Die belgische Wirtschaft sieht sich gerade einer regelrechten Explosion an Cyberangriffen ausgesetzt. Das belegen auch die Zahlen der wallonischen Digitalagentur (Agence du Numérique, ADN): Fast 32 Prozent der kleinen und mittleren belgischen Unternehmen, der KMU, würden zugeben, im vergangenen Jahr Cyber-Zwischenfälle gehabt zu haben, so Stéphane Vince von der Digitalagentur in der RTBF. Wenn man sich nur die kleinsten Unternehmen anschaue, steige der Anteil sogar auf 79 Prozent.
Die Wirklichkeit könnte sogar noch schlimmer sein, ergänzt dazu Axel Legay, Professor an der UCLouvain und Experte für Cybersicherheit. Denn die Unternehmen meldeten Cyberangriffe sehr oft nicht. Die verursachten Schäden seien dabei enorm. Neben den direkten Kosten des Angriffs müsse man nämlich auch noch die berüchtigten indirekten Kosten berücksichtigen, etwa den erlittenen Imageschaden. Dabei kommen in der Tat schwindelerregende, um nicht zu sagen fantastisch klingende Zahlen zusammen. 2021 habe man von Gesamtkosten von sechs Billionen Dollar gesprochen, bis Ende 2030 gehe man sogar von 30 Billionen Dollar aus.
NIS-2-Richtlinie
Kein Wunder, dass dieses Problem auch auf höchster Ebene sehr ernst genommen wird. Bis Mitte Oktober hatten die Mitgliedsstaaten der Europäischen Union Zeit, die sogenannte NIS-2-Richtlinie in nationales Recht umzusetzen. NIS steht dabei für "Network and Information Security". Davor sei es ein bisschen wie im Wilden Westen gewesen, erklärt Legay, jedes Land habe selbst darüber entschieden, welche Wirtschaftsbereiche essenziell seien und sich wie schützen müssten. Damit mache NIS-2 Schluss.
Nun vereinheitliche man alle Sektoren auf europäischer Ebene. Europa entscheide, welche Bereiche gegen Cyberattacken geschützt werden müssten und welche Arten von Unternehmen. Das beinhalte unter anderem diverse präventive Maßnahmen. Die Firmen müssten etwa Angriffe auf ihre Informatiksysteme simulieren und ihre Angestellten für die Gefahren sensibilisieren und schulen. NIS-2 regele aber auch, was und wann nach einem Cyberangriff zu geschehen habe, etwa in puncto Prozeduren und Meldungen an die Behörden.
Enorme Herausforderung
Das werde eine enorme Herausforderung für die belgischen Unternehmen - und es werde auch viel Geld kosten, stellt Legay klar. Aber andererseits gebe es auch nicht wirklich eine Alternative. Bei Nichtbefolgung der NIS-2-Direktive drohen nämlich Sanktionen. Selbst wenn die Umsetzung viel koste, sei das noch immer günstiger als zum Opfer eines Angriffs zu werden.
Natürlich könne man von in sensiblen Bereichen tätigen Firmen mit einer Handvoll Mitarbeitern nicht erwarten, dass sie jemanden einstellten, der sich nur um Cybersicherheit kümmere. Die KMU müssten sich zusammentun und ihre Kräfte bündeln, um sich gemeinsam zu schützen, empfiehlt der Experte. Es mache überhaupt keinen Sinn, wenn jeder für sich eine eigene Verteidigung entwickle. Da gebe es etwa die Möglichkeit gemeinsamer Ausschreibungen und andere Möglichkeiten, um die Abwehr von Cyber-Bedrohungen kosteneffizienter zu machen.
Boris Schmidt
