Cyberangriffe treffen längst nicht mehr nur Konzerne. Sie legen Rathäuser, Krankenhäuser, Stadtwerke und kleine Betriebe lahm – oft über Wochen. Wer angegriffen wird, verliert Geld, Daten und Vertrauen.
In meiner Arbeit habe ich Netzwerke nach Sicherheitsprinzipien neu aufgebaut und Systeme so geplant, dass sie auch im Störfall weiterlaufen. Ich weiß daher, dass gute Sicherheit selten an der Technik scheitert, sondern daran, dass niemand Zeit, Geld oder Fachleute dafür hat.
Sicherheit ist für mich deshalb keine Bürokratie, sondern Grundvoraussetzung. Aber sie muss auch für Kleine machbar sein.
Quelle: EU-Kommission, „Cyber Resilience Act“.
Als Technical Lead im öffentlichen Sektor habe ich Netzwerke nach Sicherheitsprinzipien neu segmentiert. Die Lehre daraus: Ein Angriff lässt sich nicht immer verhindern – aber gut geplante Systeme begrenzen den Schaden und lassen sich schnell wiederherstellen. Das gilt für eine Kommune genauso wie für einen Handwerksbetrieb.
Ein EU-gefördertes Grundschutz-Paket für kleine Betriebe, Kommunen und Kliniken: geprüfte Standardkonfigurationen, Datensicherung, die im Ernstfall wirklich funktioniert, und eine Notfall-Hotline, die rund um die Uhr erreichbar ist.
Eine einzige europäische Meldestelle für Sicherheitsvorfälle, die die Meldung an alle zuständigen Behörden weitergibt. Wer angegriffen wird, soll sich um die Abwehr kümmern und nicht um fünf Formulare.
Den Cyber Resilience Act konsequent umsetzen: Geräte und Software kommen sicher voreingestellt auf den Markt und bekommen verlässlich Updates. Kleine Hersteller und Open-Source-Projekte erhalten dabei praktische Hilfe statt nur neuer Pflichten.
Ich will doppelte Meldungen und Formulare abbauen, nicht die Sicherheit. Ein erfolgreicher Angriff kostet einen Betrieb mehr als jeder Nachweis. Deshalb: klare, einheitliche Anforderungen, eine Meldestelle und echte Hilfe für die Kleinen.
Angriffe halten sich nicht an Grenzen. Die EU setzt mit NIS-2 und dem Cyber Resilience Act bereits den Rahmen. Jetzt kommt es darauf an, dass die Umsetzung in allen Mitgliedstaaten einheitlich und für kleine Betriebe machbar ist.
Sehr viel: Wer seine Systeme nicht absichern und im Ernstfall nicht selbst wiederherstellen kann, ist nicht souverän. Beide Schwerpunkte gehören für mich zusammen.