Was Verteidigungslieferketten einem Regulator noch nicht nachweisen können
Lieferketten im Verteidigungsbereich, die kritische Infrastrukturen unterstützen, stehen zunehmend vor der Herausforderung, sowohl physische Resilienz als auch Cybersecurity-Anforderungen gleichzeitig zu erfüllen. Ein Betreiber, der als kritische Infrastruktur eingestuft wird, unterliegt in vielen Rechtsräumen auch den Cybersecurity-Anforderungen für essentielle Einrichtungen. Dem physischen Bereich wird oft angemessene Aufmerksamkeit geschenkt, da er sichtbare und überprüfbare Nachweise liefert. Die Cyberseite bleibt häufig zurück.
Fragen Sie einen Betreiber einer Verteidigungslieferkette, ob seine Systeme sicher sind, lautet die Antwort fast immer ja. Bitten Sie ihn jedoch um einen Nachweis – mit Aufzeichnungen statt Zusicherungen – schwindet das Selbstvertrauen meist schnell. Dieser Artikel beleuchtet, warum die Nachweislücke im Cyberbereich bei Verteidigungslieferketten so verbreitet ist und was nötig ist, um sie zu schließen.
Executive Summary
Betreiber von Verteidigungslieferketten, die als kritische Infrastruktur eingestuft sind, stehen vor einer erweiterten Compliance-Oberfläche: physische Resilienz und Cybersecurity-Verpflichtungen, die gelten, weil der Betreiber zugleich als essentielle Einrichtung eingestuft wird. Die Cyberseite bleibt oft zurück, weil der erforderliche Nachweis – ein kontinuierliches, abfragbares Protokoll aller Datenzugriffe – im Nachhinein schwer zu erbringen ist. Für Sicherheitsverantwortliche liegt die praktische Priorität darin, die Nachweislücke auf der Seite der Verpflichtung zu schließen, in die am leichtesten zu wenig investiert wird – gerade weil ein Versagen dort erst sichtbar wird, wenn ein Vorfall oder eine Aufsichtsbehörde es sichtbar macht.
wichtige Erkenntnisse
- Betreiber von Verteidigungslieferketten, die als kritische Infrastruktur eingestuft sind, tragen gleichzeitig physische und Cyber-Verpflichtungen.
- Physische Resilienz lässt sich leicht nachweisen, da sie sichtbar ist. Cyber-Resilienz hat kein entsprechendes „Walk-through“; Zugriffskontrollen lassen sich nicht durch einen Rundgang überprüfen.
- Vertrauen in Cyber-Resilienz ohne Aufzeichnungen ist eine Annahme, kein Nachweis. Ein Betreiber, der keinen konkreten Nachweis darüber liefern kann, wer worauf zugegriffen hat, verlässt sich auf das Ausbleiben eines Vorfalls statt auf nachgewiesene Kontrolle.
- Aufsichtsbehörden erwarten zunehmend kontinuierliche Nachweise, keine einmalige Bewertung. Eine einmal eingereichte Risikoanalyse beantwortet nicht die Fragen einer Aufsichtsbehörde nach einem tatsächlichen Vorfall.
- Die Nachweise, die Verteidigungsauftragnehmer benötigen, sind dieselben, die jede essentielle Einrichtung benötigt – unter erhöhter Prüfung, da es sich um besonders sensible Daten handelt.
Warum Verteidigungslieferketten jetzt sowohl physische als auch Cyber-Verpflichtungen erfüllen müssen
Betreiber, die als kritische Infrastruktur gelten, stellen zunehmend fest, dass ihre Einstufung zwei separate, parallele Verpflichtungen auslöst – nicht nur eine.
Physische Resilienz und Cyber-Resilienz sind als eigenständige Verpflichtungen reguliert
Rahmenwerke für physische Resilienz konzentrieren sich auf die Aufrechterhaltung essenzieller Dienste bei Katastrophen, Sabotage und physischen Störungen: Registrierung, Risikoanalysen, Schutzmaßnahmen für die Einrichtung selbst. Cybersecurity-Verpflichtungen adressieren ganz andere Risiken: Vorfallmeldungen, Risikomanagement von Informationssystemen und Nachweise technischer Sicherheitsmaßnahmen. Ein Betreiber kann eine Seite umfassend erfüllen und auf der anderen dennoch angreifbar bleiben.
Die Prüfung steigt schneller als die Nachweispraxis der meisten Betreiber
Da die Einstufungsschwellen mehr Teile der Lieferkette erfassen und die Zusammenarbeit zwischen physischen und Cyber-Aufsichtsbehörden zunimmt, wird von Betreibern erwartet, nicht nur Kontrollen zu haben, sondern auch einen konkreten, mit Zeitstempel versehenen Nachweis darüber zu liefern, wie diese Kontrollen im Ereignisfall funktioniert haben.
Warum physische Nachweise einfach und Cyber-Nachweise schwierig sind
Die Asymmetrie zwischen beiden Verpflichtungen liegt darin, dass eine Seite Nachweise von Natur aus produziert, während die andere eine gezielte Gestaltung erfordert, um überhaupt Nachweise zu generieren.
Den Perimeter kann man abgehen, das Zugriffsprotokoll nicht
Eine physische Sicherheitsmaßnahme kann ein Prüfer direkt vor Ort überprüfen. Ob der Zugriff auf Programmsysteme tatsächlich wie behauptet kontrolliert, überwacht und protokolliert wurde, lässt sich nur durch Einsicht in Aufzeichnungen belegen – und diese existieren nur, wenn die zugrunde liegenden Systeme kontinuierlich darauf ausgelegt sind, sie zu erfassen.
Das Ausbleiben eines Vorfalls ist kein Nachweis für Kontrolle
Viele Betreiber behandeln stillschweigend die Tatsache, dass bisher nichts passiert ist, als Ersatz für einen nachgewiesenen Kontrollmechanismus. Das bricht in dem Moment zusammen, in dem tatsächlich ein Vorfall oder eine aufsichtsrechtliche Prüfung eintritt.
Was nötig ist, um die Cyber-Nachweislücke zu schließen
Diese Lücke zu schließen bedeutet, sicherzustellen, dass die Systeme, die sensible Programmdaten verarbeiten, tatsächlich die Nachweise erzeugen, die eine Richtlinie vorgibt.
Kontinuierliches Logging über alle Systeme, die sensible Daten berühren
Kontinuierliches, vollständiges Logging über alle Kanäle, die kontrollierte Daten verarbeiten, macht aus einer Vorfalluntersuchung eine reine Abfrage von Aufzeichnungen statt einer Rekonstruktion auf Verdacht.
Nachweise müssen vorliegen, bevor die Aufsichtsbehörde fragt – nicht erst danach
Eine Aufsichtsbehörde, die einen Vorfall untersucht, stellt konkrete Fragen: Welche Daten wurden abgerufen, von wem, mit welcher Berechtigung, und welche Kontrollen waren aktiv? Ein Betreiber, der sofort antworten kann, befindet sich in einer völlig anderen Position als einer, der erklären muss, warum es keine Aufzeichnungen gibt.
Die Nachweisbasis aufbauen, bevor sie benötigt wird
Für Betreiber von Verteidigungslieferketten ist es entscheidend, die Cyberseite ihrer Verpflichtungen mit derselben Sorgfalt zu prüfen wie die physische Resilienz: Sicherstellen, dass Logging kontinuierlich und vollständig erfolgt, dass es schnell abgefragt werden kann und dass es tatsächlich die Anforderungen einer Aufsichtsbehörde an konkrete Nachweise erfüllt.
Wie eine Data Control Plane die nötigen Nachweise liefert
Die Kiteworks Data Control Plane setzt datenbewusste, zero-trust-Kontrollen für jede Aktion über alle Kanäle hinweg ein und erfasst jede einzelne in einem fälschungssicheren, uneingeschränkten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Auftragnehmer einen kontinuierlichen, abfragbaren Nachweis darüber, was mit sensiblen Daten passiert ist, wann und unter wessen Autorisierung. Single-Tenant-Bereitstellung – On-Premises, in einer selbst gehosteten Cloud-Instanz oder als dedizierte Hosted-Instanz – bedeutet, dass diese Nachweisbasis vollständig unter der Kontrolle des Auftragnehmers bleibt.
Auftragnehmer, die ihre Cyber-Nachweispraxis testen möchten, können eine individuelle Demo vereinbaren, um zu sehen, wie kontinuierliche, kanalübergreifende Audit-Nachweise in ihrer eigenen Umgebung funktionieren.
Häufig gestellte Fragen
Betreiber, die als kritische Infrastruktur eingestuft sind, lösen zwei separate Verpflichtungen aus: Rahmenwerke für physische Resilienz zum Schutz vor Katastrophen und Sabotage sowie Cybersecurity-Anforderungen als essentielle Einrichtungen, die Vorfallmeldungen, Risikomanagement und technische Kontrollen umfassen.
Physische Maßnahmen können Prüfer direkt vor Ort überprüfen. Cyber-Zugriffskontrollen und Datenverarbeitung lassen sich hingegen nur durch kontinuierliche, abfragbare Aufzeichnungen belegen, die gezielt in die Systeme integriert sein müssen.
Dieser Ansatz betrachtet das Fehlen von Problemen als Nachweis – was im Ernstfall oder bei einer aufsichtsrechtlichen Prüfung sofort scheitert, wenn konkrete, mit Zeitstempel versehene Aufzeichnungen über Zugriffe und Kontrollen gefordert werden.
Erforderlich ist ein kontinuierliches, vollständiges Logging über alle Systeme, die sensible Daten verarbeiten – mit fälschungssicheren Audit-Trails, die schnell abgefragt werden können, um regulatorische Fragen zu beantworten, wer worauf und mit welcher Berechtigung zugegriffen hat – und zwar bevor ein Vorfall eintritt.