Der Ansatz ist bemerkenswert: Die Sicherheit kritischer Infrastruktur soll nicht in erster Linie dadurch steigen, dass die Betreiber selbst besser schützen, sondern indem sie von Drittanbietern getrennt werden, die als unzureichend abgesichert gelten.
Darren Guccione, CEO und Mitgründer von Keeper Security, ordnet die Entwicklung so ein: Die Bestätigung, dass ein britischer Energieerzeuger nach einem Cyberangriff vier Tage lang offline war, bringe zusammen mit den Regierungsplänen zur Ausweitung der Lieferkettenbestimmungen eine seit Langem laufende Politikdebatte auf den Punkt. Der Vorfall und die mutmaßliche Beteiligung eines Nationalstaats hätten den Appetit auf die Befugnis, kritische Lieferanten unabhängig von Sektor oder Größe zu benennen, deutlich geschärft.
Guccione verweist zudem auf das typische Vorgehen der Angreifer: Sie nähmen selten den Vordereingang einer gut verteidigten Organisation, sondern gingen über einen Anbieter mit leichterer Absicherung, einen Managed-Service-Provider mit dauerhaftem Zugang oder einen Lieferanten, den seit Jahren niemand geprüft habe. Eigene Untersuchungen von Keeper zeigen demnach, dass 34 Prozent der britischen Organisationen Vorfälle im Zusammenhang mit Drittanbietern oder Lieferanten melden.
Shankar Haridas, UK-Geschäftsleiter bei ManageEngine, sieht in dem Gesetz eine grundlegende Unterscheidung: Ein Angreifer, der ein Krankenhaus lahmlegen oder die Wasserversorgung kompromittieren könne, sei kein IT-Problem, sondern eine Gefahr für die öffentliche Sicherheit.
Jamie Akhtar, CEO und Mitgründer von CyberSmart, wertet die geplanten Maßnahmen als weiteres Zeichen dafür, dass Lieferkettensicherheit zu einer Frage nationaler Widerstandsfähigkeit werde und nicht nur einzelne Unternehmen betreffe. Betreiber kritischer Infrastruktur könnten über ausgefeilte eigene Sicherheitskontrollen verfügen – ihre Verteidigung lasse sich aber rasch aushebeln, wenn Angreifer einen kleineren, schlechter geschützten Zulieferer weiter unten in der Kette ausnutzten.
Viele kleine und mittlere Unternehmen betrachteten sich selbst nicht als Teil der britischen kritischen Infrastruktur, so Akhtar. Liefern sie jedoch Technologie, Dienstleistungen oder Zugänge an Organisationen in kritischen Sektoren, sei ihre Cyber-Resilienz von großer Bedeutung. Angreifer wüssten das und suchten naturgemäß den einfachsten Weg zu ihrem eigentlichen Ziel. Das Gesetz spiegele einen breiteren Trend zu größerer Verantwortlichkeit für Drittanbieterrisiken; die kritische Infrastruktur des Landes sei letztlich nur so widerstandsfähig wie die mit ihr verbundenen Organisationen, was ein Anheben des Sicherheitsniveaus in der gesamten Lieferkette erfordere.
Der CSRB enthält bereits strenge Vorgaben, darunter sehr knappe Fristen für die Meldung von Vorfällen und empfindliche Strafen bei Verstößen. Die Möglichkeit, einzelne Unternehmen als Lieferanten zu sperren, hebt das Regelwerk auf eine neue Stufe. Formales Ziel ist die Lieferkette – getroffen werden sollen jedoch vor allem kleine und mittlere Zulieferer, deren Geschäft künftig davon abhängen kann, ob sie ihre eigene Absicherung verbessern, bevor aus dem CSRB der CSRA wird.