EI N E P U B LI K AT I O N VO N S M A RT M ED I A
#smartcybercompliance
Onapsis Europe GmbH • Brandreport
25
Compliance beginnt mit Security Warum regulatorische Anforderungen einen neuen Blick auf die Sicherheit geschäftskritischer ERP-Systeme verlangen.
Security als Enabler Genau hier setzen spezialisierte Plattformen für Business-Application-Security an. Sie schaffen Transparenz über geschäftskritische ERP-Systeme, identifizieren Schwachstellen, erkennen Bedrohungen und unterstützen Unternehmen dabei, regulatorische Anforderungen nachweisbar umzusetzen.
Nadine Rahman Head of International Go-To-Market
D
ie Zahl regulatorischer Vorgaben wächst – gleichzeitig nehmen Angriffe auf geschäftskritische Unternehmensanwendungen weiter zu. Für Unternehmen reicht es deshalb nicht mehr aus, Compliance und Cybersecurity getrennt zu betrachten. Die Sicherheit von ERP-Systemen wird damit zum gemeinsamen Fundament beider Disziplinen. Regulatorische Anforderungen zu kennen, ist selten das Problem. Entscheidend ist vielmehr, wie sich deren Vorgaben in geschäftskritischen Systemen dauerhaft technisch umsetzen und belastbar nachweisen lassen. Das verändert das Verständnis von Cyber Compliance grundlegend: weg vom Schwerpunkt auf der Dokumentation, hin zu einem kontinuierlichen Sicherheitsprozess. Mit einer zunehmenden Anzahl an Vorgaben wie NIS2, DORA, dem Cyber Resilience Act (CRA) oder dem EU AI Act, steigen die Anforderungen an das Cyberrisikomanagement kontinuierlich. Trotz unterschiedlicher Schwerpunkte verfolgen diese Regelwerke ein gemeinsames Ziel: Unternehmen müssen Cyberrisiken systematisch identifizieren, geeignete Schutzmaßnahmen etablieren und deren Wirksamkeit nachvollziehbar belegen können. Compliance ist damit längst keine reine Dokumentationsaufgabe mehr. Sie setzt voraus, dass Unternehmen ihre geschäftskritischen Systeme kennen, ihre Sicherheitslage bewerten und Veränderungen frühzeitig erkennen. Transparenz statt Checkliste Diese Anforderungen treffen insbesondere ERP-Systeme. Sie steuern Finanzwesen, Einkauf, Logistik, Produktion und Personalprozesse und bilden damit das digitale Rückgrat vieler Unternehmen. Sicherheitsvorfälle betreffen deshalb nicht nur einzelne Anwendungen oder Datenbestände, sondern können unmittelbare Auswirkungen auf den Geschäftsbetrieb haben. Für Unternehmen bedeutet das vor allem eines: Compliance beginnt nicht mit einem Audit, sondern mit Transparenz. Nur wer seine geschäftskritischen Anwendungen, Datenflüsse, Berechtigungen und Schnittstellen vollständig kennt, kann Sicherheitsrisiken fundiert bewerten, ihnen entgegenwirken und regulatorische Anforderungen nachhaltig erfüllen. Der blinde Fleck ERP ERP-Landschaften entwickeln sich über viele Jahre weiter. Neue Geschäftsanforderungen führen zu individuellen Erweiterungen, kundenspezifischem Code, zusätzlichen Schnittstellen und Integrationen zu Drittsystemen. Gleichzeitig bleiben ältere Anwendungen oder Funktionen häufig bestehen – obwohl sie im Tagesgeschäft kaum noch genutzt werden oder ihr ursprünglicher Zweck längst entfallen ist. Gerade diese historisch gewachsenen Strukturen erschweren den Überblick über sicherheitsrelevante Abhängigkeiten.
Onapsis überträgt diesen Ansatz auf SAPund Oracle-Umgebungen. Statt Security und Compliance getrennt zu betrachten, verbinden die Lösungen von Onapsis beide Disziplinen in einem durchgängigen Prozess. Unternehmen gewinnen Transparenz über ihre ERP-Landschaft, automatisieren Security- und Compliance-Prüfungen und schaffen belastbare Nachweise für interne wie externe Audits und reduzieren den manuellen Aufwand bei der Bewertung ihrer Sicherheitslage.
Bild iStockphoto/Jonathan Erasmus
Statt Security und Compliance getrennt zu betrachten, verbinden die Lösungen von Onapsis beide Disziplinen in einem durchgängigen Prozess. Klassische Cybersecurity-Lösungen konzentrieren sich vor allem auf Netzwerke, Endgeräte oder Identitäten. Die Besonderheiten geschäftskritischer Business-Applications – etwa individuelle Prozesslogiken, ERP-spezifische Kommunikationswege oder komplexe Berechtigungskonzepte – bleiben dagegen häufig außerhalb ihres Blickfelds. Dadurch entstehen Sicherheits- und Compliance-Lücken, obwohl grundlegende Schutzmechanismen vorhanden sind. Ein erster Schritt besteht deshalb darin, vollständige Transparenz über die eigene ERP-Landschaft zu schaffen. Dazu gehören nicht nur produktive Systeme, sondern auch Eigenentwicklungen, Schnittstellen, Transportprozesse und historisch gewachsene Anwendungen. Erst auf dieser Grundlage lassen sich Cyberrisiken bewerten und regulatorische Anforderungen systematisch umsetzen. NIS2 & Co.: Ein Ziel, viele Vorgaben Ob NIS2, DORA, CRA oder andere Leitlinien – die regulatorischen Anforderungen unterscheiden sich in ihrer Ausgestaltung, überschneiden sich in der praktischen Umsetzung jedoch erheblich. Gefordert werden unter anderem strukturiertes Risikomanagement, wirksames Schwachstellenmanagement,
Prozesse zur Erkennung und Behandlung von Sicherheitsvorfällen sowie nachvollziehbare Nachweise über technische und organisatorische Schutzmaßnahmen. Die Anforderungen sollten deshalb nicht als voneinander getrennte Compliance-Projekte betrachtet werden. Wer Security-Prozesse so etabliert, dass Schwachstellen automatisiert erkannt, bewertet und dokumentiert sowie Sicherheitsmaßnahmen nachvollziehbar umgesetzt werden, schafft gleichzeitig die Grundlage für die Realisierung unterschiedlicher regulatorischer Vorgaben. Gerade in komplexen ERP-Landschaften lassen sich Sicherheitsund Compliance-Prozesse langfristig nur mit einem hohen Grad an Automatisierung effizient und skalierbar umsetzen. Unternehmen profitieren damit von einem Sicherheitsansatz, der nicht auf einzelne Richtlinien ausgerichtet ist, sondern sich flexibel auf neue regulatorische Anforderungen übertragen lässt. Cyber Compliance ist deshalb kein Zustand, der nach einem erfolgreichen Audit erreicht ist. Neue Bedrohungen, Systemänderungen und zusätzliche Anwendungen verändern die Sicherheitslage fortlaufend. Security und Compliance müssen sich entsprechend gemeinsam weiterentwickeln.
Dieser Business-Context ist entscheidend. Die Identifikation einer Schwachstelle allein ist zwar wertvoll, liefert jedoch noch kein vollständiges Bild der Sicherheitslage. Erst wenn sichtbar wird, welche Geschäftsprozesse, Daten oder Systeme betroffen sind, lassen sich die tatsächlichen Auswirkungen einer Sicherheitslücke bewerten. Diese Transparenz unterstützt Unternehmen dabei, fundierte Sicherheitsentscheidungen zu treffen und Security sowie Compliance gemeinsam zu steuern. Ein weiterer Baustein dieses Ansatzes sind die Onapsis Research Labs. Sie identifizieren kontinuierlich neue Schwachstellen in SAP- und Oracle-Systemen und arbeiten eng mit den Herstellern an deren Behebung. Die daraus gewonnenen Erkenntnisse fließen direkt in aktuelle Bedrohungsinformationen ein und helfen Unternehmen, neue Risiken frühzeitig zu erkennen und ihre Sicherheitsmaßnahmen auf Basis aktueller Erkenntnisse kontinuierlich weiterzuentwickeln. Compliance neu denken Cyber Compliance lässt sich heute nicht mehr allein anhand erfüllter Vorgaben bewerten. Entscheidend ist, ob Unternehmen ihre geschäftskritischen ERP-Systeme dauerhaft schützen und die Wirksamkeit ihrer Sicherheitsmaßnahmen jederzeit belegen können. Die Frage lautet deshalb heute nicht mehr: »Sind wir compliant?« Sondern: »Können wir jederzeit nachweisen, dass wir unsere geschäftskritischen ERP-Systeme kennen, wirksam absichern und regulatorische Anforderungen nachhaltig erfüllen?« Spezialisierte Lösungen für BusinessApplication-Security schaffen die technischen Voraussetzungen, diesem Anspruch dauerhaft gerecht zu werden. Text Nadine Rahman, Head of International Go-To-Market
Entscheidend ist, ob Unternehmen ihre geschäftskritischen ERP-Systeme dauerhaft schützen und die Wirksamkeit ihrer Sicherheitsmaßnahmen jederzeit belegen können.
Weitere Informationen unter: onapsis.com