Schulung KRITIS-Auditor nach § 39 Abs. 2 BSIG

Das BSI ist das Bundesamt für Sicherheit in der Informationstechnik. Es handelt sich um eine Bundesbehörde, die zum Bundesministerium des Innern, für Bau und Heimat gehört. Es handelt sich um die Behörde, die für Fragen der IT-Sicherheit zuständig ist. Das BSI ist Urheber des IT-Sicherheitsgesetzes, das unter anderem strengere Regelungen für kritische Infrastrukturen beschlossen hat. So reagiert das BSI auf die steigenden Bedrohungen im Bereich Cyberkriminalität.

Kritische Infrastrukturen (KRITIS) sind Einrichtungen und Anlagen, deren Ausfall erhebliche Auswirkungen auf die Versorgung der Bevölkerung oder die öffentliche Sicherheit haben könnte.

Gemäss § 4 des KRITIS-Dachgesetzes werden in Deutschland zehn Sektoren erfasst:

1. Energie: Strom-, Gas-, Kraftstoff- und Wärmeversorgung
2. Gesundheitswesen: Krankenhäuser, medizinische Versorgung, Labore und Arzneimittelversorgung
3. Informationstechnik und Telekommunikation: IT-Infrastrukturen, Rechenzentren und Telekommunikationsnetze
4. Transport und Verkehr: Strassen-, Schienen-, Luft- und Schiffsverkehr sowie Logistik
5. Wasser: Trinkwasserversorgung und Abwasserentsorgung
6. Finanzwesen: Banken, Zahlungsverkehr und Finanzdienstleistungen
7. Ernährung: Lebensmittelproduktion, -verarbeitung und -handel
8. Siedlungsabfallentsorgung: Abfallsammlung, -behandlung und -entsorgung
9. Weltraum: Satelliten und bodengestützte Infrastrukturen für weltraumgestützte Dienste
10. Sozialversicherung und Grundsicherung für Arbeitsuchende: Einrichtungen zur Erbringung entsprechender Sozialleistungen

Ob ein Unternehmen tatsächlich als Betreiber einer kritischen Anlage gilt, hängt unter anderem von der Art der erbrachten Dienstleistung und den gesetzlich festgelegten Schwellenwerten ab. Nicht jedes Unternehmen in einem dieser Sektoren unterliegt automatisch den KRITIS-Anforderungen.

Ein Branchenspezifischer Sicherheitsstandard (B3S) beschreibt, wie die gesetzlichen Anforderungen an die Informationssicherheit unter Berücksichtigung der Besonderheiten einer Branche umgesetzt werden können.

Betreiber kritischer Anlagen und ihre Branchenverbände können gemäss § 30 Abs. 9 BSIG einen B3S entwickeln und beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zur Prüfung einreichen. Das BSI prüft, ob der Standard geeignet ist, die gesetzlichen Sicherheitsanforderungen zu erfüllen.

Ein anerkannter B3S kann als Grundlage für die Erstellung eines branchenspezifischen Prüfkatalogs dienen. Die Anwendung ist jedoch nicht verpflichtend. Gibt es keinen geeigneten B3S, können auch anerkannte Standards wie die ISO/IEC 27001 herangezogen werden. Dabei müssen die zusätzlichen KRITIS-Anforderungen berücksichtigt werden.

Bei einem KRITIS-Audit wird geprüft, ob ein Betreiber kritischer Anlagen die gesetzlichen Anforderungen an die Informationssicherheit erfüllt. Dazu legt ein qualifiziertes Prüfteam zunächst den Prüfungsumfang fest und untersucht die vorhandenen Sicherheitsmassnahmen anhand von Dokumentationen, Interviews und gegebenenfalls technischen Prüfungen.

Die Ergebnisse werden in einem Prüfbericht festgehalten. Festgestellte Sicherheitsmängel werden dokumentiert und dem Betreiber mitgeteilt. Anschliessend reicht der Betreiber die erforderlichen Nachweise beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ein. Das BSI kann bei Bedarf zusätzliche Unterlagen oder einen Plan zur Behebung festgestellter Mängel verlangen.

Die Nachweispflicht besteht grundsätzlich alle drei Jahre.

Wenn du bereits ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 eingeführt hast, verfügst du über eine gute Grundlage, um auch die KRITIS-Anforderungen des BSIG zu erfüllen.

Eine ISO 27001-Zertifizierung allein reicht jedoch nicht aus. Die gesetzlichen Anforderungen nach §§ 30 und 31 BSIG umfassen zusätzliche Aspekte, etwa den Schutz kritischer Anlagen, den Einsatz von Systemen zur Angriffserkennung sowie branchenspezifische Risiken und besondere Bedrohungslagen.

Ein bestehendes ISMS kann den Aufwand für die Umsetzung und den Nachweis nach § 39 BSIG erheblich reduzieren. Die zusätzlichen Anforderungen müssen jedoch individuell geprüft und gegebenenfalls ergänzt werden.

Kennst du die Norm ISO/IEC 27001 noch nicht? Auch hier bieten wir die passende Ausbildung an: ISO 27001 Schulung

Für Betreiber Kritischer Infrastrukturen  bedeutet die neue NIS-2-Richtlinie eine Verschärfung und Erweiterung der bereits bestehenden Anforderungen an die Sicherheit von Netz- und Informationssystemen. Die NIS-2-Richtlinie zielt darauf ab, ein hohes Sicherheitsniveau für digitale Netzwerke und Systeme in der gesamten Europäischen Union sicherzustellen. Mehr zu NIS-2 findest du hier.

Wie hoch die Kosten für KRITIS-Betreiber ausfallen, hängt vor allem davon ab, welche Sicherheitsmassnahmen bereits umgesetzt wurden und wo noch Handlungsbedarf besteht. Kosten entstehen beispielsweise durch die Einführung oder Anpassung eines Informationssicherheitsmanagementsystems (ISMS), technische Schutzmassnahmen, Mitarbeiterschulungen und regelmässige Sicherheitsprüfungen.

Auch die Nichteinhaltung gesetzlicher Anforderungen kann teuer werden: Gemäss § 65 BSIG drohen bei bestimmten schwerwiegenden Verstössen Bussgelder von bis zu 10 Millionen Euro. Bei besonders grossen Unternehmen können diese sogar bis zu 2 % des weltweiten Jahresumsatzes betragen.

Zu Beginn eines KRITIS-Audits wird der Geltungsbereich der Prüfung festgelegt. Dabei wird untersucht, welche IT-Systeme, Prozesse und Unternehmensteile für den Betrieb der kritischen Anlage relevant sind. Anschliessend wird die Prüfgrundlage bestimmt. Hierfür kann beispielsweise ein Branchenspezifischer Sicherheitsstandard (B3S) oder ein anderer geeigneter Sicherheitsstandard herangezogen werden.

Im eigentlichen Audit überprüfen die Auditoren, ob die gesetzlichen IT-Sicherheitsanforderungen nach §§ 30 und 31 BSIG erfüllt werden. Dazu werden unter anderem Dokumentationen, Risikobewertungen und bestehende Sicherheitsmassnahmen untersucht sowie Interviews und gegebenenfalls technische Prüfungen durchgeführt.

Festgestellte Sicherheitsmängel werden dokumentiert und bewertet. Auf dieser Grundlage erstellt der Betreiber einen Plan zur Mängelbeseitigung. Die Prüfungsergebnisse werden anschliessend gemäss § 39 BSIG beim Bundesamt für Sicherheit in der Informationstechnik (BSI) eingereicht. Das BSI kann die Beseitigung festgestellter Sicherheitsmängel verlangen.