Cyber Security für kritische Infrastruktur

Bei den technischen und organisatorischen Sicherheitsmaßnahmen fordert das IT-SiG 2.0 explizit Systeme zur Angriffserkennung. KRITIS-Betreiber müssen diese bis spätestens Mai 2023 einführen und bei einem Audit nachweisen können. Wie die technische Umsetzung aussehen soll, ist nicht genauer spezifiziert. Das BSI hat aber eine Orientierungshilfe veröffentlicht. Axians berät Sie gern, welche Lösung am besten für Ihr Unternehmen geeignet ist.

KRITIS-Betreiber müssen sich unmittelbar beim BSI registrieren und eine Kontaktstelle benennen. Sie müssen dem BSI erhebliche Störungen melden und Informationen dazu zur Verfügung stellen. Das setzt voraus, dass man überhaupt in der Lage ist, Vorfälle zu erkennen. Außerdem müssen Betreiber den Einsatz von kritischen Komponenten beim Innenministerium anzeigen. Was zu den kritischen Komponenten zählt, wird gesetzlich festgelegt. Bisher gibt es nur Vorgaben für den Telekommunikations-Sektor.

Bei vorsätzlichen oder fahrlässigen Verstößen gegen das IT-SiG 2.0 drohen für Unternehmen deutlich höhere Bußgelder als zuvor: bis zu 2 Millionen EUR und bis zu 20 Millionen EUR als juristische Person (Organ).

KRITIS ist die Abkürzung für kritische Infrastruktur. Darunter versteht man Anlagen und Systeme, die von wesentlicher Bedeutung für die Gesellschaft sind – zum Beispiel die Trinkwasserversorgung, die Energieversorgung, die Lebensmittelversorgung, das Gesundheitswesen, Transport und Verkehr sowie die Abfallentsorgung. Betreiber kritischer Infrastruktur unterliegen bis auf wenige Ausnahmen dem IT-Sicherheitsgesetz.

Die KRITIS-Verordnung regelt in Deutschland, welche Einrichtungen, Anlagen oder Teile davon zur kritischen Infrastruktur zählen. Sie konkretisiert das IT-Sicherheitsgesetz und definiert Vorgaben zur Umsetzung. Die KRITIS-Verordnung wurde 2016 verabschiedet und 2021 überarbeitet. Seit Januar 2022 ist die neue KRITIS-Verordnung 2.0 in Kraft.

Die KRITIS-Verordnung hat ursprünglich acht Sektoren definiert. Mit der Novelle 2021 kommen zwei weitere Sektoren hinzu: die Siedlungsabfallentsorgung und Unternehmen im besonderen öffentlichen Interesse (UBI). Ob ein Unternehmen KRITIS ist, hängt zudem von der Größe der betriebenen Anlage ab. Hierfür legt die KRITIS-Verordnung Schwellenwerte fest. Bisher lag der Regelschwellenwert meist bei 500.000 versorgten Personen. Mit der Überarbeitung von 2021 ist dieser in vielen Bereichen gesunken, sodass jetzt auch kleinere Unternehmen betroffen sind.

Unternehmen, die nicht in die zehn KRITIS-Sektoren fallen, gelten nicht als KRITIS-Betreiber. Das trifft auch auf Anlagen zu, die unter dem definierten Schwellenwert liegen. Die Sektoren „Medien und Kultur“ sowie „Staat und Verwaltung“ zählen zwar zur kritischen Infrastruktur, unterliegen jedoch nicht dem IT-Sicherheitsgesetz.

Für die Sicherheit der kritischen Infrastruktur sind die jeweiligen Betreiber zuständig. Verantwortlich für die Gesetzgebung und Regulierung ist das Innenministerium. Ihm untersteht das Bundesamt für Sicherheit in der Informationstechnik (BSI), das als zentrale Behörde für die Cybersicherheit kritischer Infrastrukturen in Deutschland fungiert. Außerdem ist auch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe in den Schutz kritischer Infrastrukturen eingebunden.

KRITIS-Betreiber müssen IT-Sicherheit nach „Stand der Technik“ umsetzen und dies alle zwei Jahre gegenüber dem BSI nachweisen. Außerdem müssen sie eine Kontaktstelle für die betriebene kritische Infrastruktur benennen. IT-Störungen oder erhebliche Beeinträchtigungen der kritischen Infrastruktur sind dem BSI zu melden. Dabei müssen KRITIS-Betreiber auf Nachfrage auch Informationen zur Verfügung stellen, die für die Bewältigung der Störung nötig sind.

Cyber Security muss von Anfang an integraler Bestandteil der Modernisierung sein. Unternehmen sollten prüfen, ob ihre geplanten Maßnahmen den Anforderungen der KRITIS-Verordnung entsprechen, und gegebenenfalls Lücken schließen. Axians bietet dafür zum Beispiel eine Gap-Analyse.

In der aktuellen geopolitischen Situation warnt das BSI vor einem erhöhten Risiko für Cyberangriffe auf kritische Infrastrukturen in Deutschland. Bisher gab es zum Glück nur kleinere Vorfälle. Die meisten Attacken konnten abgewehrt werden. KRITIS-Betreiber sollten jedoch besonders wachsam sein und ihre Sicherheitsaufstellung prüfen.

Betreiber kritischer Infrastrukturen sind gemäß § 8a Abs. 1 BSI-Gesetz verpflichtet, angemessene organisatorische und technische Vorkehrungen zu treffen, um ihre informationstechnischen Systeme, Komponenten oder Prozesse zu schützen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.

Cyber Security entwickelt sich ständig weiter. Das BSI legt daher bewusst keine konkreten Technologien fest, sondern spricht etwas schwammig von „Stand der Technik“. Damit sind Maßnahmen gemeint, die nach aktuellem Entwicklungsstand wirksam sind und sich in der Praxis bewährt haben. Als Orientierungshilfe können nationale und internationale Standards dienen.

Die internationale Norm ISO/IEC 27001 deckt nur einen Teil der Anforderungen ab, die KRITIS-Betreiber umsetzen müssen. Daher reicht eine ISO 27001-Zeritfizierung nicht aus, um die KRITIS-Verordnung 2.0 zu erfüllen.

Auf organisatorischer Seite sind zum Beispiel ein ISMS (Information Security Management System), Risiko Management und Business Continuity Management Pflicht. Bei den technischen Maßnahmen gilt: Sie müssen angemessen und auf Stand der Technik sein. Das BSI macht nur wenige konkrete Vorgaben. Dazu zählen zum Beispiel Schwachstellenmanagement, Verschlüsselung und seit der KRITIS Verordnung 2.0 auch Systeme zur Angriffserkennung. Für einige KRITIS-Sektoren wurden branchenspezifische Sicherheitsstandards B3S erarbeitet, die als Orientierungshilfe dienen können.

Unternehmen müssen feststellen, ob sie nach der neuen KRITIS-Verordnung 2.0 zu den KRITIS-Betreibern gehören. Ist dies der Fall, müssen sie sich unmittelbar beim BSI registrieren und überprüfen, ob sie selbst und auch ihre Subunternehmer die Anforderungen an die IT-Sicherheit erfüllen. Ist dies nicht der Fall, müssen sie Lücken schließen, denn bei vorsätzlichen oder fahrlässigen Verstößen gegen das IT-SIG 2.0 drohen hohe Bußgelder.

Das IT-Sicherheitsgesetz 2.0 ist bereits seit Mai 2021 in Kraft, die KRITIS-Verordnung 2.0 seit Januar 2022. Die meisten Vorgaben gelten bereits jetzt verbindlich. Für die Einführung von Systemen zur Angriffserkennung haben KRITIS-Betreiber noch bis Ende April 2023 Zeit. Unternehmen, die neu unter die KRITIS-Verordnung fallen, sollten umgehend mit der Umsetzung der Maßnahmen beginnen. Spätestens zwei Jahre nach ihrer Registrierung beim BSI müssen sie nachweisen, dass sie die Anforderungen erfüllen.

Bei vorsätzlichen und fahrlässigen Verstößen gegen das IT-Sicherheitsgesetz drohen für Unternehmen Bußgelder von bis zu 2 Millionen Euro und bis zu 20 Millionen Euro als juristische Person (Organ).