar, dass Altsysteme, isolierte Netzwerke und eingeschränkte OT-Umgebungen nicht von den Verpflichtungen im Bereich Cyberrisiken ausgenommen sind. Unternehmen müssen ihre Kontrollmaßnahmen an diese Umgebungen anpassen, anstatt auf deren Umsetzung zu verzichten.
In der Praxis erfordert dies Transparenz und eine durchsetzbare Kontrolle an häufig ausgenutzten Angriffspunkten, darunter:
- Datei-Uploads und -Downloads
- E-Mail-Anhänge
- Verwaltete und nicht verwaltete Endgeräte
- Wechselmedien
- Fernzugriffsmöglichkeiten
- IT- und OT-Übergangsbereiche
Ein wirksames Cyber-Risikomanagement im Rahmen von CIRMP hängt von präventiven Kontrollmaßnahmen ab, die das Risiko mindern, bevor Bedrohungen kritische Systeme erreichen. Protokollierung, Überwachung und die Erstellung von Nachweisen sind unerlässlich, um nachzuweisen, dass diese Kontrollmaßnahmen wie vorgesehen funktionieren.
Abstimmung der CIRMP-Gefährdungskategorien auf die praktische Umsetzung von Kontrollmaßnahmen
Der CIRMP verpflichtet Organisationen dazu, Risiken in vier Gefahrenbereichen zu berücksichtigen. Für jeden dieser Bereiche sind durchsetzbare und überprüfbare Kontrollmaßnahmen erforderlich, die wesentliche Risiken für kritische Infrastruktureinrichtungen mindern.
Zu den Gefahrenquellen gehören:
- Cyber- und Informationssicherheit
- Personal
- Lieferkette
- Physische Sicherheit
In den folgenden Abschnitten wird dargelegt, wie diese Gefahrenkategorien in Sicherheitsmaßnahmen für den Betrieb in Umgebungen kritischer Infrastrukturen umgesetzt werden.
1. Gefahren für die Cyber- und Informationssicherheit
CIRMP verpflichtet Organisationen dazu, Kontrollmaßnahmen zu ergreifen, die wesentliche Cyberrisiken minimieren, die die Verfügbarkeit, Integrität oder Zuverlässigkeit kritischer Infrastruktureinrichtungen beeinträchtigen könnten. Zu den gängigen Cyberbedrohungen zählen Phishing, Malware, Ransomware und Denial-of-Service-Angriffe.
Dateibasierte Bedrohungen gehören nach wie vor zu den häufigsten Einfallstoren. Unternehmen müssen sicherstellen, dass das Hochladen, Herunterladen, Übertragen und Einbringen von Dateien in IT- und OT-Umgebungen sicher erfolgt.
MetaDefender OPSWAT wurde entwickelt, um dateibasierte Bedrohungen abzuwehren, bevor sie Benutzer oder kritische Systeme erreichen. Die Lösung lässt sich in die bestehende Infrastruktur integrieren und überprüft Uploads, Downloads, E-Mail-Anhänge und Dateiübertragungen, ohne den Betriebsablauf zu stören.
MetaDefender Core mehrere Erkennungstechnologien, um eine mehrschichtige Überprüfung zu ermöglichen, darunter:
- Metascan™-Multiscan-Technologie mit mehr als 30 Anti-Malware-Engines
- Signaturbasierte, heuristische und auf maschinellem Lernen basierende Erkennung
- KI-gesteuerte, auf maschinellem Lernen basierende Zero-Day-Erkennung vor der Ausführung
- Datei-Reputation und Hash-Analyse
Bei unbekannten Bedrohungen und Zero-Day-Bedrohungen führt die Deep CDR™-Technologie eine gründliche Dateibereinigung durch, um eingebettete Bedrohungen wie Skripte, Makros und regelwidrige Inhalte rekursiv zu entfernen. Anschließend werden sichere und nutzbare Dateien wiederhergestellt, wobei die Geschäftsfunktionalität erhalten bleibt.
Adaptive ermöglicht die Beobachtung des Verhaltens in einer kontrollierten Umgebung. Proactive DLP™ überprüft Dateiinhalte, um sensible Informationen zu erkennen und richtlinienbasierte Maßnahmen wie das Entfernen, Schwärzen oder Versehen von Inhalten mit Wasserzeichen durchzusetzen, bevor die Dateien an Benutzer oder Systeme weitergegeben werden.
Zu den weiteren Prüfmöglichkeiten gehören:
- Überprüfung des tatsächlichen Dateityps
- Entpacken von Archiven und rekursives Scannen
- File-based vulnerability assessment
- Verhinderung von Datenverlusten und Inhaltsprüfung
Diese Funktionen unterstützen die Ziele des CIRMP durch:
- Verringerung der Abhängigkeit von einer einzigen Erkennungstechnologie
- Zero-Day-Angriffe erkennen und verhindern
- Erstellung nachprüfbarer Nachweise für die Sorgfaltspflicht bei der Erkennung von Bedrohungen
2. Gefahren für das Personal
Im Rahmen des CIRMP umfassen Personalrisiken Gefahren, die von Mitarbeitern, Auftragnehmern, Subunternehmern, Praktikanten und anderen Personen ausgehen, die Zugang zu kritischen Infrastruktureinrichtungen haben. Organisationen müssen prüfen, wer als systemrelevanter Mitarbeiter gilt, welche Zugangsrechte diese Personen haben und ob dieser Zugang ein erhebliches Risiko darstellen könnte.
Wechseldatenträger und tragbare Geräte sind nach wie vor häufige Einfallstore für Malware in OT-Umgebungen, insbesondere in isolierten oder segmentierten Netzwerken. Ohne wirksame Kontrollmaßnahmen können diese Einfallstore die Perimeter-Sicherheitsmaßnahmen umgehen.
MetaDefender und MetaDefender Media wurden entwickelt, um Sicherheitskontrollen an Medienzugangspunkten und auf der HMI-Ebene (Human Machine Interface) durchzusetzen.
MetaDefender Kiosk das Scannen und Bereinigen von Wechseldatenträgern, bevor Dateien in sichere Umgebungen gelangen dürfen. Es setzt vordefinierte Sicherheitsrichtlinien durch und erstellt Protokolle zur Erfüllung von Audit-Anforderungen.
Firewall MetaDefender Media Firewall die Inline-Prüfung und die Durchsetzung von Richtlinien bei Datenübertragungen zwischen Netzwerken, einschließlich OT-Segmenten. Sie verhindert, dass unbefugte oder unsichere Dateien in kritische Systeme gelangen.
Diese Maßnahmen tragen zur Einhaltung der CIRMP-Anforderungen hinsichtlich der Gefährdung des Personals bei, indem sie:
- Verringerung des Risikos böswilliger oder fahrlässiger Handlungen von Insidern
- Durchsetzung eines sicheren Umgangs mit Wechseldatenträgern in OT-Netzwerken
- Einschränkung der Verwendung nicht zugelassener Geräte
- Besserer Überblick darüber, wer wann Dateien hochlädt
3.Supply Chain
Das SOCI-Gesetz stuft Gefahren in der Lieferkette im Rahmen des CIRMP ausdrücklich als wesentliche Risikokategorie ein. Die verantwortlichen Stellen müssen sich mit Risiken befassen, die von Lieferanten, Auftragnehmern, OEMs (Original Equipment Manufacturers) und externen Dienstleistern ausgehen.
Risiken in der Lieferkette können entstehen durch:
- Endgeräte von Drittanbietern, die eine Verbindung zu kritischen Netzwerken herstellen
- Fernzugriffsmöglichkeiten auf OT-Umgebungen
- Von Auftragnehmern mitgebrachte mobile Geräte
- Software und Wartungsarbeiten
Viele Betreiber kritischer Infrastrukturen sind auf Fernzugriff angewiesen, um Anlagen zu überwachen, Diagnosen durchzuführen und Upgrades an verteilten oder regionalen Standorten vorzunehmen. Ohne angemessene Sicherheitsvorkehrungen können diese Zugangswege Cyberbedrohungen in sensible Umgebungen einschleusen, darunter auch luftisolierte oder teilvernetzte OT-Netzwerke.
OPSWAT MetaDefender und MetaDefender Access™ wurden entwickelt, um Risiken durch Interaktionen von Drittanbietern mit kritischen Systemen zu minimieren.
MetaDefender Drive und bewertet vorübergehend angeschlossene Laptops, Desktops und Server außerhalb des Host-Betriebssystems, bevor diese eine Verbindung zu gesicherten Umgebungen herstellen. Es erkennt Malware, identifiziert Schwachstellen und überprüft die Integrität der Geräte, um sicherzustellen, dass nur vertrauenswürdige Systeme Zugang zu kontrollierten oder luftisolierten Netzwerken erhalten.
MetaDefender OT Access eine sichere Fernzugriffslösung, die speziell für OT- und CPS-Umgebungen (Cyber-Physical Systems) entwickelt wurde. Sie ermöglicht eine kontrollierte Anbindung für Dritte und Mitarbeiter an entfernten Standorten und sorgt gleichzeitig für eine detaillierte Zugriffskontrolle sowie die Durchsetzung von Richtlinien für das Sitzungsmanagement.
Diese Funktionen erfüllen die CIRMP-Anforderungen hinsichtlich Gefahren in der Lieferkette, indem sie:
- Schutz kritischer Systeme vor Störungen oder Unterbrechungen, die durch Ressourcen von Drittanbietern verursacht werden
- Beschränkung des Zugriffs auf autorisierte Systeme und Funktionen
- Verbesserung der Transparenz bei den Interaktionen von Lieferanten und Auftragnehmern mit kritischen Infrastrukturen
4. Risiken im Bereich der physischen Sicherheit und der Netzwerksegmentierung
Physische und umweltbedingte Gefahren sind nach wie vor ein zentraler Bestandteil des CIRMP. In modernen kritischen Infrastrukturumgebungen überschneiden sich physische Sicherheitsrisiken zunehmend mit Cyberrisiken, insbesondere dort, wo OT-Systeme auf kontrollierte Datenflüsse zwischen IT- und OT-Netzwerken angewiesen sind.
In vielen kritischen Infrastrukturumgebungen kommen veraltete OT-Systeme zum Einsatz, in denen herkömmliche Endpunktsicherheitslösungen nicht eingesetzt werden können. Daher müssen Sicherheitsmaßnahmen an den Netzwerkgrenzen und an den Datenübertragungspunkten implementiert werden.
In behördlichen Leitlinien und Branchenstandards wird üblicherweise der Einsatz von Einweg-Gateways, auch als Datendiode bezeichnet, zum Schutz sensibler OT-Netzwerke empfohlen. Diese Maßnahmen gewährleisten einen einseitigen Datenfluss, um unbefugten Zugriff, das Einschleusen von Befehlen oder den Abfluss von Daten aus kritischen Systemen zu verhindern.
MetaDefender sorgt für eine hardwarebasierte, unidirektionale Datenübertragung. Durch die physische Unterbindung des Rückverkehrs wird das Risiko von eingehenden netzwerkbasierten Angriffen in segmentierten Umgebungen beseitigt.
Bei Einsatz in einer DMZ-Architektur (Demilitarized Zone) und in Kombination mit mehrschichtigen Firewall-Kontrollen bietet dieser Ansatz folgende Vorteile:
- Geringeres Risiko der Verbreitung von Malware zwischen IT- und OT-Netzwerken
- Schutz vor unbefugtem Fernzugriff auf kritische Systeme
- Aufrechterhaltung der Betriebskontinuität
- Nachweislich risikobewusstes Netzwerkdesign im Einklang mit den CIRMP-Grundsätzen
Durch die Steuerung des Datenflusses zwischen Vertrauenszonen können Unternehmen sowohl ihre physische als auch ihre Cyber-Resilienz in Umgebungen stärken, in denen Verfügbarkeit und Sicherheit von entscheidender Bedeutung sind.
Von der Einhaltung gesetzlicher Vorschriften bis hin zur operativen Widerstandsfähigkeit
Das australische SOCI-Gesetz und das CIRMP stellen eine deutliche Veränderung der regulatorischen Erwartungen dar. Verantwortliche Stellen müssen über die bloße Dokumentation ihrer Absichten hinausgehen und nachweisen, dass Risikokontrollen in der Praxis umgesetzt und kontinuierlich verbessert werden.
Die Aufsichtsbehörden erwarten von den Organisationen, dass sie nachweisen, dass die Kontrollmaßnahmen:
- angemessen zur Kritikalität und zum Bedrohungsprofil des Objekts
- In operative Arbeitsabläufe integriert
- Unterstützt durch Protokollierung, Überwachung und Governance-Kontrolle
- In der Lage, der Prüfung durch den Vorstand und die Aufsichtsbehörden standzuhalten
CIRMP ist kein statisches Compliance-Rahmenwerk. Es erfordert präventive, durchsetzbare und überprüfbare Kontrollmaßnahmen in den Bereichen Cybersicherheit, Personal, Lieferkette und physische Gefahren.
Präventive Sicherheitsmaßnahmen spielen eine zentrale Rolle bei der Erfüllung dieser Erwartungen. Kontrollmechanismen müssen an gemeinsamen Zugangspunkten, über die Grenzen von IT, OT und ICS hinweg sowie innerhalb der Interaktionspfade mit Drittanbietern zum Einsatz kommen. Zudem müssen sie die erforderliche Transparenz und die notwendigen Nachweise liefern, um Governance, Qualitätssicherung und die Zusammenarbeit mit Aufsichtsbehörden zu unterstützen.
Der Schwerpunkt OPSWATauf dem Schutz kritischer Infrastrukturen unterstützt direkt die operativen und regulatorischen Anforderungen des australischen SOCI-Gesetzes. Die Umsetzung durchsetzbarer technischer Kontrollmaßnahmen im Rahmen des CIRMP stärkt sowohl die Compliance-Situation als auch die Widerstandsfähigkeit in der Praxis.
In Umgebungen mit kritischer Infrastruktur ist präventive Sicherheit kein Luxus, sondern eine Grundvoraussetzung für die Aufrechterhaltung der Verfügbarkeit, der Sicherheit und des öffentlichen Vertrauens. Wenn Sie erfahren möchten, wie Sie Ihre CIRMP-Strategie mit durchsetzbaren präventiven Kontrollmaßnahmen in Einklang bringen können, wenden Sie sich an einen OPSWAT .
FAQs
Was ist der Zweck des CIRMP?
Der CIRMP verpflichtet die nach dem australischen SOCI-Gesetz verantwortlichen Stellen dazu, Risiken zu ermitteln, zu bewerten und zu bewältigen, die sich erheblich auf kritische Infrastruktureinrichtungen auswirken könnten. Er stellt sicher, dass Organisationen angemessene Kontrollmaßnahmen in den Bereichen Cybersicherheit, Personal, Lieferkette und physische Gefahren umsetzen.
Gilt CIRMP auch für OT-Umgebungen?
Ja. Die CIRMP-Verpflichtungen gelten sowohl für IT- als auch für OT-Umgebungen. Ältere oder luftisolierte Systeme sind davon nicht ausgenommen. Unternehmen müssen ihre Kontrollmaßnahmen an die Gegebenheiten der eingeschränkten OT-Systeme anpassen.
Welche Arten von Cyberbedrohungen sind für kritische Infrastrukturen am relevantesten?
Zu den gängigen Cyberbedrohungen zählen Ransomware, Phishing, dateibasierte Malware, Angriffe auf die Lieferkette und unbefugter Fernzugriff. Dateiübertragungen, Wechseldatenträger und Verbindungen zu Drittanbietern sind häufige Angriffspunkte.
Wie können Organisationen nachweisen, dass sie die CIRMP-Anforderungen im Bereich Cybersicherheit erfüllen?
Unternehmen müssen nachweisen, dass Kontrollmaßnahmen umgesetzt werden und wirksam sind. Dazu gehören die Führung von Protokollen, die Überwachung der Aktivitäten, die Durchsetzung technischer Richtlinien sowie die Bereitstellung dokumentierter Prozesse zur Governance-Überwachung und -Prüfung.
Warum wird im Rahmen des SOCI-Gesetzes so viel Wert auf präventive Sicherheit gelegt?
Das SOCI-Gesetz legt den Schwerpunkt auf die Minimierung wesentlicher Risiken für kritische Infrastruktureinrichtungen. Präventive Kontrollmaßnahmen verringern die Wahrscheinlichkeit, dass Cyberbedrohungen, Insiderrisiken oder Risiken in der Lieferkette kritische Systeme erreichen, und tragen so zur Aufrechterhaltung des Betriebs sowie zur Einhaltung gesetzlicher Vorschriften bei.
