EU-Vorgaben, Agrarförderung, ISO 27001 und Systemhärtung: So hängen die Themen zusammen. Und so machen sie die IT-Systeme der Behörden widerstandsfähiger gegen Cyber-Angriffe.
Höchste Sicherheitsstandards sind rechtlich vorgegeben
Behörden sind heute mehr denn je gefordert. Unter anderem müssen sie fortwährend neue Cybersecurity-Maßnahmen umsetzen, um ihre Daten und die von ihnen verwalteten Gelder zu schützen. Insbesondere wenn es um die Auszahlung von EU-Geldern geht, zum Beispiel für Agrarsubventionen, werden die Anforderungen an die Verwaltung und Sicherung dieser Gelder immer strenger.
Das bedeutet, dass IT-Verantwortliche in Behörden und bei behördlichen Dienstleistern geeignete Maßnahmen ergreifen müssen, um sowohl die EU-Vorgaben als auch internationale Sicherheitsstandards einzuhalten. Ein Baustein ist dabei die Umsetzung der Vorgaben der ISO 27001 – und damit die Implementierung einer Secure Configuration. Wie die einzelnen Aspekte genau zusammenhängen, erfahren Sie in diesem Beitrag.
Was sind Zahlstellen und welche EU-Vorgaben gelten für sie?
Zahlstellen sind zentrale Stellen in den EU-Mitgliedstaaten, die für die Verwaltung und Auszahlung von EU-Mitteln zuständig sind. Ein Großteil dieser Gelder wird im Rahmen der Gemeinsamen Agrarpolitik (GAP) als Agrarsubventionen an Landwirte ausgezahlt. Im mehrjährigen Finanzrahmen 2021-2027 wurden insgesamt 378,5 Milliarden Euro für die GAP vorgesehen, das entspricht rund 30 Prozent des gesamten EU-Haushalts.
Bei der Auszahlung und Verwaltung dieser enormen Finanzmittel sind erhebliche Sicherheits- und Verwaltungsanforderungen zu erfüllen. Die Delegierte Verordnung (EU) 2022/127 legt klare Regeln für diese Zahlstellen fest. So muss die Sicherheit und Integrität der Finanzprozesse an erster Stelle stehen.
Daraus folgt: Die Verordnung verpflichtet Zahlstellen zu einem umfassenden, internen Kontrollsystem. Das ist dafür verantwortlich, dass Zahlungen korrekt, sicher und nur an berechtigte Empfänger ausgeführt werden. Die Zahlstellen müssen auch sicherstellen, dass ihre Systeme so konzipiert sind, dass sie nicht nur die EU-Anforderungen erfüllen, sondern auch in der Lage sind, betrügerische Aktivitäten aufzudecken und zu verhindern.
Für die zuständigen IT-Abteilungen bedeutet dies eine erhebliche Verantwortung. Denn: Die Prozesse müssen nicht nur funktional, sondern auch sicher und gesetzeskonform sein!
Agrarförderungen, Direktzahlungen und ihre technisch-rechtlichen Anforderungen
Ein großer Anteil der Gelder, die durch die Zahlstellen fließen, geht an landwirtschaftliche Betriebe in Form von Direktzahlungen. Diese GAP-Zahlungen sollen Landwirte finanziell unterstützen, ihre Existenz sichern und ökologische Standards in der Landwirtschaft fördern. Sie sind an spezifische Kriterien und Anforderungen gebunden, die man auf der Website des BMEL (Bundesministerium für Ernährung und Landwirtschaft) nachlesen kann.
Da es sich um öffentliche Gelder handelt, müssen alle Zahlungen genauestens überprüft werden. Der Prozess der Auszahlung ist komplex und umfasst mehr als nur die Sicherstellung der finanziellen Mittel: Die Daten, die für die Auszahlungen verwendet werden, müssen geschützt und deren Verarbeitung muss nachvollziehbar und sicher sein. Fehler oder Sicherheitslücken in diesem digitalen Prozess könnten nicht nur zu erheblichen finanziellen Verlusten, sondern auch zu Vertrauensverlust in die Institutionen führen. Daher nimmt die ISO 27001 eine sehr wichtige Rolle ein.
Die DIN ISO/IEC 27001, so die voll ausgeschriebene Bezeichnung, ist ein weltweit anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Ein erfolgreich implementiertes ISMS ermöglicht es jeder Behörde, jederzeit nachvollziehen zu können, welche Cyber-Risiken vorhanden sind und wie diese behandelt werden können.
______
Ein Beispiel für die Umsetzung: Das Servicezentrum Landentwicklung und Agrarförderung (SLA) in Niedersachsen hat als eine der ersten deutschen Institutionen die ISO 27001 eingeführt und sich erfolgreich zertifizieren lassen. Die Zertifizierung nach ISO 27001 bedeutet, dass das SLA seine IT-Systeme, die für die Verwaltung der Agrarförderungen zuständig sind, systematisch absicherte und Schwachstellen minimierte.
______
Systemhärtung und Secure Configuration in der ISO 27001
Ein wichtiges neues Element der aktuellen Fassung der ISO 27001, die ISO 27001:2022, ist das Configuration Management bzw. die Secure Configuration – auch bekannt als Systemhärtung. Hierbei geht es darum, alle Systeme und Anwendungen so zu konfigurieren, dass potenzielle Angriffsflächen minimiert werden.
Die sichere Konfiguration umfasst verschiedene Maßnahmen, darunter die Reduzierung unnötiger Dienste und die Einschränkung von Systemrechten. Dadurch werden Sicherheitsrisiken minimiert und die allgemeine Sicherheit der IT-Infrastruktur erhöht.
Die Umsetzung der ISO 27001:2022-Anforderungen im Bereich “Sichere Konfiguration” ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Dieser erfordert jede Menge Fachwissen und geeignete Werkzeuge. Hier können Tools wie das AuditTAP und der Enforce Administrator eine wertvolle Unterstützung bieten.
Mit AuditTAP können die IT-Sicherheitsverantwortlichen der Behörden überprüfen, wie “gehärtet” ihre Systeme sind. Zudem lassen sich mit dem Open-Source-Tool anerkannte Audit-Nachweise erstellen.
Der Enforce Administrator ist ein weiteres professionelles Hardening-Tool, das bei einer Systemhärtung zum Einsatz kommen sollte. Mit der Lösung härtet man beispielsweise einzelne Office-Anwendungen sowie sämtliche Windows 10/11- und Windows-Server-Systeme – und das auch bei komplexen und sehr großen IT-Systemlandschaften. Ganz zentral, automatisiert und dauerhaft.
Fazit
Die Anforderungen an die EU-Zahlstellen sind komplex und stellen hohe Anforderungen an die Informationssicherheit. Die ISO 27001 bietet eine ideale Grundlage, um die Sicherheit und Effizienz der Prozesse zu gewährleisten. Zu beachten ist: Bei der Implementierung und Optimierung des ISMS darf die sichere Konfiguration der Systeme – also eine Systemhärtung – nicht vergessen werden.
Haben Sie dazu noch Fragen? Oder benötigen Sie Unterstützung bei der Härtung Ihrer Systeme? Wenden Sie sich gerne an uns!
💬 Schicken Sie uns Ihre Fragen oder Ihr Anliegen!
Bilder: Freepik Pikaso, NQA