Prüfverfahrenskompetenz für § 8a BSIG (KRITIS)

Das BSI ist das Bundesamt für Sicherheit in der Informationstechnik. Es handelt sich um eine Bundesbehörde, die zum Bundesministerium des Innern, für Bau und Heimat gehört. Es handelt sich um die Behörde, die für Fragen der IT-Sicherheit zuständig ist. Das BSI ist Urheber des IT-Sicherheitsgesetzes, das unter anderem strengere Regelungen für kritische Infrastrukturen beschlossen hat. So reagiert das BSI auf die steigenden Bedrohungen im Bereich Cyberkriminalität.

Der Nachweis muss von allen Betreibern von deutschen kritischen Infrastrukturen erbracht werden. Als kritische Infrastrukturen gelten Anlagen und Systeme, die zur Aufrechterhaltung essentieller gesellschaftlicher Funktionen notwendig sind. Vor allem im Bereich Gesundheit und Sicherheit angesiedelt, sind kritische Infrastrukturen notwendig, um die Wirtschaft und das soziale Wohlergehen des Staates aufrechtzuerhalten. Als Beispiel können Kraftwerke und Unternehmen, die maßgeblich an der Wasser- und Lebensmittelversorgung beteiligt sind, genannt werden.

Es gibt 10 Sektoren, die als KRITS gelten:

1. Energiesektor (Strom, Gas, Treibstoff, etc.)
2. Gesundheitssektor (Krankenhäuser, Kliniken, Labore, Rettungsdienst, etc.)
3. Telekommunikations- und Informationssektor (Netzbetrieb, etc.)
4. Transport und Verkehr (Nahverkehr, Luftfahrt, etc.)
5. Mediensektor (Nachrichtendienste, etc.)
6. Wasserversorgung
7. Finanz- und Wirtschaftssektor (Banken, Geldautomaten, etc.)
8. Lebensmittelversorgung und Hygiene (Lieferketten, Einzelhandel, etc.)
9. Staat und Verwaltung (Parlament, Regierung und Verwaltung, Judikative, Notfall- und Rettungswesen)
10. Siedlungsabfallentsorgung

Dem Paragraph § 8a Abs. 3 des BSI-Gesetzes zufolge, muss alle zwei Jahre ein Nachweis erbracht werden. Der erste Nachweis musste bis spätestens 2019 erfolgt sein. Wann der nächste Nachweis fällig ist, teilt das BSI in der Regel mit der jeweiligen Prüfung der Nachweisdokumente mit. Den nächsten Prüfungstermin findest du also in deinen Unterlagen.

Alle KRITIS-Betreiber sind verpflichtet innerhalb von 2 Jahren nach Inkrafttreten des IT-Sicherheitsgesetzes „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen“. Damit soll sichergestellt werden, dass die Funktionsfähigkeit der kritischen Infrastrukturen zu jeder Zeit aufrechterhalten werden kann. „Angemessen“ heißt dabei, dass der Aufwand, den die Implementierung bedeutet in Verhältnis zu einem möglichen Schaden durch den Ausfall stehen muss.

Nachdem die Maßnahmen umgesetzt und die Anforderungen nach §8a BSIG erfüllt sind, muss der KRITIS-Betreiber dies alle 2 Jahre durch ein Sicherheitsaudit nachweisen.

KRITIS-Betreiber oder Branchenverbände können einen B3S (Branchenspezifischen Sicherheitsstandard) vorschlagen und diesen beim Bundesamt zur Prüfung einreichen. Das Bundesamt prüft, ob der B3S die Anforderungen des §8a BSIG auf geeignete Art umsetzt. Gegebenenfalls kann der B3S dann als Prüfungsgrundlage für die kritischen Infrastrukturen dieser Branche dienen. Wenn es für eine Branche keinen B3S gibt, kann auch die ISO 27001 als Prüfungsgrundlage herangezogen werden.

Das qualifizierte Audit-Team nutzt die abgestimmte Prüfungsgrundlage (B3S oder ISO 27001). Es wird zunächst der Geltungsbereich festgestellt, also welche Maßnahmen geeignet, erforderlich, wirksam und angemessen sind. Es wird geprüft, ob Schutzbedarf strukturiert festgestellt und Maßnahmen strukturiert abgeleitet wurden. Schließlich wird auditiert, ob die notwendigen Anforderungen vollständig umgesetzt wurden und ob die Funktionsfähigkeit der kritischen Infrastruktur dadurch gewährleistet bleibt.

Der Orientierungshilfe zu Nachweisen gemäß § 8a (2) BSIG zufolge, darf der Betreiber einer kritischen Infrastruktur die Prüfgrundlage in Abstimmung mit der prüfenden Stelle selbst wählen:

• Prüfung auf Basis eines vom BSI anerkannten branchenspezifischen Sicherheitsstandards (B3S): z.B. B3S medizinische Versorgung der Deutschen Krankenhausgesellschaft (DKG) in der Version 1.1. vom 23.10.2019
• Prüfung auf Basis der Themenblöcke/Anforderungen gemäß Kap. 4.4 und 5.3 der Orientierungshilfe zu Nachweisen gemäß § 8a (3) BSIG vom 01.12.2017
• Prüfung auf Basis vorhandener Prüfungen oder anderer Prüfgrundlagen:
  • • z.B. Auditberichte zu ISO/IEC 27001 oder IT-Grundschutz-Audits durch eine unabhängige Prüfstelle, Berichte zu IT-Prüfungen durch Wirtschaftsprüfungsgesellschaften oder die interne Revision
    • Prüfung auf Basis anerkannter Standards und Regelwerken zum Management der Informationssicherheit, wie z.B. ISO/IEC 27000 Normenreihe und/oder IT-Grundschutzkompendium

Ein Sicherheits-Audit bei KRITIS-Unternehmen darf von akkreditierten Zertifizierungsstellen der DAkkS durchgeführt werden. Auch dürfen anerkannte Prüfstellen des BSI sowie zertifizierte IT-Sicherheitsdienstleister kritische Infrastrukturen auditieren. Im Ausnahmefall kann auch ein individueller Nachweis erbracht werden, dass eine Stelle über die notwendige Prüfungskompetenz und -eignung verfügt. Alle Prüfer müssen nachweisen, dass sie über die „Spezielle Prüfkompetenz nach §8a BSIG“, sowie Branchenkompetenz verfügen. Ersteres wird durch die Zertifizierung belegt, die du nach erfolgreicher Prüfung von der ICO erhältst. Branchenkompetenz wird durch eine Bescheinigung des z.B. Arbeitgebers (Übersicht über Berufserfahrung & Tätigkeiten) belegt. Die Branchenkompetenz gilt dann als vorhanden, wenn eine Person mind. 3 Jahre in den vergangenen 5 Jahren in der Branche tätig war.

Wenn du schon ISMS nach ISO 27001 hast, bist du sicher nicht mehr weit weg davon auch §8a BSIG zu erfüllen. Eine Prüfung muss trotzdem stattfinden, denn es gilt ein paar Besonderheiten zu berücksichtigen: Der §8a enthält ein paar Sonderregelungen bzgl. des Risikomanagements und es muss u.U. auf branchenspezifische Anforderungen und besondere Bedrohungslagen eingegangen werden. Wer sein Informationssicherheitsmanagementsystem allerdings gemäß der Norm aufgesetzt hat, kann die neuen KRITIS-Anforderungen durch §8a BSIG in der Regel leicht implementieren.

Kennst du die Norm ISO/IEC 27001 noch nicht? Auch hier bieten wir die passende Ausbildung an: ISO 27001 Schulung

Für Betreiber Kritischer Infrastrukturen  bedeutet die neue NIS-2-Richtlinie eine Verschärfung und Erweiterung der bereits bestehenden Anforderungen an die Sicherheit von Netz- und Informationssystemen. Die NIS-2-Richtlinie zielt darauf ab, ein hohes Sicherheitsniveau für digitale Netzwerke und Systeme in der gesamten Europäischen Union sicherzustellen. Mehr zu NIS-2 findest du hier.

Wie hoch die Kosten sind, die mit der Umsetzung des IT-Sicherheitsgesetzes verbunden sind, hängt davon ab, wie viel die KRITIS-Betreiber bereits in ihre IT-Sicherheit investiert haben. Nachdem das IT-Sicherheitsgesetz vorschreibt, dass schwere IT-Sicherheitsvorfälle meldepflichtig sind, rechnet der Branchenverband Bitkom mit 1,1 Mrd. € Kosten pro Jahr für die deutsche Wirtschaft.

Bei Nicht-Erfüllung der Anforderungen drohen Bußgelder von bis zu 100.000€.

Zur Umsetzung des IT-Sicherheitsgesetzes müssen IT-Verantwortliche nun in IT-Sicherheit investieren. Die konkreten Vorschriften lassen kaum mehr Spielraum, Geschäftsführer sind nun im Schadensfall leichter haftbar zu machen. Das Positive ist: Die KRITIS-Bertreiber haben nun die Pflicht schwere Störfälle an das BSI zu melden und das BSI muss diese Störfälle den jeweiligen Wettbewerbern mitteilen. Bei Cyberangriffen, die sich gegen eine bestimmte Branche richten, werden IT-Leiter frühzeitig gewarnt.

Zunächst wird der Status-Quo der IT-Infrastruktur bewertet und der Geltungsbereich des KRITIS-Audits bestimmt. Es kann nämlich sein, dass es Unternehmensteile gibt, die nicht Teil der kritischen Infrastruktur sind, bzw. nur am Rande zu ihr beitragen. Diese könnten dann ggf. beim Audit außen vor gelassen werden. Als dritter vorbereitender Schritt folgt dann die Bestimmung der Prüfgrundlage. Gibt es einen B3S?

Schließlich werden im Audit nach Schwachstellen in der IT-Sicherheit gesucht. Die gefundenen Schwachstellen werden schließlich priorisiert und ein Maßnahmenkatalog erstellt. Dieser Maßnahmenkatalog muss dann bis zum folgenden Audit umgesetzt werden.

Mehr Informationen gibt es beim BSI unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/nachweise-kompakt-faq-nachweise.html