NIS2 bietet Chancen!

Wie würden Sie Ihr Unternehmen und Ihre Dienstleistungen kurz beschreiben?

Jan Martijn Broekhof: ‘Guardian360 ist ein niederländisches Softwarehaus für Informationssicherheit. Wir unterstützen Managed Service Provider, IT-Dienstleister, Entwickler von Webanwendungen und Beratungsorganisationen dabei, mehr Kontrolle über ihre Informationssicherheit zu gewinnen. Das tun wir durch Abonnementdienste, die ihre Kunden auf der technischen, präventiven, prozessbezogenen und detektiven Seite der Informationssicherheit unterstützen. Und das tun wir entlang der Achse von Mensch, Prozess und Technologie.’

Sie sind vor allem für Ihre Scan-Software bekannt. Würden Sie sagen, dass das Ihr Kronjuwel ist?

Broekhof: ‘Nein, es ist vor allem die Kombination von Diensten in unserer Plattform, die uns auszeichnet. Vulnerability-Scanning ist sicherlich ein wichtiger Teil, aber diese Scans speisen auch unser Compliance-Modul. Dadurch können wir nicht nur technische, präventive Einblicke bieten, sondern Organisationen auch dabei unterstützen, Standards und Gesetze wie NIS2 einzuhalten. Wir kombinieren dies mit der Erkennung von Kriminellen in Netzwerken, was zu einem Dashboard führt, in dem verschiedene Einblicke zusammenkommen.’

Sind Sie hauptsächlich in bestimmten Branchen aktiv, oder ist es sehr vielfältig?

Broekhof: ‘Es ist sehr vielfältig. Wir konzentrieren uns vor allem auf Managed Services Provider, die hauptsächlich KMU bedienen. Unser Endkundenportfolio umfasst ein breites Spektrum an Unternehmen, wie Verwaltungsbüros, Fabriken, große Webshops und mehr. Jeder mit Büroautomatisierung, einem Netzwerk und/oder einer Webanwendung kann unser Kunde werden. Wir bedienen Kunden, die die Grundlagen bereits einigermaßen im Griff haben und die die Bedeutung von Informationssicherheit verstehen. Gleichzeitig ist unsere Preisgestaltung passend für eine KMU-Organisation, die kein großes Budget für Informationssicherheit hat.’

Können Sie uns etwas über die Kombination der von Ihnen genutzten Module erzählen?

Broekhof: ‘Wir haben Kunden, die ihr IT-Management an Partner auslagern, die sich um das System- und Netzwerkmanagement kümmern. Viele dieser Kunden hören von fortschrittlichen Lösungen wie SIEM und SOC, können sie sich jedoch oft nicht leisten oder haben nicht die Mitarbeitenden, um sie zu nutzen. Dafür bieten wir eine Lösung. Wir führen jeden Tag einen vollständigen Scan der Büroautomatisierungsumgebung durch. Dies bietet Einblick in mehr als 150.000 potenzielle Schwachstellen in der Sicherheit eines Netzwerks, wie schwache Passwörter und neue Geräte.’

‘Darüber hinaus bieten wir Einblick in die Einhaltung von Standards wie NEN 7510, ISO 27001, sowie Gesetzen wie GDPR und NIS2. Dringt doch einmal ein Krimineller in ein Netzwerk ein, erkennen wir dies schnell und senden eine SMS- oder E-Mail-Benachrichtigung, um hohe Schäden zu verhindern. Bald führen wir auch unsere mobile App ein, mit der Sie Push-Nachrichten empfangen können, sobald eine Meldung vorliegt.’

Mit dem Aufkommen von NIS2 wird Ihr Angebot noch wichtiger, richtig? Besonders da Unternehmen eine Meldepflicht haben.

Broekhof: ‘Ja, das stimmt. Unser Tooling ist essenziell, um Datenlecks melden zu können, aber natürlich streben wir danach, sie so weit wie möglich zu verhindern. Mit unseren Scans erfassen wir alle potenziellen Einstiegspunkte, an denen etwas schiefgehen könnte, bevor überhaupt etwas passiert. Da es automatisiert ist, ist nur wenig manuelle Arbeit nötig, was angesichts des Personalmangels in vielen IT-Abteilungen sehr praktisch ist.’

Sie sind auch bei Cyber Safe Netherlands involviert. Können Sie uns etwas mehr darüber erzählen?

Broekhof: ‘Ja, wir waren eine von acht Parteien, die an der Wiege von Cyber Safe Netherlands standen. Im Jahr 2017 bemerkten wir, dass viele neue Anbieter in den Markt für Informationssicherheit eintraten. Es wurde für Endkunden zunehmend schwieriger, die Spreu vom Weizen zu trennen. Jeder konnte Dienstleistungen im Bereich Informationssicherheit anbieten, was zu einer Art Wildwestsituation führte. Wir wollten die Transparenz und Qualität in unserer Branche erhöhen, um Kunden bei einer besseren Wahl zu helfen und ihnen ein gutes Gefühl bei der Auswahl der richtigen Anbieter zu geben.’

Was hat diese Initiative bisher erreicht?

Broekhof: ‘Es gibt inzwischen mehr als 120 Mitgliedsparteien bei Cyber Safe Netherlands. Wir haben ein Cyberwörterbuch veröffentlicht, um komplizierte Fachbegriffe der Informationssicherheit in normale Alltagssprache zu übersetzen. Außerdem haben wir ein Gütesiegel für Pentester entwickelt, wodurch ein Kunde direkt fragen kann, ob ein Anbieter dieses Gütesiegel besitzt.’

Sie arbeiten mit Samen Digitaal Veilig und dem NIS2-Gütesiegel zusammen. Wie beurteilen Sie dies aus Ihrer Expertise?

Broekhof: ‘Was mich anspricht, ist, dass Unternehmen mit diesem Gütesiegel zeigen können, dass sie ihr Bestes tun, um neue Regeln zur Cybersecurity einzuhalten, ohne sofort ein aufwendiges Zertifizierungsverfahren wie ISO 27001 durchlaufen zu müssen. Es geht nicht um Panikmache, sondern hilft Unternehmen auf praktische Weise, ihre Sicherheit zu verbessern. Es ist auch gut, dass die RDI dahintersteht.’

Was halten Sie vom Stufenmodell des NIS2-Gütesiegels?

Broekhof: ‘Das Stufenmodell spricht KMU an, weil es ihnen schrittweise Initiativen bietet. Es zeigt, dass nicht sofort alles perfekt sein muss, sondern dass man mit grundlegender Cyberhygiene beginnen und von dort aus wachsen kann. Und dass es irgendwann gut genug ist. Dieses Modell hilft Kunden, die bei null anfangen oder bereits eine Grundlage haben und weiter in Richtung einer vollständigeren Informationssicherheitsposition wachsen möchten.’

Große Unternehmen entscheiden sich weiterhin für die ISO 27001-Standards, aber wie sieht es bei kleineren Lieferanten aus?

Broekhof: ‘Ja, für diese kleineren Lieferanten, die nicht sofort die Ressourcen oder die Notwendigkeit für einen strengen Standard wie ISO 27001 sehen, scheint das NIS2-Gütesiegel gut zu passen. Ihr Tagesgeschäft hat Vorrang, aber Cybersecurity bleibt wichtig. Das Gütesiegel bietet ihnen einen praktikablen Weg, relevante Sicherheitsstandards zu erfüllen, ohne überfordert zu werden.’

So oder so, die NIS2-Vorschriften kommen. Merken Sie, dass dies bei Ihren Kunden lebt, oder muss noch viel Arbeit geleistet werden, um sie vorzubereiten?

Broekhof: ‘Es lebt sicherlich, aber gleichzeitig müssen wir noch hart arbeiten, um die Botschaft auf die richtige Weise zu vermitteln. Viele Unternehmer fühlen sich von neuen Regeln und Gesetzen noch etwas überfordert. Sie haben Fragen wie “Wer genau muss dies einhalten, wie regelt man das und was wird es alles kosten?” Darüber lässt sich noch viel Klarheit gewinnen.’

Wie gehen Sie mit den Sorgen von Unternehmern und KMU bezüglich Vorschriften und deren Auswirkungen um?

Broekhof: ‘Als Vorsitzender von VNO-NCW in der Provinz Utrecht spreche ich mit vielen Unternehmern. Wir versuchen, einen pragmatischen Ansatz für Cybersecurity zu verfolgen, indem wir konkrete Tipps und Ratschläge geben, ohne direkt unsere Produkte zu verkaufen oder sofortige Konformität zu versprechen. Das scheint gut zu funktionieren. Wir beruhigen Organisationen und sagen Unternehmern, dass sie nicht sofort aufwendige Zertifizierungen durchlaufen oder Bußgelder fürchten müssen. Aber gleichzeitig müssen sie an die Arbeit gehen. NIS2 bietet Chancen. Wenn Sie zeigen können, dass Sie Ihre Angelegenheiten im Griff haben und Ihr Wettbewerber nicht, dann haben Sie einen Vorteil bei Ausschreibungen. Dieser Unterschied zwischen Unternehmen, die konform sind, und solchen, die es nicht sind, wird letztlich die Spreu vom Weizen trennen.’