Il 23 aprile 2021 il Bundestag ha approvato la revisione della legge sulla sicurezza informatica (ITSiG 2.0). ITSiG 2.0, il sistema di rilevamento degli attacchi, è obbligatorio per KRITIS. Le infrastrutture critiche devono istituire un sistema olistico per il rilevamento degli attacchi entro due anni. La catena di fornitura entra a far parte della legge sulla sicurezza informatica.
Il 23 aprile 2021 il Bundestag ha approvato la revisione della legge sulla sicurezza informatica (ITSiG 2.0). Oltre ai poteri estesi per l'Ufficio federale per la sicurezza delle informazioni (BSI), vengono rafforzati i requisiti di sicurezza informatica. Infrastrutture critiche come fornitori di energia e fornitori di acqua e ora anche società di smaltimento dei rifiuti e grandi aziende con importanza economica sono obbligate a implementare un sistema per il rilevamento degli attacchi con l'emendamento. Secondo la spiegazione del testo giuridico, ciò dovrebbe proteggere la tecnologia di comunicazione degli operatori di infrastrutture critiche nel modo più completo possibile, vale a dire tenere conto dell'intera infrastruttura al fine di "identificare ed evitare continuamente minacce", ai sensi del § 8a (1a ). Ciò significa che viene messa a fuoco anche la tecnologia di telecontrollo, processo e controllo di rete dell'operatore, che viene definita tecnologia operativa (OT) per distinguerla dall'IT aziendale.
La protezione KRITIS è obbligatoria
"Anche se la legge rimane in gran parte poco chiara in termini di progettazione, la richiesta di un sistema olistico per il rilevamento degli attacchi è assolutamente in ritardo", conferma Klaus Mochalski, CEO di Rhebo. »Ciò tiene conto sia della crescente rilevanza della sicurezza informatica OT sia della tendenza verso la convergenza di IT e OT aziendali. Nel monitoraggio dei progetti e delle analisi dei rischi presso i fornitori di energia e le aziende industriali, ad esempio, identifichiamo da molti anni le minacce che attraversano le interfacce delle reti precedentemente gestite separatamente. Ciò non solo aumenta il rischio che gli attacchi informatici avvengano tramite l'OT. Anche il rischio di interruzioni permanenti di processi industriali come l'approvvigionamento e la produzione di energia è aumentato in modo significativo negli ultimi anni". La valutazione degli attacchi informatici alle aziende fornitrici di energia resa pubblica nel 2020 mostra un aumento del 38% a livello mondiale rispetto all'anno precedente. Per le aziende industriali, c'è stato un aumento del 111 per cento (fonte: www.hackmageddon.com).
Ritardo inutile
Gli operatori delle infrastrutture critiche hanno ora 24 mesi per implementare il sistema di rilevamento degli attacchi. Nelle prime bozze di ITSiG 2.0, BSI aveva richiesto l'implementazione entro 12 mesi. A causa della complessità di alcune infrastrutture critiche, il periodo di attuazione è stato raddoppiato solo nelle ultime settimane dei negoziati. "In relazione all'attuale situazione di rischio, sarebbe stato auspicabile un impegno a breve termine", afferma Mochalski, commentando l'aggiustamento dell'ultima ora. “Soprattutto perché da tempo esistono approcci e tecnologie che consentono di mettere in sicurezza anche infrastrutture complesse in tempi rapidi. Ad esempio, alcuni dei nostri clienti gestiscono un gran numero di sottostazioni, impianti di energia rinnovabile e altre sottostazioni. L'integrazione del nostro monitoraggio della rete industriale con il rilevamento delle anomalie può essere effettuata qui in brevissimo tempo. Ciò è possibile anche perché possiamo facilmente basare la nostra soluzione su componenti di rete esistenti, ad es. B. Barracuda, INSYS icom, RAD e Welotec«.
I fornitori sono ritenuti responsabili
Un'altra innovazione di ITSiG 2.0 è l'estensione della legislazione ai grandi fornitori di infrastrutture critiche. Ciò tiene conto di un panorama di minacce informatiche sempre più complesso che deve tenere conto dell'intera catena di fornitura.
"Anche se questo regolamento è probabilmente rivolto ai fornitori esteri per la rete 5G, questo è anche il passo giusto per tutti gli operatori di infrastrutture critiche o aziende economicamente rilevanti", sottolinea Mochalski. "Non da ultimo l'incidente di SolarWinds lo ha chiarito." Utilizzando la tecnica di attacco nota come compromissione della catena di approvvigionamento, gli aggressori hanno prima compromesso il fornitore di servizi della piattaforma IT SolarWinds alla fine del 2020 per ottenere l'accesso ai loro obiettivi reali, i clienti SolarWinds, da lì. »Per questo motivo collaboriamo da tempo con vari produttori di componenti OT e sistemi IoT critici«>. Dal 2019 Rhebo protegge i sistemi di accumulo di energia del produttore tedesco Sonnen GmbH, utilizzati in tutto il mondo. All'inizio del 2021, Rhebo è stata rilevata dal principale fornitore di soluzioni per la gestione dell'energia, Landis+Gyr. Con l'integrazione di Rhebo nell'Advanced Metering Infrastructure di Landis+Gyr, le infrastrutture critiche in tutto il mondo riceveranno una soluzione sicura per l'ulteriore digitalizzazione e automazione dei loro servizi.
Altro su Rhebo.com
Rebo GmbH
Rhebo sviluppa e commercializza soluzioni e servizi di monitoraggio industriale innovativi per fornitori di energia, aziende industriali e infrastrutture critiche. L'azienda consente ai propri clienti di garantire sia la sicurezza informatica che la disponibilità delle loro infrastrutture OT e IoT e quindi di affrontare le complesse sfide della protezione delle reti industriali e delle infrastrutture intelligenti. Dal 2021, Rhebo è una consociata al 100% di Landis+Gyr AG, un fornitore globale leader di soluzioni integrate di gestione dell'energia per l'industria energetica con circa 5.500 dipendenti in tutto il mondo. Rhebo è partner dell'Alleanza per la sicurezza informatica dell'Ufficio federale per la sicurezza delle informazioni (BSI) ed è attivamente coinvolto nel gruppo di lavoro Teletrust - Bundesverband IT-Sicherheit eV e Bitkom sulla gestione della sicurezza per lo sviluppo di standard di sicurezza.