DORA, NIS2 & Co — (k)eine Straßenverkehrsordnung für Cyber Security

Cyber Security geht in einer vernetzen Welt alle etwas an, denn nur wenn sich alle um die Sicherheit des Netzwerks bemühen, können wir uns zusammen auch wirklich sicherer fühlen. Eigentlich müssten die Regeln zum Thema Cyber Security daher wirklich EINFACH sein: so einfach, dass es Standard-Lehrbücher gibt, um die Regeln zu beschreiben,so einfach, dass es ausreichend Lehrer gibt, um die Regeln …

Cyber Security geht in einer vernetzen Welt alle etwas an, denn nur wenn sich alle um die Sicherheit des Netzwerks bemühen, können wir uns zusammen auch wirklich sicherer fühlen.

Eigentlich müssten die Regeln zum Thema Cyber Security daher wirklich EINFACH sein:

so einfach, dass es Standard-Lehrbücher gibt, um die Regeln zu beschreiben,so einfach, dass es ausreichend Lehrer gibt, um die Regeln zu vermitteln,so einfach, dass man in jedem Alter und mit jeder Erfahrungsstufe die Regeln erlernen kann,und vor allem so einfach, dass es im wahren Leben (fast) alle „richtig“ machen.

Eben so einfach, wie die Regeln der Straßenverkehrsordnung (StVO) sind. Spätestens nach dem Theorieunterricht in der Fahrschule wissen wir alle, welche Regeln im Straßenverkehr zu beachten sind, damit es nicht zu einem großen Chaos kommt. Und beim Fahren selbst braucht auch keiner mehr ein Lehrbuch, in dem er ständig alles nachlesen muss. Vielmehr haben wir eine Art „inneren Kompass“ entwickelt, der uns sagt, welche Verhaltensweisen richtig oder falsch sind. Dieser Kompass funktioniert über die Staatsgrenzen hinaus und er wird eingenordet durch die Standard-Lehrbücher, die wir gelesen haben, die Fahrschullehrer, die uns unterrichtet haben und das „wahre Leben“ auf den Straßen dieser Welt.

Genau so EINFACH müsste es im Bereich Cyber Security eigentlich auch sein. Eigentlich…

Was wir aber sehen, ist eine Vielzahl von zersplitterten Regelwerken mit nett gemeinten (aber wenig hilfreichen) „offenen Formulierungen für möglichst viel Interpretations- und Gestaltungsfreiraum„. Was wir sehen, sind vielfältige europäische Verordnungen und Richtlinien zum Thema Sicherheit, die über Artikelgesetze in Form von (teilweise befremdlich übersetzten) „Text-Schnipseln“ in nationalen Gesetzen verstreut werden und wir sehen immer neue Guidelines und Rundschreiben der Aufsichtsbehörden, die die „wichtigsten Anforderungen“ nochmals konkretisieren und auf den Punkt bringen sollen.

Und dann sind da ja auch noch die unzähligen Best Practices und Sicherheitsstandards, auf die der Gesetzgeber gerne verweist und die durch immer neue Alleinstellungsmerkmale um die Anerkennung der breiten Masse kämpfen. Das Problem daran?

Es gibt mittlerweile ziemlich viele dieser Sicherheitsstandards und jeder glänzt mit „neuem“ Zusatzcontent, einer „verbesserten“ Struktur oder einer „innovativen“ Herangehensweise. Die Begriffswelt ist nicht standardisiert und auch die konkreten Sicherheitsanforderungen sind es nicht. Im Ergebnis gibt es also nicht die „eine „ StVO sondern viele verschiedene Auslegungen und Jeder darf entscheiden, welche Vorgaben am Besten zum eigenen Fahrstil passen. Stellt euch das mal im Straßenverkehr vor – wenn Jeder über die Bedeutung von „Rechts vor Links“ diskutieren dürfte – es ergäbe wohl ein ziemliches Verkehrschaos.Die fachliche Spannbreite der Sicherheitsstandards ist enorm und die ausführlichen, teils mehrere 100 Seiten langen Erläuterungen überschreiten häufig das Auffassungsvermögen (und den Auffassungswillen) der meisten IT-Verantwortlichen. Mit anderen Worten: den Standards fehlen einprägsame Bilder und leicht merkbare Regeln, die sich in (überschaubarer Zeit) erlernen lassen und die die IT-Verantwortlichen dabei unterstützten, intuitiv die „richtigen“ Dinge zu tun. Die Veränderungsgeschwindigkeit im IKT-Bereich ist enorm und im Gegensatz dazu ist die Anpassungsgeschwindigkeit der Sicherheitsstandards eher gering. Die Konsequenz daraus: Es werden immer neue Standards entwickelt, um die neuesten Entwicklungen berücksichtigen zu können. Die alten Vorgaben werden dann später angepasst – oder auch nie… Konsolidierung? Fehlanzeige. Stattdessen Inkonsistenzen wo man hinschaut.

Und was fällt den Methodikern unter uns dazu ein?Richtig: Mapping-Tabellen und Cross-Referenzen, um dem Regelungschaos Herr zu werden.

Aber mal ganz ehrlich: welchem „normal sterblichen“ Menschen haben Mapping-Tabellen und Cross-Referenzen eigentlich jemals geholfen, die Dinge „richtig“ zu machen – in unserem Falle „Sicherheit richtig zu machen„?

Ich habe einen schwarzen Gürtel im „Mapping von Allem auf Alles“, doch in der Realität hilft das eigentlich weder mir, noch sonst irgendwem beim besseren Verständnis, was genau zutun ist. Es geht allenfalls um „Rechtfertigung“ und „Nachweisführung“, dass man als Unternehmen alles Wissenswerte zu einem Thema durchleuchtet und die vermeintlich wichtigsten Bausteine in der Implementierung berücksichtigt hat.

Die „praktische Relevanz“ dieser Mappings hinterfrage ich jedoch immer öfter. Welchem IT-Verantwortlichen nutzt die Information, das bestimmte Vorgaben so (oder so ähnlich) auch noch an X andern Stellen zu finden sind? So zum Beispiel die DORA-Vorgaben zum „IKT Asset Management“, die sich auch unter BAI09 in COBIT 2019, in Kapitel 8.2.5 der ISO 20000, in der Sektion A.8 der ISO 27002 oder unter ID.AM im NIST CSF 2.0 wiederfinden.

Wie sollte durch diese Mappings der innere Kompass der IT-Verantwortlichen für „gesetzeskonforme“ und „ordentliche“ Cyber Security besser kalibriert werden, wenn es keiner schafft, die mehreren 100 Seiten Text hinter den identifizierten Cross-Referenzen zu lesen? Und wer sollte eigentlich beurteilen können, welche Auslegung in den X verschiedenen Standards die „Richtige“ ist, um gesetzeskonforme Lösungen zu implementieren?

Ich habe dazu keine abschließende Antwort und bewundere aktuell noch das Problem 😉 Wenn ich mir etwas wünschen dürfte, dann wäre es vermutlich eine Standardisierungsoffensive, mit dem Ziel, die Begriffswelten zu vereinheitlichen, die Standards zu standardisieren und die tatsächlichen Mindestanforderungen an die Cyber Security zu konkretisieren. Mal sehen, ob dieser Wunsch irgendwann erfüllt wird…

Bis dahin werde ich weiter meine Erkenntnisse und Sichtweisen mit euch zu teilen, immer verbunden mit der Hoffnung, dass dies einen kleinen Beitrag zur Standardisierung leistet und wir gemeinsam „schlauer“ werden. In dem Kontext möchte ich auch nochmal auf mein anstehendes FCH-Seminar hinweisen, in dem ich Wissenswertes zum DORA-Puzzle und den relevanten Vorgabedokumenten erläutern werde 😉

Ich freue mich auf euch.