Das australische Gesetz über die Sicherheit kritischer Infrastrukturen (Security of Critical Infrastructure Act 2018), SOCI ist der Eckpfeiler der Regierungsstrategie zur Bewältigung von Risiken für kritische Infrastrukturen. Sein Ziel ist es, zu bestätigen, dass die Betreiber wichtiger Infrastrukturen angemessene Sicherheitsmaßnahmen ergreifen, und der Regierung die Informationen und Befugnisse zu geben, um auf Bedrohungen zu reagieren.
Ursprünglich war SOCI nur auf vier Sektoren (Strom, Gas, Wasser und Häfen) ausgerichtet, wurde aber inzwischen auf 11 Sektoren der gesamten Wirtschaft ausgeweitet. Das Gesetz zielt darauf ab, kritische Infrastrukturanlagen und -dienste in diesen 11 Sektoren zu schützen und sie gegen Störungen der australischen Sicherheit, Wirtschaft und Gesellschaft widerstandsfähig zu machen.
Um dies zu erreichen, erlegt das Gesetz den Eigentümern kritischer Güter Verpflichtungen in Form von positiven Sicherheitsverpflichtungen (PSOs), erweiterten Cybersicherheitsverpflichtungen (ECSOs) und staatlichen Unterstützungsmaßnahmen auf.
So müssen die verantwortlichen Stellen beispielsweise Angaben zu ihren Anlagen registrieren und sind unter Umständen verpflichtet, Cybervorfälle an das Australian Cyber Security Centre (ACSC) zu melden sowie ein formelles Risikomanagementprogramm zu unterhalten, das als „Critical Infrastructure Risk Management Program“ (CIRMP) bezeichnet wird. Für Anlagen, die als „Systeme von nationaler Bedeutung“ eingestuft werden, könnten noch strengere Anforderungen gelten, darunter beispielsweise verbindliche Pläne zur Reaktion auf Vorfälle, Cyberübungen und Schwachstellenanalysen. Das SOCI kodifiziert im Wesentlichen das, was früher als bewährte Praxis der Branche galt, in durchsetzbares Recht.
Zwei Lager der Auswirkungen: Alteingesessene Sektoren vs. neuere Marktteilnehmer
Die ursprünglich regulierten Sektoren sehen SOCI wahrscheinlich als eine Erweiterung des bestehenden Rahmens. Energie- und Versorgungsunternehmen arbeiten seit Jahrzehnten nach strengen Zuverlässigkeits- und Sicherheitsstandards (z. B. NEM-Codes oder Wassersicherheitsgesetze), so dass die Formalisierung dieser Praktiken im Rahmen von SOCI wie eine Fortsetzung der bestehenden Governance wirken kann.
Im Gegensatz dazu bewegen sich Organisationen in den erst kürzlich hinzugefügten Sektoren wie Kommunikation, Datenspeicherung und -verarbeitung, Gesundheitswesen, Hochschulwesen und Verkehr auf neuem regulatorischem Terrain. In diesen Branchen fehlt oft die Tradition der Infrastrukturregulierung, was bedeutet, dass die Einhaltung der SOCI-Vorgaben den Aufbau vieler Prozesse von Grund auf erfordert. Dazu gehören die Erstellung von Anlagenverzeichnissen, die Ausarbeitung von CIRMPs, die Implementierung von Kontrollmaßnahmen und die Schulung der Teams in Verfahren zur Meldung von Vorfällen.
So kann beispielsweise ein Universitäts- oder Krankenhausnetz nun als Betreiber kritischer Infrastrukturen eingestuft werden, so dass es erforderlich ist, die betroffenen Anlagen zu ermitteln, die Abhängigkeiten zu bewerten und einen konformen CIRMP zu implementieren.
Dazu gehört oft der Aufbau einer formellen Sicherheits-Governance von Grund auf – die sich an Rahmenwerken wie den ASD Essential Eight, ISO 27001 oder dem NIST Cybersecurity Framework orientiert – und die Einrichtung von Mechanismen für die rechtzeitige Erkennung von Vorfällen, die Reaktion darauf und die Berichterstattung an den ACSC.
Im Gegensatz dazu verfügen Betreiber in traditionell regulierten Sektoren möglicherweise bereits über ausgereifte Risikoprogramme und können bestehende Kontrollen anpassen, um die Anforderungen der SOCI zu erfüllen. Unabhängig von der Branche müssen alle Organisationen das Cyber-Risikomanagement jetzt in ihre Kerngeschäftsprozesse integrieren und dürfen es nicht als parallele oder isolierte Aktivität behandeln.
OT und die Herausforderung der IT-Konvergenz
Eine große Herausforderung für SOCI ist die Sicherung von OT-Umgebungen (Operational Technology), d. h. der industriellen Kontrollsysteme, die vielen kritischen Anlagen zugrunde liegen. OT birgt eine Reihe von Risiken in sich.
Viele Geräte wurden nie im Hinblick auf Cybersicherheit entwickelt. Sie arbeiten oft mit veralteten Betriebssystemen oder Firmware, die nicht einfach gepatcht werden können, und verwenden proprietäre oder veraltete Protokolle wie Modbus, DNP3 oder Profibus, denen es an grundlegender Authentifizierung und Verschlüsselung fehlt.
Gleichzeitig hat die Konvergenz von IT- und OT-Netzwerken die Angriffsfläche vergrößert. Zuvor isolierte Umgebungen sind nun zunehmend mit den IT-Systemen des Unternehmens und dem Internet verbunden, um Fernüberwachung, Analysen und Automatisierung zu ermöglichen. Dies schafft neue Wege für Angreifer, sich seitlich zwischen den Umgebungen zu bewegen, und erhöht das Risiko einer Betriebsunterbrechung durch Cyberangriffe.
Industrieunternehmen müssen ein Gleichgewicht zwischen Systemverfügbarkeit und Cyberschutz finden. Wenn Systeme für Updates oder Segmentierung offline genommen werden, kann dies den Betrieb beeinträchtigen, aber wenn sie ungeschützt bleiben, steigt das Risiko.
SOCI ermutigt Organisationen, OT-spezifische Strategien anzuwenden. Diese können eine strenge Netzwerksegmentierung, den Zugriff mit den geringsten Rechten, Out-of-Band-Überwachung und ausfallsichere Konzepte zur Sicherung dieser Umgebungen umfassen.
Datendienstleister und Meldepflichten
Eines der weniger häufig diskutierten, aber von entscheidender Bedeutung für SOCI ist die Pflicht zur Benachrichtigung von Datendienstleistern. Wenn ein Dritter geschäftskritische Daten im Zusammenhang mit Ihrem regulierten Vermögenswert speichert oder verarbeitet, sind Sie verpflichtet, diesen darüber zu informieren, dass SOCI gilt. Dadurch wird sichergestellt, dass Ihre Dienstleister ihre Rolle beim Schutz kritischer Daten verstehen und darauf vorbereitet sind, Sie im Falle eines Vorfalls oder einer Prüfung zu unterstützen.
Darüber hinaus ist die Meldung von Vorfällen eine zentrale Anforderung von SOCI. Ein Cybersicherheitsvorfall, der erhebliche oder relevante Auswirkungen auf Ihre wesentlichen Dienste hat, muss dem ACSC innerhalb strenger Fristen gemeldet werden. Bei erheblichen Auswirkungen muss die Meldung innerhalb von 12 Stunden erfolgen. Bei relevanten Vorfällen mit geringerer Schwere ist eine Meldung innerhalb von 72 Stunden erforderlich.
Es handelt sich dabei nicht um eine freiwillige Maßnahme. Sie ist eine gesetzliche Verpflichtung. Durch die rechtzeitige Meldung erhält die ACSC Einblick in die Bedrohungen der nationalen Systeme und kann so rechtzeitig und wirksam reagieren. Außerdem wird dadurch der Grundsatz gestärkt, dass der Schutz kritischer Infrastrukturen eine gemeinsame Aufgabe von Industrie und Regierung ist.
Jenseits der Prävention: Die wahre Bedeutung von Resilienz
Viele Organisationen verstehen unter „Resilienz“ nach wie vor die Fähigkeit, Bedrohungen abzuwehren oder zu verhindern. Wahre Resilienz geht jedoch über die Prävention hinaus. Sie ist die Fähigkeit, Schocks abzufedern, sich schnell zu erholen und den Betrieb auch unter widrigen Umständen aufrechtzuerhalten. SOCI ermutigt Organisationen, diese umfassendere Definition zu übernehmen.
Widerstandsfähigkeit bedeutet, über getestete Wiederherstellungspläne, zuverlässige Offline-Backups, redundante Systeme und ein Playbook für die Wiederaufnahme des Betriebs während oder nach einem Vorfall zu verfügen. Es bedeutet auch kontinuierliche Verbesserung, Lernen aus jedem Ereignis, Anpassen der Abwehrmaßnahmen und Schließen von Lücken vor dem nächsten Angriff.
Dies ist angesichts der jüngsten Trends besonders wichtig.Aus Berichten des Australian Signals Directorate(ASD) und anderer Regierungsstellen geht hervor, dass Cybervorfälle in Bereichen wie Wasser, Energie und Verkehr zunehmen.
Selbst relativ kleine Ereignisse können Auswirkungen auf voneinander abhängige Systeme haben und Lieferketten, öffentliche Sicherheit und wichtige Dienstleistungen beeinträchtigen. Diese Trends verdeutlichen die Dringlichkeit eines auf die Erholung ausgerichteten Ansatzes.
CISOs müssen die Führung übernehmen, damit Cyber-Resilienz mehr als nur ein Kästchen ist. Das bedeutet, dass Resilienz als dynamische, durchgängige Fähigkeit behandelt wird, bei der Menschen, Prozesse und Technologie zusammenarbeiten.
Ein regulatorischer Wandel mit strategischen Vorteilen
SOCI stellt einen bedeutenden Wandel im australischen Ansatz zur Cyberregulierung dar. Er geht über fragmentierte, freiwillige Ansätze hinaus und schafft einen kohärenten nationalen Rahmen für den Schutz kritischer Infrastrukturen. Die SOCI hat zwar neue Komplexität, Meldepflichten und Kosten für die Einhaltung der Vorschriften mit sich gebracht, bietet den Unternehmen aber auch die Möglichkeit, ihren Sicherheitsstandard zu erhöhen und die Widerstandsfähigkeit in den Mittelpunkt ihrer Tätigkeit zu stellen.
Anstatt SOCI lediglich als eine Aufgabe zur Einhaltung gesetzlicher Vorschriften zu betrachten, können vorausschauende CISOs es als strategischen Katalysator nutzen. Es sorgt für Rückendeckung auf Vorstandsebene bei Investitionen, formalisiert Risikomanagementpraktiken und verbessert die Abstimmung zwischen Geschäft und Sicherheit. Durch die Einbeziehung staatlicher Fördermaßnahmen und Mechanismen zum Austausch von Bedrohungsinformationen wird SOCI zudem als Instrument der Zusammenarbeit positioniert und ist nicht nur eine Vorschrift.
Da sich Bedrohungen weiterentwickeln und die digitale Infrastruktur immer stärker in das gesellschaftliche Leben eingebettet ist, muss die Widerstandsfähigkeit oberste Priorität haben. SOCI schafft die Voraussetzungen. Jetzt liegt es an uns, zu handeln.
Weitere Informationen über Ihre Pflichten finden Sie imEin Leitfaden zum SOCI-Gesetz.
