Vom 30. Juni bis zum 1. Juli fand in der Messe Berlin die Gitex AI Europe statt – eine internationale Technologieausstellung und -konferenz mit Schwerpunkt auf die Verbindung von künstlicher Intelligenz mit IT-Sicherheit und anderen Zukunftstechnologien. Als Pionierin für KI-basiertes Security-Testing konnte sich Bug Bounty Switzerland die Teilnahme selbstverständlich nicht entgehen lassen. So waren wir beide Tage mit einem eigenen Stand vor Ort, wo wir viele spannende Begegnungen hatten und inspirierende Gespräche mit Besuchern und Security-Experten führten.
In der Eventagenda stach für uns ein Programmpunkt besonders hervor: eine Paneldiskussion rund um die fortschreitende Regulation von ICT-Infrastruktur, -Dienstleistungen und -Lieferketten durch die Europäische Union. Es diskutierten Arno Spiegel, Cybersicherheitsverantwortlicher im österreichischen Kanzleramt, und Miguel Ángel Cañada vom spanischen nationalen Institut für Cybersicherheit INCIBE.
Echte Resilienzmassnahmen entlang der Lieferkette
«Europe’s compliance crunch year» wurde das laufende Jahr im Session-Titel genannt, auch von einem «regulatorischen Sturm der EU» war die Rede. Nicht ohne Grund: Die «Network and Information Security Directive 2» (NIS2), der «Digital Operational Resilience Act» (DORA) und der «Cyber Resilience Act» (CRA) werden dieses Jahr viele Unternehmen mit Vorgaben zur IT-Sicherheit und Cyberresilienz beschäftigen.
In seinem Votum gab Arno Spiegel jedoch zu bedenken, dass gerade Kleinstanbieter – beispielsweise Softwarehersteller – unerwartet auch unter den CRA fielen: «Es wird Unternehmen mit zwei Mitarbeitern geben, die dem CRA unterliegen, ohne dass sie sich dessen bewusst sind.» Beide Panelisten betonten auch, dass der CRA über einen reinen Dokumentationsprozess hinausgehe und nach echten Resilienzmassnahmen entlang der Lieferkette verlange. Bis zum Stichtag 2027 werde kaum jemand vollständig compliant sein, war man sich einig, was für manche Unternehmen zu einem echten Albtraum werden könne.
Hochrisiko-Lieferanten und die Geopolitik
Und die Regulierungswelle setzt sich fort: Zu Jahresbeginn hat die Europäische Kommission mit dem Cybersecurity Act 2 (CSA2) ein weiteres Regelwerk vorgelegt, das – sofern verabschiedet – mittelfristig enorme Auswirkungen auf Organisationen und Unternehmen haben wird. CSA2 fokussiert auf die Sicherheit von ICT-Lieferketten und soll einen verbindlichen Rahmen zur Einstufung von «Hochrisiko-Lieferanten» erstellen.
Mit der neuen Regulation erhalten die Compliance-Vorgaben eine ausgeprägt geopolitische Dimension. Gleichzeitig nehmen sie vermehrt die Geschäftsführung in die Verantwortung. Gemäss dem Entwurf könnten Verstösse gegen diese Regeln mit Bussgeldern in der Höhe von bis zu sieben Prozent des weltweiten Jahresumsatzes geahndet werden.
Kein Wunder, dass Unternehmen nach kosteneffizienten Wegen suchen, dieser Regulierungsflut zu begegnen – dabei stossen sie jedoch auf ein strukturelles Problem: Als grösstes Hindernis nannten die beiden Panelisten den europaweiten Mangel an Audit-Experten für Security-Testing. Die Regulierung ist da – die Menschen, die sie prüfen und umsetzen sollen, fehlen.
Cyberresilienz dank KI-basiertem Security-Testing
Bei Bug Bounty Switzerland sehen wir dies als Chance. Wir sind überzeugt, dass wir mit unserem skalierbaren, KI-basierten Security-Testing Organisationen bei der Umsetzung dieser Regulatorien wertvolle Unterstützung bieten können, um ihre Cyberresilienz zu steigen.
