www.itsicherheit-online.com Heft im Heft NIS-2 | KRITIS Mehrfachregulierung durch NIS-2, EnWG, TKG & Co. Doppelt hält besser? Wie sage ich es meinem CEO? Mit NIS­2 wird Risikomanagement zur Pflicht IT-/OT-Lücke in kritischer Infrastruktur Mehr Sicherheit durch bessere SOC­Funktionen Marktübersicht Relevante Hersteller/Dienst­ leister und ihre Angebote

Inhalt 2 4 Editorial Doppelt hält besser? Mehrfachregulierung durch NIS-2 10 NIS­2­Richtlinie Wie sage ich es meinem CEO? 12 IT­ und OT­Cybersicherheitslücken überwinden OT-Sicherheit mit fortschrittlichen SOC-Funktionen stärken Anbieter 14 NIS­2­Richtlinie Die richtigen Cyber-Defense-Tools 16 NIS-2 in der Operational Technology in den Griff bekommen 17 NIS-2-Richtlinie nimmt ­Unternehmen­in­die­Pflicht­ Wettbewerbsfähigkeit sichern durch IT­Sicherheit 18 NIS-2 verstehen, Sicherheit gewinnen mit ESET Europäische Union macht Cybersecurity zur Chefsache 20 Mit Zero-Trust- Segmentierung NIS-2- ready werden 22 Cybersecurity Evolution: NIS­2 Mit Sieben meilen stiefeln in die Zukunft der IT-Sicherheit 23 Gesetzliche Vorgaben stellen IT­Dienstleister auf den Prüfstand KRITIS und NIS-2: Königs disziplin für IT-Dienstleister und deren Rechenzentren 24 Zur Miete/zum Mietkauf oder auch direkt zum Kauf Mobiles Outdoor-DataCenter „asfm-TMC-09s mobile DataCenter“ und deren Rechenzentren SPECIAL_3/2024 NIS-2 | KRITIS 3 Bild: tongpatong - stock.adobe.com, venusvi - stock.adobe.com

Verkehr“) und Einrichtungsarten (zum Beispiel „Eisenbahn- infrastrukturbetreiber“) sowie einheitliche Firmengrößen für die Betroffenheit: Mitarbeiteranzahl, Umsatz und Bilanz- summe (§ 28 Abs. 1, 2 NIS2UmsuCG (BSIG-E)). Durch die neue Regulierung werden künftig etwa 30.000 Unternehmen in Deutschland reguliert. Gleichzeitig bleibt die bisherige KRITIS- Methodik parallel bestehen, sodass Unternehmen sowohl NIS-2-Einrichtung als auch KRITIS-Betreiber – dann Betrei- ber kritischer Anlagen genannt – sein können. Zusätzlich zu der großen Zahl an betroffenen Unterneh- men erweitert das NIS-2-Umsetzungsgesetz auch den Gel- tungsbereich, in welchem Maßnahmen umgesetzt werden müssen. Im Gegensatz zum eher engen Geltungsbereich von KRITIS-Anlagen mit kritischer Dienstleistung treffen die NIS-2-Pflichten in Zukunft praktisch das gesamte Unterneh- men, so die aktuelle Gesetzesbegründung. Bei der Analyse der eigenen Betroffenheit sollten Firmen berücksichtigen, dass das NIS-2-Umsetzungsgesetz einige Ausnahmen für bestimmte Sektoren und Einrichtungsarten definiert. Diese führen dazu, dass manche Unternehmen von einigen NIS-2-Pflichten ausgenommen werden, da sie auf- grund anderer Gesetze inhaltlich ähnliche Anforderungen umsetzen müssen. Je nach genauer Betroffenheit müssen sie dann in verschiedenen Unternehmensteilen unterschiedli- che Anforderungen realisieren: als NIS-2-Einrichtung im ganzen Unternehmen NIS-2-Pflichten sowie KRITIS- und gegebenenfalls spezialgesetzliche Pflichten in einem Unter- nehmensteil. Die folgenden Beispiele beleuchten das mehrfache Betrof- fensein unter NIS-2 in Deutschland. Die Referenzen stützen sich auf Paragrafen des für die NIS-2-Umsetzung geänderten BSI-Gesetzes (BSIG-E). i r e b e r t e B Governance Leitung Entwicklung Dienstleistung (kDL aus BSIG) KRITIS-Anlage Dienstleistung (NIS-2-Service) Dienstleistung (non-NIS-2) Kritische Anlage (KRITIS) Zusätzliche NIS-2-Anforderungen + KRITIS-DachG-Anforderungen + ggf. Spezialgesetze (TKG, EnWG etc.) NIS-2-Einrichtung: NIS-2-Risikomanagement Prozesse Prozesse Prozesse Prozesse Auch NIS-2? Anlagen IT Anlagen IT Anlagen IT OT Standorte Standorte Standorte Externe Personal Wartung Betriebsmittel Abbildung 1: Geltungsbereich NIS-2 und KRITIS (Bild: OpenKRITIS, Mai 2024) SPECIAL_3/2024 NIS-2 | KRITIS 5 Unabhängig von der konkreten mehrfachen Betroffenheit unter NIS-2 empfiehlt es sich, relevante Vorgaben im Detail zu analysieren und die Geltungsbereiche klar abzugrenzen. Fol-gende Fragen sollten dabei mindestens beantwortet werden: ƒIst das Unternehmen eine NIS-2-Einrichtung nach § 28 BSIG-E in einem NIS-2-Sektor (Anlage 1 und 2)? ƒIst das Unternehmen von NIS-2-Ausnahmeregelungen in § 28 Abs. 4 oder 5 betroffen? ƒWelche sektorspezifischen Gesetze gelten zusätzlich oder alternativ zu NIS-2? ƒAuf welche Unternehmensteile und Geltungsbereiche wirkt sich welche Regulierung aus? ƒWelche Legaleinheiten in Konzerngruppen sind genau betroffen? ƒWelche konkreten Pflichten ergeben sich in den verschiedenen Geltungsbereichen? NIS-2 und KRITIS Die bisherigen KRITIS-Betreiber werden in der kommen-den NIS-2-Gesetzgebung zu Betreibern kritischer Anlagen (§ 28 Abs. 6), wenn sie (wie bisher auch) eine in der KRITIS-Verordnung definierte Anlage über definierten Schwellen-werten betreiben (§ 28 Abs. 7). Als Betreiber kritischer Anla-gen gelten sie unabhängig von ihrer Größe auch als besonders wichtige Einrichtung – sie vereinen also zwei regulierte Un-ternehmenstypen in sich.1. Als besonders wichtige Einrichtung unterliegen die-se Unternehmen der NIS-2-Regulierung. Im Geltungsbereich

k r e w t d a t S Governance Leitung Entwicklung Stromversorgung (kDL aus BSIG) Entsorgung (NIS-2-Service) Straßenbahn (non-NIS-2) Energieanlage (EnWG) Prozesse Prozesse Prozesse Prozesse Anlagen IT Anlagen OT Anlagen IT OT Standorte Standorte Standorte Externe Personal Wartung Betriebsmittel Abbildung 2: Geltungsbereich NIS-2 und EnWG Energieanlage (EnWG) • • §5c EnWG-E Vorgaben (Sicherheit) IT-Sicherheitskatalog-neu BNetzA Kritsche Anlage (NIS-2 und DachG) • Resilienz aus KRITIS-DachG • Risiko-Management §30, Registrierung §33 aus NIS-2 Einrichtung Entsorgung (NIS-2) • Risiko-Management und Maßnahmen • Meldungenpichten, Informationen • Registrierung, ggf. Nachweise Straßenbahn (ÖPNV) nicht NIS-2 • NIS-2-Pichten etwas unklar • Möglicherweise trotzdem betroen den, also in einer GmbH oder AöR. Teilen sich die Dienst- leistungen auf verschiedene Legaleinheiten auf, ist die Be- troffenheit noch kleinteiliger und teilt sich analog auf. Mit über 50 Mitarbeitern erbringt das Stadtwerk unterschied- liche Dienstleistungen in der Entsorgung (NIS-2-relevanter Sektor und Einrichtungsart) und im öffentlichen Personen- nahverkehr (ÖPNV) (nicht NIS-2-relevante Einrichtungs- art). Zusätzlich betreibt es ein Stromverteilnetz, das einer NIS-2-Einrichtungsart aus einem NIS-2-Sektor entspricht. Das Stromverteilnetz ist gleichzeitig eine Anlage nach KRITIS-Verordnung und überschreitet die Schwellenwer- te aus der Verordnung – wird deshalb kritische Anlage im Energiesektor. Als Energieanlage fällt es ebenfalls unter die Regelungen des EnWG. In dieser Konstellation ist das Unternehmen durch die Entsorgung mindestens eine wichtige NIS-2-Einrichtung; durch den Betrieb einer kritischen Anlage erhält es jedoch die zuvor beschriebene Doppelrolle „Betreiber kritischer Anlagen und besonders wichtige NIS-2-Einrichtung“. Das Stromver- teilnetz wiederum stellt eine besondere Form von kritischen Anlagen dar, mit sektorspezifischer Regulierung durch das EnWG, weshalb die Ausnahmeregelung aus § 28 Abs. 4 ange- wendet wird. 1. Als besonders wichtige Einrichtung unterliegt das Stadtwerk der NIS-2-Regulierung und muss, wie zuvor für Betreiber kritischer Anlagen dargestellt, die NIS-2-Pflichten erfüllen. 2. Als Betreiber eines Stromverteilnetzes mit EnWG- Regulierung muss das Stadtwerk im Geltungsbereich des Stromverteilnetzes nur grundlegende NIS-2-Pflichten erfül- len: Risikomanagementmaßnahmen (§ 30), Registrierung beim BSI (§ 33) sowie Billigungs-, Überwachungs- und Schu- lungspflichten (§ 38). Darüber hinaus gelten die Anforderun- gen aus dem EnWG und dem zugehörigen IT-Sicherheitskata- log der Bundesnetzagentur (BNetzA): ƒ ein ISMS nach ISO/IEC 27001 implementieren mit Gover- nance, Risikomanagement, regelmäßiger Überprüfung und kontinuierlicher Verbesserung (IT-Sicherheitskata- log BNetzA) ƒ einen Netzstrukturplan erstellen (IT-Sicherheitskatalog BNetzA) ƒ Prozesse zum Incident Management, Business Con- tinuity Management, Lieferantenmanagement nach Stand der Technik implementieren – spezifisch für den Netzbetrieb (inhaltlich recht deckungsgleich zu den NIS-2-Anforderungen, § 5c Abs. 3 EnWG-E) ƒ Prozesse zum Meldewesen implementieren, die inhalt- lich vermutlich ähnlich zu den NIS-2-Anforderungen aus § 32 sind, formal aber aus § 5c Abs. 6 EnWG abge- leitet sind ƒ Prozesse zum Nachweis der Erfüllung der Anforderun- gen implementieren (§ 5c Abs. 4 EnWG-E) Zusätzlich zu NIS-2 und dem EnWG gilt für den Geltungs- bereich der kritischen Anlage vermutlich auch das künftige KRITIS-Dachgesetz. Für das Stadtwerk ergeben sich also unter NIS-2 zwei ver- schiedene Geltungsbereiche mit unterschiedlichen Anforde- rungen und Maßnahmen. Zum einen bestehen für den Gel- tungsbereich des (wahrscheinlich) gesamten Unternehmens SPECIAL_3/2024 NIS-2 | KRITIS 7

So private wie nötig, so public wie möglich. secunet – Cloud-Lösungen zu Ende gedacht. Als langjähriger IT-Sicherheitspartner der Bundesrepublik Deutschland gestalten wir souveräne Cloud-Lösungen ganz nach Ihren Bedürfnissen – on-premise, public oder auch kombiniert als flexible Hybrid Cloud. secunet.com protecting digital infrastructures

viele Geschäftsleiter ist das Thema Cybersicherheit noch Neu- land. Laut einer aktuellen Studie von Trend Micro sagt die Hälfte der CISOs in Deutschland, dass ihr CEO Cyber security nicht als seine Verantwortung sieht. Und nur 51 Prozent der Befragten sind der Ansicht, dass ihre Geschäftsleitung die Cyberrisiken, mit denen das Unternehmen konfrontiert ist, komplett versteht. Umgekehrt fühlen sich drei Viertel der deutschen IT-Sicherheitsverantwortlichen von ihrem CEO un- ter Druck gesetzt, Cyberrisiken herunterzuspielen. Wenn sie auf Bedrohungen hinweisen, werden sie der Nörgelei oder Schwarzmalerei bezichtigt. Offensichtlich gelingt es den CISOs nicht, den Zusammenhang zwischen Cybersicherheit und Business glaubhaft darzustellen – und das, obwohl 62 Pro- zent der IT-Sicherheitsverantwortlichen in Deutschland sa- gen, dass Cyberrisiken ihr größtes Geschäftsrisiko sind. Wo liegt das Problem? Einerseits ist die Kommunikation an sich schwierig, ande- rerseits ist die Risikobewertung sehr komplex. CISOs müssen die Sprache der Geschäftsleitung sprechen und Eintrittswahr- scheinlichkeit sowie die Auswirkungen von Cyberbedrohun- gen besser darstellen. Welche Folgen hat es für das Unter- nehmen, wenn eine Schwachstelle angegriffen wird? Fallen Systeme aus, und wenn ja, wie viele? Wie lange steht die Arbeit still? Wie weit verbreitet ist das Risiko? All das sind Informationen, die die Geschäftsleitung braucht, um Ent- scheidungen zu treffen. Doch diese Fragen sind schwer zu beantworten. Wie gefährlich eine Schwachstelle wirklich für das Unternehmen ist, lässt sich nicht allein anhand des CVSS- Werts (Common Vulnerability Scoring System, CVSS) beurtei- len. Eine neue, als kritisch eingestufte Sicherheitslücke kann im Einzelfall weniger dringlich sein als eine ältere, vermeint- lich harmlose, die von Hackergruppen gerade häufig angegrif- fen wird. Um Risiken realistisch zu bewerten, müssen CISOs die Eintrittswahrscheinlichkeit und das mögliche Schadens- ausmaß individuell für ihr Unternehmen ermitteln. Dafür ist es nötig, sowohl interne Informationen zur eigenen An- griffsfläche als auch externe Threat Intelligence zu aktiven Hackergruppen und Angriffsmustern im Zusammenhang zu betrachten. Da sich sowohl die interne IT-Umgebung als auch die Lage im Cyberraum dynamisch ändern, muss die Risiko- bewertung zudem kontinuierlich erfolgen. Eine Risikodiskussion zu führen, bedeutet nicht, alle Risi- ken zu beseitigen. Das wird in der Praxis nie möglich sein und wäre unwirtschaftlich. Vielmehr geht es darum, angemessen im Verhältnis zum Risiko zu agieren. Wenn eine Sicherheits- maßnahme mehrere Millionen kostet, das Schadenspotenzial aber nur bei einigen Tausend Euro liegt, würde man mit Ka- nonen auf Spatzen schießen. Die Geschäftsleitung muss daher immer entscheiden, bis zu welchem Grad das Unternehmen mit welchen Risiken leben kann. Auch wenn man eine Sicher- heitslücke nicht schließen will oder kann, darf man die Be- drohung aber nicht ignorieren, sondern muss sie zumindest beobachten. Nur so ist das Unternehmen in der Lage, einen Cyberangriff frühzeitig zu erkennen und zu stoppen, bevor größerer Schaden entsteht. Cyber-Risikomanagement und Angriffserkennung spielen hier eng zusammen. Nicht um- sonst schreibt die NIS-2-Richtlinie beides verpflichtend vor. Die wichtigsten Neuerungen von NIS-2 auf einen Blick Die NIS-2-Richtlinie überarbeitet die NIS-Richtlinie von 2016 und löst sie ab. Das sind die wichtigsten Änderungen: Erheblich mehr Unternehmen sind betroffen. Die Zahl der Sektoren wächst insgesamt auf 18. Sieben neue „Important Entities“ (wichtige Einrichtungen) kommen hinzu und Schwellenwerte werden gesenkt. Unternehmen müssen das Risiko eines Cyberangriffs über ihre Lieferkette beurteilen können. Cyber-Risikomanagement wird Pflicht. Unternehmen müssen Mitarbeiterschulungen und Audits zur Cybersicherheit durchführen. Geschäftsführer haften persönlich für den Schaden, der durch Missachtung ihrer Pflicht zum Cyberrisikomanagement entsteht. Bei Verstößen drohen empfindliche Strafen. Es gelten strenge Meldepflichten. Aufsichtsbehörde ist das BSI. Die Mitgliedstaaten richten ein nationales Computer Security Incident Response Team (CSIRT) ein. In Deutschland übernimmt diese Rolle wahrscheinlich das BSI. Die CSIRTs arbeiten EU­weit zusammen und berichten an die übergreifende, koordinierende Cybersecurity Behörde ENISA (European Union Agency for Cybersecurity). Richard Werner ist Business Consultant bei Trend Micro. SPECIAL_3/2024 NIS-2 | KRITIS 11 Ein Plattformansatz ist gefragtDer Übergang zwischen Cyber-Risikomanagement und Angriffserkennung ist fließend. Beides muss ineinander-greifen und beeinflusst sich gegenseitig. Daher ist eine Platt-form-Lösung empfehlenswert, die Attack Surface Risk Ma-nagement (ASRM) und Extended Detection & Response (XDR) verzahnt und unter einer zentralen Konsole vereint. Beide Si-cherheitstechnologien arbeiten möglichst mit künstlicher In-telligenz und hoch automatisiert. Sie sollten interne und ex-terne Sicherheitsinformationen auswerten, analysieren und korrelieren. So berechnet das ASRM kontinuierlich den aktu-ellen Risiko-Score des Unternehmens, während das XDR die Angriffsfläche über alle Vektoren der IT-Umgebung hinweg überwacht. Wenn das ASRM ein Risiko identifiziert, kann das XDR das Problem genauer untersuchen. Umgekehrt passt das ASRM sofort den Risikostatus an, sobald das XDR Anzeichen für einen Cyberangriff erkennt. Eine solche Plattformlösung schafft Transparenz über die gesamte Angriffsfläche und dient als „Single Source of Truth“. IT-Sicherheitsverantwortliche haben dort alle wichtigen In-formationen im Blick – und zwar managementgerecht auf-bereitet. So können sie die Kommunikationslücke überwin-den und schaffen die Basis, um die NIS-2-Anforderungen zum Cyber-Risikomanagement zu erfüllen. n

Anforderungen wie Patchmanagement und Kompati- bilität mit Anbietern von Industrieautomatisierungsge- räten haben. ƒ Wachsende Angriffsfläche: Die zunehmende Komple- xität der Bedrohungen und die Entwicklung hybrider Netzwerke stellen ein erhöhtes Risiko dar. ƒ Fehlende Eigenverantwortung: Es ist oft unklar, wer die Verantwortung für das Management industrieller Cyberrisiken übernehmen sollte und wer die Imple- mentierung notwendiger Kontrollen unterstützen soll. Um die Diskrepanz zwischen IT- und OT-Cybersicherheit zu überbrücken und die Entwicklungsstufe von OT-Cybersi- cherheitsprogrammen zu verbessern, sollten Unternehmen die Fähigkeiten ihres Security Operations Centers (SOC) stär- ken. Der Aufbau spezialisierter SOC-Kompetenzen und -Tools für die Industrie sowie deren Integration in ein breit ange- legtes SOC-Programm für das gesamte Unternehmen, schafft eine verteidigungsfähige Architektur, die die Bereitschaft für OT-Cybersicherheitsrisiken beschleunigt. Einbindung der OT-Sicherheit in das SOC Die Zeitspanne zur Erkennung, Untersuchung und Behe- bung von Cybersecurity-Vorfällen in ICS- und OT-Umgebun- gen ist alarmierend lang: Im Durchschnitt dauert es 316 Tage einen Fall zu lösen, während sich die Kosten für einen Vorfall auf durchschnittlich über 2,9 Millionen US-Dollar belaufen. Diese Verzögerung ist inakzeptabel, insbesondere wenn man die potenziellen Risiken für die finanzielle und persönliche Si- cherheit berücksichtigt. Unternehmen stoßen aus verschiedenen Gründen auf He- rausforderungen bei der Integration von OT in ihre SOC-Ope- rationen: ƒ Mangelnde Sichtbarkeit: Es bestehen Lücken zwischen Datensilos und dem OT-Netzwerk, welche die umfas- sende Erkennung von Bedrohungen behindert. . m o c . e b o d a k c o t s - s k r o w r o m a t e m : d l i B ƒ Komplexität der Tools: Die Verwaltung verschiedener und komplexer Cybersicherheits-Tools ist herausfor- dernd. ƒ Eingeschränkte Ressourcen: Ein Mangel an qualifi- zierten Cybersicherheitsexperten für OT erschwert die Situation. ƒ Ineffizienz im Bereich Security Operations (SecOps): SOC-Betreiber können unter Alarmmüdigkeit und der Belastung durch sich wiederholende Aufgaben leiden. Warum OT-Cybersecurity anders ist Die grundlegende Herausforderung bei der Verbesserung der OT-Cybersicherheit liegt darin, dass OT-Systeme sich von Natur aus von IT-Systemen unterscheiden. Sie verwenden unterschiedliche Netzwerkprotokolle und -konfigurationen und stehen einzigartigen Angreifern gegenüber. Zudem un- terscheidet sich die Risikolandschaft für OT-Anlagen erheblich von den in IT-Umgebungen. Während es bei der IT hauptsäch- lich um den Schutz von Daten und geistigem Eigentum geht, konzentriert sich die OT auf die Steuerung von Sicherheitssys- temen, die Aufrechterhaltung der Stabilität des Stromnetzes und den Betrieb von Anlagen. n Kai Thomsen koordiniert als Director of Global Incident Response Services das globale Team von ICS­ und Threat­ Hunting­Experten bei Dragos. SPECIAL_3/2024 NIS-2 | KRITIS 13

Unternehmensnetzwerk? Da sich sowohl die IT­Umgebung als auch die Lage im Cyberraum dynamisch ändern, muss die Risikobewertung kon­ tinuierlich erfolgen. Die ASRM­Plattform erledigt das automatisiert im Hintergrund und schlägt Alarm, sobald ein zuvor definierter Schwellen­ wert überschritten ist. Eine fundierte Datenbasis schaffen Die Erkenntnisse aus dem ASRM versetzen CISOs in die Lage, den indi­ viduellen Business­Impact von Cyber­Risiken darzulegen und verhält­ nismäßige Gegenmaßnahmen vorzuschlagen. CEOs können dann auf fundierter Basis entscheiden, mit welchen Risiken sie leben können, und mit welchen nicht. Da es nie möglich sein wird, alle Risiken zu beseiti­ gen, müssen Unternehmen ihre Angriffsfläche kontinuierlich monito­ ren und im Falle eines Cyberangriffs schnell reagieren. Leistungsfähige Tools zur Angriffserkennung sind daher Pflicht. Zur Basis-Ausstattung, die jedes Unternehmen haben sollte, zählen Endpoint Detection and Response (EDR) und Network Detection and Response (NDR). Um die Telemetriedaten aus beiden Bereichen zu verbinden und Bedrohungen vektorübergreifend zu erkennen, ist außerdem eine Lösung für Exten­ ded Detection and Response (XDR) empfehlenswert. Die Endpunkte monitoren mit EDR Eine EDR­Lösung überwacht kontinuierlich alle Aktivitäten auf Geräten und Systemen innerhalb der IT­Infrastruktur und alarmiert bei Bedro­ hungen. Um blinde Flecken zu vermeiden, sollten Unternehmen solche Security­Sensoren überall dort installieren, wo es möglich ist. Endpunk­ te können sowohl physische als auch virtuelle Systeme sein, darunter PCs, Tablets, Smartphones, Server, Cloud­Instanzen und Container. Die erste Herausforderung besteht darin, überhaupt zu ermitteln, welche Endpunkte es in der IT­Umgebung gibt. Gerade im Cloud­Umfeld kann das schwierig sein. Darüber hinaus haben EDR­Lösungen ein paar Ein­ schränkungen: Sie verfügen für sich alleine genommen über zu wenig Informationen, um Cyberangriffe verlässlich zu erkennen. Einerseits geben die Systeme dadurch häufig False Positives aus, andererseits übersehen sie aber auch tatsächliche Bedrohungen. Außerdem spei­ chern EDR­Tools Daten nur für einen begrenzten Zeitraum. Das nutzen Cyberkriminelle aus, um die Systeme auszutricksen. Oft halten sie erst einmal die Füße still, nachdem sie in ein Netzwerk eingedrungen sind. Erst Wochen oder Monate später dringen die Hacker dann weiter vor. Bis dahin kann sich das EDR­Tool nicht mehr erinnern, woher die Applikati­ on auf dem Endpunkt stammt, und kann nur noch schwer zwischen Gut und Böse unterscheiden. Das Netzwerk überwachen mit NDR Zusätzlich zu EDR brauchen Unternehmen daher NDR. Solche Lösun­ gen überwachen und analysieren den gesamten Datenverkehr im Netzwerk – sowohl den eingehenden, den ausgehenden als auch den internen. Dadurch schaffen sie umfassende Transparenz über alle Sys­ teme und Akteure im Netzwerk und monitoren deren Kommunikation. Moderne NDR­Tools arbeiten KI gestützt, um verdächtige Verhaltens­ muster und Anomalien zu erkennen. Da sie kontinuierlich dazulernen, können sie nicht nur bekannte, sondern auch neuartige Bedrohungen identifizieren. Außerdem deckt NDR auch ungesicherte Endpunkte und Schatten­IT auf, sodass Unternehmen diese gezielt adressieren kön­ nen. Eine der Response­Technologien eines NDR sind beispielsweise – ADVERTORIAL – Intrusion­Prevention­Systeme (IPS). Eine Angriffserkennung auf Netz­ werkebene ist zudem häufig die einzige Möglichkeit, um Systeme zu schützen, auf denen kein EDR­Tool installiert werden kann – beispiels­ weise industrielle Systeme oder Medizingeräte. Daten zusammenführen mit XDR Sowohl NDR als auch EDR liefern wertvolle Telemetriedaten, die jeweils aber nur einen Ausschnitt eines Angriffsbilds zeigen. Erst, indem man sie verbindet und im Zusammenhang betrachtet, entfalten sie ihr volles Po­ tenzial. Viele Cyberangriffe erstrecken sich über einen längeren Zeitraum und über verschiedene Ebenen der IT­Umgebung. Um sie zu erkennen, müssen Unternehmen in der Lage sein, Daten vektorübergreifend zu analysieren und auch in die Vergangenheit zu blicken. Hier kommt XDR ins Spiel: Die Technologie sammelt die Security­Daten aller angeschlos­ senen Systeme in einem zentralen Data Lake, korreliert sie und analysiert sie KI­gestützt. Eine XDR­Lösung übernimmt ähnliche Aufgaben wie ein Security Information and Event Management (SIEM), ist in aller Regel aber kostengünstiger und pflegeleichter. Außerdem lassen sich Daten­ quellen erheblich leichter anbinden. Damit eignet sich XDR auch sehr gut für kleinere und mittelständische Unternehmen – insbesondere in Kom­ bination mit einem Service für Managed XDR. Erfahrene Security­Analys­ ten übernehmen dann das Monitoring und die Bewertung der Warnmel­ dungen und unterstützen mit Handlungsempfehlungen. Auf einer Plattform alles im Griff Angriffserkennung und Cyber­Risikomanagement bilden die Basis für eine ganzheitliche, Cyber-Defense-Strategie. Beide Bereiche beeinflus­ sen sich gegenseitig und sollten daher nahtlos zusammenspielen. Am besten gelingt das mit einem Plattform­Ansatz, der möglichst viele Tools der Angriffserkennung zusammenführt und mit ASRM kombi­ niert. Genau das bietet Trend Vision One: In der XDR­basierten Cyber­ Defense-Schaltzentrale habe CISOs ihre gesamte Angriffsfläche und ihre Risiko-Exposition immer im Blick. Hier fließen die Telemetriedaten von EDR und NDR ein und werden zusammen mit externen Security­ Informationen korreliert und analysiert. Das ASRM errechnet daraus den Risiko-Score, hilft Unternehmen dabei, die Angriffsfläche zu reduzieren und leistet wertvolle Unterstützung bei der Kommunikation von Cyber­ risiken. Das XDR kann Bedrohungen schnell erkennen und das Schaden­ sausmaß mindern. Falls es dennoch einmal zum Cybervorfall kommt, haben Incident Responder alle wichtigen Telemetriedaten parat. Perfekt ergänzt wird die Lösung durch Trend Service One Complete – ein um­ fassendes Dienstleistungspaket, das unter anderem Managed XDR und garantierten Zugriff auf ein professionelles Incident­Response­Team umfasst. Damit sind Unternehmen gut aufgestellt, um die zentralen NIS­2­Anforderungen zu erfüllen. n SPECIAL_3/2024 NIS-2 | KRITIS 15

– ADVERTORIAL – NIS-2-Richtlinie nimmt ­Unternehmen­in­die­Pflicht­ Wettbewerbsfähigkeit sichern durch IT­Sicherheit I T­Sicherheit ist mehr als nur ein Schlagwort. Sie ist ein entscheiden­ der Faktor für die Wettbewerbsfähigkeit jedes Unternehmens. Die NIS­2­Richtlinie, die Abkürzung NIS steht für Network and Informa­ tion Security, der Europäischen Union, setzt neue Standards und nimmt Unternehmen in die Pflicht. Die NIS-2-Richtlinie hat das Ziel, ein hohes gemeinsames Niveau an Netz­ und Informationssicherheit in der EU zu gewährleisten. Dies ist dringend notwendig, damit die wachsenden Cyberbedrohungen und die zunehmende Vernetzung und Digitalisierung in der EU bewältigt werden. Gut zu wissen: Die NIS-2 verpflichtet Unternehmen zu umfangreichen Risikomanagementmaßnahmen, auch innerhalb der eigenen Lieferket­ te. Deshalb sind indirekt auch zahlreiche Zulieferer von ihr betroffen, angefangen bei IT­Dienstleistern bis hin zu Herstellern von Windturbi­ nen. Unternehmen werden sich registrieren müssen, und sie werden von niemandem einen offiziellen Hinweis darauf bekommen. Unternehmen müssen selbst erkennen, ob sie in den Geltungsbereich der NIS­2 fallen. Handlungsbedarf für Unternehmen BCM-Praktiker Der BCM­Praktiker ist der Experte für das Business Continuity Manage­ ment. Er stellt sicher, dass das Unternehmen auch in Krisensituationen handlungsfähig bleibt. Seine Aufgaben umfassen: ƒ Entwicklung von Notfallplänen ƒ Durchführung von Risikoanalysen ƒ Sicherstellung der Geschäftskontinuität Security Incident Manager Der Security Incident Manager ist der Vorfallmanager im Bereich IT­Sicherheit. Er reagiert auf Sicherheitsvorfälle und minimiert deren Auswirkungen. Seine Aufgaben umfassen: ƒ Reaktion auf Sicherheitsvorfälle ƒ Koordination der Maßnahmen zur Behebung ƒ Analyse der Vorfälle und Ableitung von Verbesserungsmaßnahmen Bis zum 17. Oktober fordert die NIS­2­Richtlinie von Unternehmen eine kla­ re Rechte­ und Rollenverteilung im Bereich der IT­Sicherheit. Doch welche Rollen sind das und welche Aufgaben haben sie? Hier ein Überblick: Handeln Sie jetzt! NIS-2-Experten Der NIS­2­Experte ist der Spezialist für die NIS­2­Richtlinie. Er kennt die Anforderungen und kann das Unternehmen dabei unterstützen, diese zu erfüllen. Seine Aufgaben umfassen: Die NIS­2­Richtlinie stellt hohe Anforderungen an die IT­Sicherheit von Unternehmen. Unterstützen Sie Ihre Experten, damit Sie den Anforde­ rungen gerecht werden können. Mit den Zertifikats-Lehrgängen der TÜV NORD Akademie zum NIS­2­Experten (TÜV), ISO 27001 Lead Auditor (TÜV)/ Auditor (TÜV), BCM­Praktiker (TÜV) und Security Incident Manager (TÜV) qualifizieren Sie sich oder Ihre Mitarbeiter für diese wichtigen Aufgaben. n ƒ Analyse der Anforderungen der NIS­2­Richtlinie ƒ Beratung zur Umsetzung der Richtlinie ƒ Überwachung der Einhaltung der Richtlinie ISO 27001 Auditor Der ISO 27001 Auditor ist der Experte für das Managementsystem für Informationssicherheit. Seine Aufgaben umfassen: ƒ Auditplanung, ­durchführung und ­nachbereitung nach ISO 19011 ƒ Bewertung der Einhaltung der ISO­27001­Norm ƒ Beratung zur Verbesserung der Informationssicherheit U O s n o i t c u d o r P f f o k n e d o r o G / m o c . k c o t S i : d l i B Stellen Sie die Weichen für eine starke IT-Sicherheit in Ihrem Unternehmen. Details zu den Lehrgängen: SPECIAL_3/2024 NIS-2 | KRITIS 17

NIS-2 durch die Hintertür Die Sicherheit in der Lieferkette ist von zentraler Bedeutung und sollte dringend in die eigenen Überlegungen einbezogen werden. Wer selbst unter NIS­2 fällt, muss Zulieferer darüber informieren und kann auch von ihnen die Einhaltung der Richtlinie einfordern. Umgekehrt gilt: Wer als Unternehmen von NIS­2 unberührt bleibt, kann wegen der sogenannten Supply Chain dennoch verpflichtet sein, die Anforderungen zu erfüllen. Geschäftsführung haftet persönlich Insgesamt betont die NIS­2­Richtlinie die Bedeutung der persönlichen Verantwortung des Managements für die IT­Sicherheit im Unternehmen. Konkret bedeutet dies, dass Geschäftsführung und Vorstand aktiv Maß­ nahmen zur IT­Sicherheit ergreifen und diese im Unternehmen über­ wachen müssen. Damit wird Cybersecurity zur Chefsache. Dazu gehört auch die eigene Aus­ und Weiterbildung im Bereich Sicherheit. Bei Ver­ stößen gegen die Cybersicherheitspflichten werden nicht nur Unterneh­ men, sondern auch die Verantwortlichen persönlich haftbar gemacht. Dies kann zu empfindlichen Bußgeldern und bei schwerwiegenden Ver­ stößen auch zur Suspendierung durch die Aufsichtsbehörden führen. ESET Aufklärungskampagne: Informieren und Branding nutzen ESET hat eine umfassende Aufklärungskampagne unter dem Motto „Flicken reicht in der IT­Sicherheit nicht aus“ gestartet. Diese möchte Organisationen objektiv über NIS­2 informieren und Ratschläge für die technische Umsetzung geben. Die dafür eingerichtete Landingpage www.eset.de/nis2 bietet Zugang zu einem umfangreichen Angebot an Ressourcen, darunter Whitepaper, Webinare und Podcasts. Hier können sich Interessierte über die wichtigsten Aspekte der NIS­2­Richtlinie informieren und erfahren, wie sie ihr Unternehmen auf die neuen Anforderungen vorbereiten können. Darüber hinaus bietet ESET weitere Möglichkeiten an: ƒ Wissensaustausch über unsere Kanäle Digital Security Guide, Corporate Blog oder WeLiveSecurity ƒ interaktive Veranstaltungen wie Workshops ƒ Unterstützung bei der Einhaltung und Umsetzung von NIS­2­Maßnahmen ƒ Informationen zu Sicherheitslösungen, die zur Einhaltung der Vorschriften beitragen ƒ ESET­Spezialisten stehen zur Verfügung, um Fragen zu beantworten ESET Business Portfolio ist „NIS-2-ready“ ESET hat sein Produktportfolio kürzlich aktualisiert und ist bereits NIS­2­ready. Es bildet die ideale Grundlage, um Kunden maßgeschnei­ derte Lösungen anzubieten. Besonders im Fokus steht dabei das Angebot im Bereich Managed Detection and Response (MDR). Dabei – ADVERTORIAL – übernimmt ESET für kleine und mittlere Unternehmen (KMU) rund um die Uhr System überwachung, Bedrohungserkennung und ­verfolgung, Vorfallreaktion sowie erweiterte Erkennungs­ und Reaktionsfunk­ tionen. Alle ESET MDR­Kunden sind mit dem ESET­eigenen Security Information and Event Management (SIEM) Tool verbunden, sodass Bedrohungen erkannt und mit vordefinierten Reaktionsmaßnahmen gestoppt werden können. Gefahren werden innerhalb von 20 Minuten erkannt und ermöglichen eine schnelle, optimale Reaktion. Dazu nutzt ESET eigene innovative Cybersicherheitstechnologien und Telemetrie­ daten, die das Unternehmen weltweit sammelt und auswertet. Mit dem Service ESET MDR sowie den Bundles ESET PROTECT MDR (für SMB) und ESET PROTECT MDR Ultimate (für Enterprise) stehen gleich drei Varianten – je nach Budget und Einsatzzweck – zur Verfügung: ƒ ESET MDR übernimmt für KMU rund um die Uhr Systemüber­ wachung, Bedrohungserkennung und ­verfolgung, Vorfallreaktion sowie erweiterte Erkennungs­ und Reaktionsfunktionen. Dabei handelt es sich um einen KI­basierten Dienst, der das Netzwerk überwacht und prüft. ƒ ESET PROTECT MDR ist ein umfassendes Cybersicherheits paket, das kleine und mittlere Unternehmen rund um die Uhr und an 365 Tagen im Jahr vor digitalen Gefahren schützt. Dazu gehören Sicherheits lösungen für Endgeräte, E­Mail und Cloud­Anwen­ dungen, Schwachstellenerkennung und Patching sowie Mana­ ged Threat Monitoring, Hunting und Response. So kann man den Anforderungen von Cyberversicherungspolicen nachkommen und Konformität zu Sicherheitsgesetzen wie NIS­2 gewährleisten. ƒ Für Großunternehmen bietet ESET PROTECT MDR Ultimate kontinuierlichen proaktiven Schutz und verbesserte Sichtbarkeit in Verbindung mit maßgeschneiderter Bedrohungsjagd und digi­ taler Forensik. Dieser umfassende Service wurde entwickelt, um überlastete SOC­Teams zu unterstützen und ihnen rund um die Uhr Zugang zu erstklassiger Cybersicherheitsexpertise zu bieten. Er stellt sicher, dass Organisa tionen allen bekannten und neu auf­ kommenden Bedrohungen immer einen Schritt voraus sind. n www.eset.de www.eset.de/nis2 | www.eset.de/eset-mdr SPECIAL_3/2024 NIS-2 | KRITIS 19

– ADVERTORIAL – einer Organisation zu schützen. Ein bewährter Ansatz für den Aufbau be­ ziehungsweise die Stärkung von Cyberresilienz ist Zero Trust. Zero Trust geht davon aus, dass Angriffe unvermeidlich sind, und vertraut keinem Benutzer, Gerät oder Netz, solange sie nicht verifiziert sind. Eine wichtige Zero­Trust­Komponente ist die Zero­Trust­Segmentierung (ZTS), die die Zero­Trust­Grundsätze auf die Segmentierung anwendet. Im Gegensatz zur traditionellen Mikrosegmentierung mit Netzwerk­Firewalls, die im­ mer noch die manuelle Erstellung von Policies erfordert und zeitaufwen­ dig und teuer ist, ermöglicht die ZTS­Plattform von Illumio die einfache Erstellung von Policies und deren automatische Anwendung. Indem sie laterale Bewegungen verhindert, hält sie Angreifer davon ab, kritische Ressourcen zu erreichen, und gewährleistet die Sicherheit kritischer Infra­ strukturen. So hilft Illumio den von NIS­2 betroffenen Organisationen und Unternehmen, die künftigen Mindestanforderungen zu erfüllen. Fünf Wege, wie Illumio NIS-2-Compliance unterstützt: Risikoanalyse und Informationssicherheit: Durch Application Dependency Maps bietet Illumio ZTS einen vollständi­ gen Überblick über den Datenverkehr und ermöglicht die Erstellung von Policies, die unnötige Verbindungen blockieren. Incident Management: Bei einem Angriff kann Illumio ZTS schnell reagieren, um den Zugriff auf kritische Ressourcen zu beschränken, die Ausbreitung von Angriffen zu stoppen und kompromittierte Systeme zu isolieren. Geschäftskontinuität: Illumio ZTS ermöglicht es KRITIS­Betreibern, entscheidende Betriebs­ abläufe auch während eines Angriffs aufrechtzuerhalten, indem es einen Schutz für einzelne Abteilungen und Systeme einrichtet. Sicherheit der Lieferkette: Illumio ZTS stellt sicher, dass nur verifizierte Kommunikation zwischen Umgebungen stattfindet, wodurch Sicherheitsverletzungen in der Liefer­ kette eingedämmt werden. Bewertung der Wirksamkeit von Maßnahmen: Das Ransomware Protection Dashboard von Illumio bietet Einblicke in das Workload­Risiko und eine Bewertung der Schutzabdeckung. n Erfahren Sie hier mehr über die ZTS-Plattform von Illumio: https://www.illumio.com/de/products Kontaktieren Sie uns unter: https://www.illumio.com/de/ support/contact SPECIAL_3/2024 NIS-2 | KRITIS 21 B is zum 18. Oktober 2024 müssen alle EU­Mitgliedstaaten die NIS­2­Richtlinie für Cybersicherheit in ihre nationale Gesetzgebung übertragen. Die aktualisierte Richtlinie zielt darauf ab, die Cybersicherheitsstandards EU­weit zu harmonisieren und die Resilienz kritischer Infrastruktur gegen Cyberangriffe zu erhöhen. Dabei erweitert sie den Kreis der betroffenen Organisationen erheblich und stellt klar definierte Anforderungen an die KRITIS-Betreiber. Die Un­ terscheidung zwischen grundlegenden Diensten und Anbietern digitaler Dienste wird durch die Unterscheidung zwischen wesentlichen und wich­ tigen Sektoren ersetzt. Auch Organisationen mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 50 Millionen Euro fallen künftig unter NIS­2. Betroffene Organisationen – in Deutschland etwa 30.000 – haben ab Veröffentlichung des Gesetzestextes bis zu vier Jahre Zeit, die Vorgaben umzusetzen, sollten sich jedoch bereits jetzt darauf vorbereiten. Wie KRITIS-Betreiber mit Illumio Cyberresilienz aufbauen und die NIS-2- Anforderungen erfüllen können Cyberresilienz bedeutet, sicherzustellen, dass essenzielle Dienste auch während eines Angriffs aufrechterhalten werden können. Um dies zu erreichen, muss der Schwerpunkt auf die Eindämmung von Angriffen gelegt werden, um die kritischen Ressourcen eines Unternehmens oder

– ADVERTORIAL – Gesetzliche Vorgaben stellen IT-Dienstleister auf den Prüfstand KRITIS und NIS-2: Königs disziplin für IT-Dienstleister und deren Rechenzentren Mit den zunehmenden Gefahren aus dem Internet verschärfen sich auch die gesetzlichen Vorschriften und Regularien für Betreiber kritischer Infrastrukturen (KRITIS). Seit dem Jahr 2023 müssen KRITIS­Betreiber beispielsweise Sicherheitsvorfälle in ihrem laufenden IT­Betrieb mit Systemen zur Angriffserkennung ausstatten, dokumentieren und unter gege­ benen Umständen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Die kommende NIS­2­Richtlinie wird zudem auch weitere Branchen und zunehmend auch kleinere Unternehmen mit entsprechender Wichtigkeit als kritische Infrastruktur einbeziehen. Damit werden der Schutz von kritischen Infrastrukturen und die NIS­2­ Konformität für IT­Dienstleister und Rechenzentrumsbetreiber zur Königsdisziplin. Mit harten Vorschriften für die IT­Infrastrukturen von Organisa­ tionen aus systemkritischen Branchensegmenten wie Energie­ und Wasserversorgung, Gesundheit, aber auch staatlichen Einrichtungen nimmt der Gesetzgeber unweigerlich auch IT­Dienstleister und Rechenzentrumsbetreiber in die Verantwortung: „Betreiber kritischer Infrastrukturen sind gesetzlich verpflichtet, stetig die Erfüllung und Um­ setzung wirksamer und angemessener technischer und organisatorischer Maßnahmen gegenüber dem Bundesamt für Sicherheit in der Informati­ onstechnik nachzuweisen“, sagt Joachim Astel vom Nürnberger IT­Dienst­ leister und Rechenzentrumsbetreiber noris network AG. Der Anbieter hochsicherer Datacenter ist seit 2020 offiziell selbst Bestandteil der KRITIS. Physischer und digitaler Schutz gehen Hand in Hand Entsprechend dünn ist das Angebot an Anbietern, wenn es darum geht, KRITIS­Infrastrukturen vollumfänglich schützen und gleichzeitig die NIS­2­ Vorgaben substanziell einhalten zu können – gerade Themen wie der physische Schutz vor Bedrohungen wie Einbruch oder Naturkatastro­ phen, Einrichtungen für IT­Sicherheit für alle Komponenten mit integrier­ tem „Vulnerability & Patch Management“ sowie die bereits erwähnten Systeme zur Angriffserkennung wie SIEM und eine 24/7­Leitstelle, das „Security Operations Center“. „Unser mehrstufiges Konzept auf allen Ebe­ nen umfasst Sicherheit nicht nur auf der physikalischen Ebene, sondern berücksichtigt auch die IT­Systeme, OT­Systeme und die weiteren technischen Einrichtungen“, so Joachim Astel weiter. Das Rechenzentrum selbst umfasst einen vollständig abgeschirmten Außenbereich und enthält einen Zaun mit Über­ steigschutz, Vereinzelung für Fahrzeuge, einen Sicherheitsdienst vor Ort sowie eine flächende­ ckende Videoüberwachung“, sagt Joachim Astel. Im Innersten der Rechenzentren von noris network kommen Cages zum Schutz des IT­Bereichs mit biometrischer Zugangskontrolle und optionaler mehrfacher Personen­ und Warenvereinzelung zum Einsatz. Die gesam­ ten Gelände der Datacenter sind zudem hochgradig katastrophensicher gemäß Schutzklasse SK4 der EN 50600 konzipiert, während ein ausgeklü­ geltes Brandschutzkonzept auch im Branderkennungsfall einen unterbre­ chungsfreien Betrieb erlaubt. „noris network ist im Branchenarbeitskreis UP KRITIS engagiert, um bereits frühzeitig über Änderungen der Bedro­ hungslage informiert zu sein und aktiv an der Weiterentwicklung von KRITIS mitwirken zu können“, erklärt Joachim Astel. Vertrauen durch Zertifizierung Gleichzeitig müssen KRITIS­konforme Rechenzentren dafür geradeste­ hen, dass die Zuverlässigkeit und Verfügbarkeit und somit die Business Continuity für systemkritische Einrichtungen jederzeit mithilfe von re­ dun danten Systemen, Notstromversorgungen, IT­ und OT­Systemen und natürlich durch Back­up­ und Disaster­Recovery­Pläne gewährleistet ist. Davon zeugen Zertifikate. Joachim Astel: „Ein Zertifikat nach KRITIS untermauert, dass ein Anbieter die gesetzlichen Anforderungen für die Si­ cherheit und den Schutz kritischer Infrastrukturen in Deutschland erfüllt. Dazu kommen bei uns weitere Zertifizierungen wie ISO 27001, ISO 20000, BSI­Grundschutz und viele mehr, um den Reifegrad der Organisation nach außen weiter zu unterstreichen.“ n noris network AG Thomas­Mann­Straße 16–20 90471 Nürnberg, Deutschland Telefon: +49 911 9352­0 E­Mail: vertrieb@noris.de www.noris.de SPECIAL_3/2024 NIS-2 | KRITIS 23 . m o c . e b o d a k c o t s - d l r o w t c e n n o C : d l i B

– ADVERTORIAL – ƒ Stabile Stahlbaukonstruktion in allen Bereichen – Wand, Decke, Boden, daher hohe Widerstandsklasse. Betrachtung der Verfügbarkeit DC im Gebäude oder als Outdoor-Lösung im asfm-TMC: ƒ Dachgruppe selbsttragend auf umlaufenden Rahmen vorgewölbt ein­ geschweißt. Durch diese Wölbung wird sowohl eine hohe Stabilität erreicht, als auch ein Stehenbleiben von Wasser/Schnee verhindert. Damit sind Fehlerquellen etwa durch verstopfte oder undichte sowie unzureichende Entwässerungskomponenten (Dachrinnen, Abläufe, etc.) ausgeschlossen. ƒ Unsere asfm­Stahlhüllen Bauart A und B sind hermetisch in sich ab­ geschlossene Gebäude. Sie sind eigenständig, fast überall installierbar und sind NICHT von anderen Gebäudegegebenheiten oder Einflüssen abhängig oder betroffen. ƒ Installation der Klimaaußengeräte auf dem IT­Container in eigens ge­ schütztem Bereich. ƒ Mobile­IT­Container in bestücktem Zustand anhebbar und umsetzbar. ƒ Eine asfm-IT-Containerinstallation ist sehr flexibel und OHNE zusätzli­ chen Installationsaufwand sofort einsetzbar. Unsere asfm­Container­ lösungen haben den enormen Vorteil, dass die Investition nicht in ein unflexibles Gebäude fließt, sondern in ein Mobilgebäude (zum Beispiel bei einem Umzug mitnehmbar). ƒ Unter Umständen wird teurer und wertvoller Raum im Gebäude durch DataCenter­Auslagerung eingespart und unabhängig von der Büro gebäudeinfrastruktur! ƒ Integriert in den asfm­TMC ist ein in Außenwand­Qualität separierter Raum, welcher mit Wetterschutzgittern ausgestattet ist und speziell für die Aufnahme der Klima­Außengeräte gefertigt wurde. In diesem speziellen und gegen Zugriff geschützten Bereich sind die Klima­ außen geräte auf der Containerplattform sicher eingehaust, festmon­ tiert und direkt ab Werk betriebsfertig angebunden. Somit kann dieser asfm­TMC als mobiles Datacenter komplett betriebsfertig transportiert werden. Im Bereich der Installation der Klimaaußengeräte verfügen die beiden seitlichen Wandelemente über Wetterschutzgitter, damit eine optimale Luftansaugung und Luftzirkulation für die Klimatechnik ge­ währleistet ist und die Klimageräte mit geschlossenen Türen zugriff­ geschützt voll betrieben werden können. Im Bereich des Eingangs wird eine mobile Zusatzeinrichtung mitgeliefert, sodass bei geöffnetem Doppeltürsystem hierdurch eine Abdeckung als eine Art Vordach ge­ schaffen ist und somit dieses Doppeltürsystem mit dieser Abdeckung als Eingangseinhausung und Wetterschutz dient. Wenn sich ein Rechenzentrum (RZ) in einem Gebäude befindet, ist es un­ weigerlich mit diesem Gebäude verbunden. Dies drückt sich in vielerlei Hinsicht aus. Entsteht ein Brand im Gebäude, dann ist das RZ direkt oder zumindest indirekt betroffen. Die Feuerwehr rückt an und löscht den Brand. Nun kann es passieren, dass der Zutritt zum Gebäude oder zu­ mindest der Zutritt zur Etage auf der sich das RZ befindet temporär nicht zugelassen wird. Man kommt nun nicht mehr ins RZ hinein! Es kann auch der Fall eines Löschwasserschadens auftreten, durch durchsickerndes Wasser bei einem Brand im Stockwerk darüber. Genauso gut kann Wasser bei einem Rohrbruch ins RZ gelangen. Die asfm­IT­Container­Installation hingegen ist autark, man muss keine Rücksicht auf die bestehende bauliche Infrastruktur nehmen. Die äußeren Einflüsse sind überschaubar. Gegen Brand, Wasser, Rauch und Blitzein­ schlag ist der IT­Container durch die bauartbedingte verschweißte Voll­ stahlhülle und entsprechende Vorsorgemaßnahmen geschützt. n Details asfm-mobile DC-09 verfügbar – first­in­–­first­out! asfmGmbH SPECIAL_3/2024 NIS-2 | KRITIS 25 ƒ Damit auch der mobile Stromanschluss gewährleistet ist, ist im Bereich neben der Eingangstür ein Stromanschlusskasten ausgebildet, welcher verschließbar ist und die Steckvorrichtungen zur Versorgung des asfm­ TMC­mobile DataCenter enthält. Hier werden eine Standardstromver­ sorgung und zusätzlich eine Netzersatzanlageneinspeisung einfach mittels CEE­Steckvorrichtungen realisiert, daher sind keine weiteren Elektroinstallationsarbeiten notwendig. In diesem Bereich erfolgt auch die Netzwerkeinspeisung über unsere speziellen Schraubschotte. active service facility management ƒ Schnell verfügbar und schnell einsatzfähig.