Die NIS2 Richtlinie trägt dem Rechnung. Mit NIS2 steigen deshalb auch die Anforderungen an die Cybersicherheit und das Risikomanagement von Unternehmen. Dabei spielt nicht nur die eigene IT eine Rolle. Unternehmen müssen sich zunehmend damit beschäftigen, welche Risiken durch Dienstleister, Softwareanbieter und andere Bestandteile ihrer Lieferkette entstehen.
Für uns bei der EGOTEC AG ist das kein neues Thema. Als ISO-27001:2022-zertifizierter SaaS-Anbieter haben wir technische und organisatorische Prozesse etabliert, mit denen wir Sicherheitsrisiken kontinuierlich überwachen und bewerten.
NIS2 betrachtet auch die Lieferkette
NIS2 verlangt von betroffenen Unternehmen angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zum Management ihrer Cybersicherheitsrisiken. Dazu gehört ausdrücklich auch die Sicherheit der Lieferkette einschließlich sicherheitsrelevanter Aspekte der Beziehungen zwischen Unternehmen und ihren unmittelbaren Anbietern und Dienstleistern.
Damit verändert sich auch die Beziehung zwischen Unternehmen und ihren Softwareanbietern: Selbst wenn ein SaaS-Anbieter nicht unmittelbar unter eine bestimmte Verpflichtung fällt, können seine Kunden Sicherheitsnachweise verlangen, weil sie ihrerseits ihre Lieferkette bewerten und absichern müssen.
Für uns bei der EGOTEC AG bedeutet das:
Sicherheit muss nicht erst auf Nachfrage eines Kunden dokumentiert werden.
Sie muss Bestandteil des laufenden Entwicklungs- und Betriebsprozesses sein.
Wissen, was in der Software steckt: SBOM
Moderne Software besteht nicht ausschließlich aus selbst entwickeltem Programmcode. Frameworks, Bibliotheken und weitere Komponenten sind fester Bestandteil nahezu jeder heutigen Software. Deshalb ist es wichtig zu wissen:
Welche Komponenten verwenden wir – und sind darin bekannte Sicherheitslücken enthalten?
Eine wichtige Grundlage dafür ist die Software Bill of Materials (SBOM). Vereinfacht kann man sie sich als Stückliste einer Software vorstellen.
Bei SaaS.de existiert nicht nur eine solche Stückliste. Wir erstellen SBOMs für unterschiedliche Bestandteile unserer Software – beispielsweise Frontend, Backend und Module. Damit ist nachvollziehbar, welche Softwarekomponenten Bestandteil unserer Anwendungen sind.
Von der Stückliste zur kontinuierlichen Risikoanalyse
Eine SBOM allein macht eine Software noch nicht sicher. Entscheidend ist, was anschließend mit diesen Informationen passiert.
Unsere SBOMs werden deshalb automatisiert an OWASP Dependency-Track übertragen. Dort werden die eingesetzten Komponenten kontinuierlich mit bekannten Schwachstellen abgeglichen und hinsichtlich ihres Risikos bewertet.
So entsteht aus einer einfachen Komponentenliste ein aktives Instrument unseres Schwachstellenmanagements. Werden neue Sicherheitslücken in einer eingesetzten Komponente bekannt, fließt diese Information in die Risikobewertung ein – auch wenn sich an unserer eigenen Software seit dem letzten Build nichts geändert hat.
Klare Grenzwerte statt Sicherheitsgefühl
„Wir achten auf Sicherheit“ reicht uns nicht. Im Rahmen unseres nach ISO 27001:2022 zertifizierten Informationssicherheitsmanagementsystems haben wir deshalb konkrete Grenzwerte für die ermittelten Risiken festgelegt. Die Risikowerte werden regelmäßig, mindestens alle zwei Wochen, überprüft.
Dadurch entsteht ein nachvollziehbarer Prozess:
Softwarekomponenten erfassen → Schwachstellen erkennen → Risiken bewerten → Grenzwerte prüfen → erforderliche Maßnahmen einleiten
Sicherheitsmanagement wird damit messbar und reproduzierbar.
ISO 27001 und NIS2: Sicherheit als Prozess
NIS2 zeigt sehr deutlich, wohin sich die Anforderungen an Unternehmen entwickeln: Cybersicherheit darf keine einmalige technische Maßnahme sein. Benötigt werden dauerhafte Prozesse für Risikomanagement, Schwachstellen, Vorfälle und Lieferketten. Genau hier spielt ein etabliertes Informationssicherheitsmanagementsystem seine Stärke aus. Unsere Zertifizierung nach ISO 27001:2022 bedeutet nicht lediglich, dass zu einem bestimmten Zeitpunkt eine Prüfung stattgefunden hat. Sie steht für definierte Prozesse, Verantwortlichkeiten, Kontrollen und eine kontinuierliche Verbesserung der Informationssicherheit.
Die technische Analyse unserer Softwarekomponenten ist ein Bestandteil dieses Gesamtsystems.
Sicherheit von Anfang an
Besonders wichtig ist uns dabei ein Grundsatz:
Sicherheit sollte nicht erst dann zum Thema werden, wenn ein Kunde einen Nachweis verlangt.
Wer erst bei einer Kundenanfrage beginnt herauszufinden, welche Komponenten in seiner Software verwendet werden und welche bekannten Schwachstellen darin vorhanden sind, betreibt Sicherheit reaktiv. Bei SaaS.de ist die Überwachung der eingesetzten Softwarekomponenten Bestandteil unserer etablierten Sicherheitsprozesse.
Das erleichtert nicht nur die Erfüllung steigender regulatorischer und vertraglicher Anforderungen. Vor allem hilft es dabei, Risiken frühzeitig zu erkennen und die Daten unserer Kunden dauerhaft zu schützen.
SaaS.de: Einfach. Sicher. Online.
Mit NIS2, dem Cyber Resilience Act und steigenden Anforderungen an Software-Lieferketten wird nachvollziehbare IT-Sicherheit immer wichtiger.
Für SaaS.de ist das kein Projekt, das erst aufgrund neuer gesetzlicher Vorgaben begonnen wurde.
SBOMs, automatisierte Schwachstellenanalysen, definierte Risikogrenzen und regelmäßige Kontrollen sind bereits Bestandteil unseres Sicherheitsmanagements.
Denn Unternehmen, die ihre Personalprozesse SaaS.de anvertrauen, sollen sich darauf verlassen können, dass Sicherheit bei uns nicht nur versprochen, sondern systematisch umgesetzt wird.
Gerne können wir auf LinkedIn über das Thema diskutieren.