Wie man ein OT-Cybersecurity- oder Critical-Infrastructure-Sicherheitsunternehmen in den VAE aufbaut

Eine Handelslizenz von der DET oder einer Free-Zone-Behörde registriert die gewerbliche Tätigkeit. Sie sagt für sich allein nicht aus, ob das Unternehmen etwas tut, das die TDRA oder der Cyber Security Council als reguliert einstuft. Der Zuständigkeitsbereich der TDRA umfasst die Telekommunikationsnetze, Geräte und Verschlüsselung der VAE; ein Unternehmen, das Konnektivität aufbaut, weiterverkauft oder betreibt oder kryptografische Geräte liefert, fällt unabhängig von der Formulierung seiner Lizenz in diesen Zuständigkeitsbereich. Der Cyber Security Council wurde eingerichtet, um die nationale Cybersicherheitsstrategie der VAE zu entwickeln, und betreibt die Critical Information Infrastructure Protection-Richtlinie, die grundlegende Sicherheitspflichten für die Betreiber benannter kritischer Infrastrukturen festlegt. Diese Pflichten liegen beim Betreiber der Infrastruktur, erreichen den Anbieter jedoch über den Vertrag: Eine Bank, ein Versorgungsunternehmen oder ein Verkehrsbetreiber, der selbst eine benannte CII-Einheit ist, gibt seine grundlegenden Kontrollen, Zugriffsregeln und Meldepflichten bei Vorfällen in der Regel an jeden von ihm beauftragten OT-Sicherheitsanbieter weiter.

Die praktische Frage für einen Gründer lautet, welche der Regelwerke dieser drei Stellen die geplante Tätigkeit tatsächlich berühren, ähnlich der Frage, die ein Unternehmen für Identitätssicherheit oder Privileged Access Management in Bezug auf seine eigenen Zugriffsrechte beantworten muss. Ein reines Assessment- oder Architektur-Review-Geschäft, ohne Live-Zugriff und ohne eigene Ausrüstung, liegt der gewöhnlichen gewerblichen Tätigkeit am nächsten. Ein Unternehmen, das das Netzwerk eines Kunden kontinuierlich überwacht, eine dauerhafte Remote-Verbindung unterhält oder Gateways liefert und konfiguriert, rückt näher an den Zuständigkeitsbereich von TDRA und des Council heran, ganz ähnlich wie ein Unternehmen für Post-Quanten-Kryptografie oder sichere Kommunikation seine eigene kryptografische Arbeit einordnen muss, bevor es seine Lizenz einordnen kann.

Weder der Zuständigkeitsbereich von TDRA noch das CIIP-Rahmenwerk des Council lässt sich auf eine einzelne Gebühr oder Lizenzkategorie reduzieren, die allgemein veröffentlicht werden könnte. TDRA entscheidet im Einzelfall, ob eine bestimmte Netzwerk-, Ausrüstungs- oder Verschlüsselungstätigkeit unter die Telekommunikationsregulierung fällt; ein Unternehmen, dessen Angebot Konnektivität, abhörfähige Überwachung oder Kryptografie-Hardware umfasst, sollte diese Frage direkt an TDRA richten, anstatt eine Antwort aus dem Marketing eines Wettbewerbers abzuleiten. Die CIIP-Richtlinie des Cyber Security Council ist das Instrument, das kritische Assets identifiziert, Mindestsicherheitsanforderungen für CII-Einheiten festlegt und den Aufsichts- und Durchsetzungsmechanismus darum herum betreibt; sie ist für den Infrastrukturbetreiber geschrieben, sodass die Pflichten eines Anbieters daraus vertraglicher Natur sind und keine separate Lizenz darstellen, die der Anbieter selbst beantragt. Datenschutzpflichten gelten neben beiden: Ein Unternehmen, das im Rahmen seines Überwachungsdienstes personenbezogene oder betriebliche Daten verarbeitet, sollte darlegen können, wo diese Daten gespeichert sind und wer darauf zugreifen kann. Hier werden weder Aktivitätscode, Lizenzkategorie noch Kapitalbetrag genannt; diese werden anhand der aktuellen Unterlagen von TDRA und des Council bestätigt, bevor eine Rechtsträgerroute gewählt wird.

Eine Bank oder ein Einkaufsteam eines Unternehmens, das einen OT-Sicherheitsanbieter prüft, prüft nicht in erster Linie die Bilanz. Geprüft wird, wer auf die Live-Steuerungssysteme eines Kunden zugreifen kann, unter welcher schriftlichen Befugnis, und was passiert, wenn dieser Zugriff missbraucht oder einfach vergessen wird. Zu erwarten sind Fragen zum Umfang jeder Fernzugriffsvereinbarung, dazu, wie der Zugriff zeitlich befristet und entzogen wird, welche Protokollierung besteht, und ob der Zugriff tatsächlich beim eigenen Personal des Unternehmens oder bei einem Subunternehmer liegt. Eine einzelne nicht dokumentierte Übergabe an eine Mutter-, Schwestergesellschaft oder einen Fachpartner ist meist das Erste, was ein Gespräch zur Kontoeröffnung ins Stocken bringt. Diesen Nachweis vor dem ersten Bankgespräch aufzubauen, statt erst nach Ausstellung der Lizenz, ist der Unterschied, den die Arbeit an der Bereitschaft für ein Firmenbankkonto schaffen soll.

OT- und Kritische-Infrastruktur-Kunden schauen über das Gesellschafterregister hinaus auf die Personen, die tatsächlich mit ihren Systemen in Berührung kommen. Eine Aufsichtsbehörde, Bank oder ein Kunde, die die Unterlagen prüfen, wollen jemanden sehen, der OT-technische Kompetenz nachweisen kann, nicht nur einen allgemeinen IT-Sicherheitshintergrund, bevor Scan-, Überwachungs- oder Änderungsarbeiten an einer laufenden industriellen Umgebung genehmigt werden. Läuft das eigene Eigentum des Unternehmens über mehrere Holdingebenen, Fonds oder Familienstrukturen, ist diese Kette Teil derselben Unterlagen, die ein Kunde oder eine Bank lesen wird, und der Weg über regulierte und komplexe Eigentumsstrukturen ist genau für diesen Fall gedacht. Ein schriftlicher Businessplan mit begleitender Dokumentation sollte an einer Stelle das Betriebsmodell, die Zugriffsgrenze und die Personen, die diese innehaben, darlegen.

Der gemeinsame Nenner ist derselbe, auf den auch ein Unternehmen für Konnektivitätsinfrastruktur stößt: Eine gültige Handelslizenz wird mit den Genehmigungen, Verträgen und der technischen Befugnis verwechselt, die der Betrieb in diesem Sektor tatsächlich benötigt. Die Lizenz ist der leichte Teil; die Zugriffsgrenze und die schriftliche Befugnis dahinter sind es nicht.

Eine Standard-mainland-Handelslizenz für diese Art von Beratungs- oder Technologietätigkeit beginnt bei AED 14,000, wobei ein reines Lizenzpaket in einer free zone von etwa AED 5,000 bis 6,000 erhältlich ist; keine der beiden Zahlen enthält das Ingenieurpersonal, die gesicherten Räumlichkeiten, die Testinfrastruktur oder die Vorfallkapazität, die das Betriebsmodell tatsächlich benötigt. Die Visakapazität sollte der Anzahl an OT-Ingenieuren und Betriebspersonal entsprechen, die das Unternehmen tatsächlich einstellen will, und nicht einer fiktiven Mitarbeiterzahl, die bei der Gründung festgelegt wird. Lizenzen und establishment cards werden jährlich verlängert, und ein Unternehmen mit Ausrüstung, einer Überwachungseinrichtung oder einem gesicherten Betriebsraum sollte diese Verlängerung zusammen mit einem etwaigen Mietvertrag für die Räumlichkeiten planen, statt sie als separaten Vorgang zu behandeln. Kosten über diese Zahlen hinaus setzen sich schichtweise zusammen, und die Velarozone Servicegebühr wird in der Mandatsvereinbarung einzeln aufgeführt, statt als Schlagzahl veröffentlicht zu werden.