Singapurs neue Cyberregeln nehmen Vorstände, Cloud-Systeme und Zulieferer in die Pflicht

Singapur zieht die Grenzen seiner kritischen Infrastruktur-Sicherheit weiter. Nach der aktualisierten Cybersecurity Code of Practice müssen Betreiber kritischer Informationsinfrastrukturen – kurz CII – in elf essenziellen Sektoren künftig nicht nur das offiziell als kritisch eingestufte System schützen. Auch verbundene Netzwerke, unterstützende IT, Cloud-Umgebungen, Wiederanlaufprozesse und wichtige Dienstleister rücken in den Fokus.

Die Verschärfung erfolgt vor dem Hintergrund schnellerer und ausgefeilterer Cyberangriffe, darunter Attacken mit Unterstützung künstlicher Intelligenz. Ein wichtiger Auslöser war zudem die Kampagne der staatlich unterstützten Advanced-Persistent-Threat-Gruppe (APT) UNC3886, die 2025 alle vier großen Telekommunikationsanbieter Singapurs ins Visier nahm.

Was sich für CII-Betreiber ändert

1. Staatlich entwickelte Systeme zur Bedrohungserkennung

CII-Eigentümer müssen mit der Cyber Security Agency of Singapore (CSA) bei der Einführung lokal entwickelter Systeme zur Erkennung von Bedrohungen zusammenarbeiten. Diese sollen über relevante Netzwerksegmente hinweg eingesetzt werden, um verdächtige Aktivitäten nicht nur innerhalb eines formell ausgewiesenen CII-Systems, sondern auch in den damit verbundenen Bereichen sichtbar zu machen.

Der Grund: Angreifer suchen zunehmend nach schwächer geschützten Nicht-CII-Systemen, die als Sprungbrett in kritische Umgebungen dienen können. Für Betreiber bedeutet das, dass die Sicherheitskontrolle nicht mehr an der bisherigen technischen Grenze enden kann.

2. Der gesamte Vorstand trägt Verantwortung

Cybersicherheit wird ausdrücklich aus der reinen IT-Zuständigkeit herausgelöst. Künftig sollen der gesamte Vorstand und die Geschäftsleitung die Cyberrisiken sowie die Fähigkeit zur Wiederherstellung überwachen.

Dafür ist ein dokumentierter Rahmen für Cyberresilienz erforderlich. Er muss mindestens folgende Punkte abdecken:

• die akzeptierte Risikotoleranz der Organisation;
• Maßnahmen zur Begrenzung und Steuerung dieser Risiken;
• mögliche Vereinbarungen zur Risikoübertragung; sowie
• Prioritäten und Fähigkeiten für die Wiederherstellung.

Der Rahmen muss mindestens einmal jährlich überprüft werden.

Damit wird Cyberresilienz zu einer wiederkehrenden Aufgabe der Unternehmensführung – und nicht zu einem einmaligen Compliance-Projekt. Vorstände müssen nachvollziehbar festlegen, welches Risiko sie akzeptieren und wie essenzielle Leistungen nach einem schweren Vorfall weitergeführt werden sollen.

3. Verbundene Systeme werden Teil der Aufsicht

CII-Betreiber müssen Systeme überwachen, die mit ihrer kritischen Infrastruktur verbunden sind, mit ihr kommunizieren oder sie unterstützen. Die neuen Vorgaben verlangen außerdem eine robustere Netzwerkarchitektur, ein stärkeres Monitoring und ein verbessertes Management der Erkennungssysteme. Hinzu kommen umfassende Pläne für Cyberübungen und eine koordinierte Reaktion auf Sicherheitsvorfälle.

In der Praxis brauchen Betreiber damit eine deutlich vollständigere Übersicht über ihre Abhängigkeiten. Ein System kann außerhalb der offiziellen CII-Klassifizierung liegen und trotzdem relevant sein, wenn es einen Zugang zu kritischen Diensten eröffnet oder die Wiederherstellung nach einem Angriff beeinflusst.

4. Unterstützende Nicht-CII-Systeme müssen Level 5 erreichen

Für von ihnen kontrollierte Nicht-CII-Systeme, die den Geschäftsbetrieb oder angebotene Dienste unterstützen, müssen CII-Eigentümer bis Ende 2027 das Cyber Trust Mark (CTM) Level 5 erreichen. Die Zertifizierungspflicht reicht damit über die Systeme hinaus, die offiziell als kritische Infrastruktur bezeichnet werden.

Level 5 ist die höchste Stufe des Cyber-Trust-Systems in Singapur. Das erweiterte Programm umfasst unter anderem klassische Cybersicherheit, Cloud-Sicherheit, Sicherheit von Operational Technology (OT) und KI-Sicherheit.

Ziel ist es, die Lücke zwischen einem gut geschützten CII-System und der umliegenden Unternehmens-IT zu verkleinern. Gerade gemeinsam genutzte Zugangsdaten, Administrationswerkzeuge, Netzwerke oder Wiederherstellungsprozesse können sonst einen Angriffspfad bilden.

Warum Singapur die Vorgaben verschärft

KI verkürzt die Reaktionszeit

Nach Angaben der CSA soll der aktualisierte Code auf APT-Aktivitäten und KI-gestützte Bedrohungen reagieren. Künstliche Intelligenz kann Angreifern helfen, schneller, breiter und ausgefeilter vorzugehen. Dadurch bleibt Organisationen weniger Zeit, verdächtige Aktivitäten zu erkennen und Gegenmaßnahmen einzuleiten.

Singapur setzt deshalb nicht auf eine einzelne zusätzliche technische Schutzmaßnahme. Die neue Linie verbindet Erkennung, Verantwortung auf Vorstandsebene, Zertifizierung und regelmäßige Übungen. Betreiber sollen Bedrohungen früher sehen, schneller entscheiden und kritische Dienste auch dann wiederherstellen können, wenn eine Attacke nicht vollständig verhindert wurde.

UNC3886 machte die strategische Bedeutung von Telekommunikationsnetzen deutlich

Die Kampagne von UNC3886 im Jahr 2025 richtete sich gegen Singapurs vier große Telekommunikationsbetreiber. Singapur bezeichnete die Aktivitäten als gezielt, vorsätzlich und sorgfältig geplant – mit einem Akteur, der über fortgeschrittene Fähigkeiten verfügte.

Die CSA ordnet UNC3886 als staatlich unterstützte APT-Gruppe ein. Sie nutzt unter anderem sogenannte „Living-off-the-Land“-Techniken, bei denen vorhandene Werkzeuge der angegriffenen Umgebung missbraucht werden, sowie Zero-Day-Exploits. Zu ihren Zielen zählen strategisch wichtige Anlagen wie kritische Infrastrukturen.

Singapur reagierte mit Operation CYBER GUARDIAN, einer koordinierten Aktion von Behörden und Telekommunikationsunternehmen. Nach Angaben der Behörden konnte der Vorfall eingedämmt werden, ohne den Telekommunikationsbetrieb zu unterbrechen. Hinweise auf eine Kompromittierung von Kundendaten gab es demnach nicht.

Dass es zu keiner gemeldeten Unterbrechung kam, nimmt dem Vorfall seine Bedeutung nicht. Er zeigt vielmehr, warum Telekommunikation, Energie, Gesundheitswesen, Finanzwesen und Verkehr als strategische Ziele gelten – und weshalb nun auch die Systeme und Dienstleister rund um die CII stärker kontrolliert werden.

Cloud und externe Dienstleister als nächste Schutzschicht

Singapur will im späteren Verlauf des Jahres 2026 einen eigenen, rechtlich verbindlichen Cybersecurity Code of Practice for Cloud Services einführen. Er soll Vorgaben für die sichere Bereitstellung, den Betrieb und die Verwaltung von CII-Systemen festlegen, die in Cloud-Umgebungen gehostet werden.

Die CSA hat gemeinsam mit AWS, Google Cloud und Microsoft Azure anbieterspezifische Leitfäden erarbeitet. Darin geht es unter anderem um geeignete Konfigurationen und die Nutzung nativer Sicherheitsfunktionen der jeweiligen Cloud-Plattformen.

Auch die Zertifizierungsfristen erfassen die Sicherheits-Lieferkette:

• CII-Auditoren müssen bis Ende 2026 CTM Level 5 erreichen.
• Lizenzierte Anbieter von Penetrationstests und Managed-Security-Operations-Centern müssen bis Ende 2026 CTM Level 3 erreichen.
• CII-Eigentümer müssen für relevante unterstützende Systeme bis Ende 2027 CTM Level 5 erreichen.

Dahinter steht ein grundlegendes Prinzip: Die Sicherheit eines kritischen Betreibers hängt nicht nur von den eigenen Schutzmaßnahmen ab. Ebenso wichtig sind die Organisationen, die Systeme prüfen, überwachen, testen oder hosten.

Was noch offen ist

Die aktualisierten Anforderungen an CII sind bei der CSA inzwischen aufgeführt. Die Einzelheiten des separaten Cloud-Codes befinden sich jedoch noch in der Ausarbeitung. Öffentliche Informationen nennen den geplanten Zeitpunkt und die grobe Ausrichtung, aber noch nicht alle konkreten Pflichten für Cloud-Anbieter, Subunternehmer oder die Aufteilung der Verantwortung zwischen Kunde und Anbieter.

Für CII-Betreiber liegt die unmittelbare Aufgabe daher in einer vollständigen Bestandsaufnahme der Abhängigkeiten: vom ausgewiesenen CII-System über verbundene Netzwerke und Cloud-Workloads bis hin zu Wiederherstellungsumgebungen, Lieferanten und ausgelagerten Sicherheitsdiensten.

Die politische Richtung ist bereits klar: Geschützt werden soll künftig nicht mehr nur das System mit dem CII-Label, sondern das gesamte betriebliche Ökosystem darum herum.