KRITIS 2.0: Was Unternehmen 2022 erwartet

KRITIS wächst weiter: Durch die Ausweitung der BSI-Verordnung sind rund 250 zusätzliche Betriebe ab 2022 dazu verpflichtet, die Sicherheitsanforderungen für kritische Infrastrukturen umzusetzen. Wie können sich Unternehmen auf die Registrierung vorbereiten? Und welche Neuerungen bringt KRITIS 2.0 noch mit sich? Alle Details im Überblick.

Neben der verpflichtenden Einführung von Systemen zur Angriffserkennung baut die Novelle des IT-Sicherheitsgesetzes und der KRITIS-Verordnung vor allem den Geltungsbereich der Vorschrift aus: Mit der Abfallentsorgung kommt ein neuer Sektor hinzu, darüber hinaus sinken die Schwellenwerte für kritische Infrastrukturen in einigen Bereichen, etwa Energie und Transport. Das BSI veröffentlicht keine offizielle Statistik zur Zahl von KRITIS-Einrichtungen, Experten gehen jedoch davon aus, dass aufgrund dieser Änderungen etwa 250 zusätzliche Organisationen zu 1.600 bestehenden kritischen Infrastrukturen hinzukommen. 

Betriebe, die einen dieser Grenzwerte überschreiten, zählen ab April des Folgejahres als KRITIS-Einrichtung und müssen sich spätestens zu diesem Zeitpunkt beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Sinnvoll wäre jedoch, die Anmeldung so bald wie möglich über das Melde- und Informationsportal des BSI abzuschließen. Zusätzlich muss im Unternehmen eine Kontaktstelle eingerichtet werden, die rund um die Uhr in der Lage ist, Updates und Warnungen des BSI zu empfangen und zu bewerten.

Einen Sonderfall bildet dabei die neu geschaffene Kategorie der Unternehmen im besonderen öffentlichen Interesse (UBI): Erstens fehlen hier noch einige Grenzwerte, zweitens unterscheiden sich die festgelegten Fristen zur Registrierung je nach Unterkategorie:

• Betriebe, die mit Gefahrstoffen der oberen Klasse der Störfall-Verordnung arbeiten
• Firmen, die Rüstungsmaterial oder staatliche Verschlusssachen verantworten
• Unternehmen mit hoher Bedeutung für die inländische Wertschöpfung

Generell müssen sich Unternehmen im öffentlichen Interesse zwar auch beim BSI registrieren und erhebliche Störungen melden, sie sind jedoch nicht zur Einhaltung eines bestimmten Schutzniveaus verpflichtet. Stattdessen genügt eine Selbsterklärung zur IT-Sicherheit alle zwei Jahre, in der Firmen beispielsweise angeben, welche Zertifizierungen sie abgeschlossen haben.

Vorbereitung auf KRITIS: Der richtige Standard

Die Registrierung beim BSI ist nur die erste Hürde: Anschließend gilt es, die Informationssicherheit im Unternehmen auf das geforderte Niveau anzuheben. KRITIS verpflichtet Betreiber zu Schutzmaßnahmen nach dem Stand der Technik, schreibt aber keinen bestimmten Sicherheitsstandard vor. Zur Orientierung veröffentlicht das BSI einen Katalog an Anforderungen, die KRITIS-Betreiber abdecken sollten. Bei der Umsetzung können sich Organisationen an bestehenden Normen wie ISO 27001 und dem IT-Grundschutz orientieren oder selbst einen branchenspezifischen Sicherheitsstandard (B3S) entwickeln, den das BSI prüft und freigibt.

Als ersten Schritt sollten sich Betriebe also für einen Standard entscheiden und diesen als Leitlinie zur Vorbereitung verwenden. Hier hat jede Option spezifische Vor- und Nachteile. Die Norm ISO 27001 ist weltweit gültig und eignet sich daher auch international als Nachweis, allerdings erfüllt sie nicht alle KRITIS-Anforderungen. ISO 27001 lässt Organisationen einen gewissen Spielraum und stellt es z.B. frei, gewisse Risiken in Kauf zu nehmen oder durch eine Versicherung abzudecken. Aufgrund ihrer wesentlichen Bedeutung für die öffentliche Versorgung ist das bei kritischen Infrastrukturen keine Option. Nähere Informationen des BSI.

Bei dem IT-Grundschutz handelt es sich um einen Katalog an Schutzmaßnahmen, den das BSI als freiwillige Hilfestellung für Unternehmen anbietet. Da das Grundschutz-Kompendium selbst aus der Feder des BSI stammt, bestehen keine Konflikte zum Katalog der KRITIS-Anforderungen. Der Standard bietet Organisationen zudem sehr detaillierte und handfeste Vorgaben zur Absicherung von digitalen Systemen. Dieser hohe Detailgrad macht den IT-Grundschutz aber auch enorm umfangreich: Das Kompendium aller Sicherheits-Bausteine umfasst mehr als 800 Seiten.

Die meisten branchenspezifischen Sicherheitsstandards (B3S) orientieren sich ebenfalls an einem dieser existierenden Modelle. Der Vorteil der B3S liegt in der Tatsache, dass sie die individuellen Sicherheitsanforderungen einzelner Industrien (z.B. die Absicherung von industriellen Steueranlagen oder Krankenhausinformationssystemen) viel genauer abdecken und dabei explizit durch das BSI abgesegnet werden. Jedoch müssen B3S dazu alle zwei Jahre aktualisiert und neu geprüft werden. Betreiber sollten also genau beobachten, welche Änderungen vorgenommen werden und wann aktualisierte Versionen veröffentlicht werden.

Als Nachweis des geforderten Sicherheitsniveaus dient eine externe Prüfung, die Betreiber jedoch selbst in Auftrag geben müssen. Organisationen, die erstmals einen der KRITIS-Schwellenwerte überschreiten, sind zwar ab dem 1. April zur Einhaltung des Schutzniveaus verpflichtet, haben für den Nachweis jedoch zwei Jahre Zeit.

Informationssicherheit umsetzen: Technik & Logistik

Die bestehenden Anforderungen an den Schutz kritischer Infrastrukturen decken ein breites Spektrum an Sicherheitsmaßnahmen ab: Daten-Backups, Virenschutz, Firewalls, Netzwerküberwachung, sichere Authentisierung & Berechtigungsvergabe, etc. Neu hinzu gekommen ist die explizite Verpflichtung, Systeme zur Angriffserkennung einzusetzen. Dazu braucht es einerseits die automatische Erfassung von Sicherheitsdaten durch ein Security Information & Event Management (SIEM) und andererseits ein Team, das diese Vorfälle laufend auswertet. Nur ein solches Security Operation Center (SOC) erlaubt es, meldepflichtige Störungen von kleinen Problemen und Fehlalarmen zu unterscheiden.

Generell bringt die KRITIS-Verordnung neben technischen Vorgaben auch organisatorische Herausforderungen mit sich. Eine der Kernaufgaben für Betreiber ist es, ein Informationssicherheitsmanagementsystem (ISMS) zu etablieren, dass die Schutzziele und notwendigen Prozesse in der Organisation verankert. Zu den damit verknüpften Aufgaben zählen etwa Risiko- und Abweichungsanalysen, interne Erfolgskontrollen und das Festlegen von Aufgaben wie Sicherheitsleiter und Incident Response Team (unter Einhaltung der Funktionstrennung).

Auch die neue Pflicht zur Registrierung von kritischen Komponenten sorgt hier für zusätzlichen Aufwand: Hardware- und Softwareprodukte, deren Ausfall den Betrieb einer KRITIS-Anlage erheblich stören würde, müssen in Zukunft beim BSI angemeldet werden. Für die Registrierung ist zudem eine Garantieerklärung des Herstellers notwendig, der sich dadurch verpflichtet, Schwachstellen umgehend zu melden und mit dem BSI zu kooperieren. Bei Sicherheitsmängeln kann das BSI den Einsatz von kritischen Komponenten aber auch rückwirkend untersagen.

Werkzeuge für Compliance

Um Sicherheit nach dem aktuellen Stand der Technik zu gewährleisten, brauchen KRITIS-Betreiber modernste Tools und Software. Das gilt aber nicht nur für Bereiche wie Virenschutz und Angriffserkennung: Viele Aspekte von KRITIS  –  vom Einspielen von Software-Updates über das Anlegen von Sicherheitskopien bis hin zur Vergabe von Berechtigungen –  lassen sich durch automatisierte Lösungen schneller, effizienter und sicherer abdecken als bei manueller Wartung und Pflege.

Der Einsatz von automatisierten Systemen hat für Betreiber viele Vorteile. Durch standardisierte Software-Lösungen entfällt etwa das Risiko von Flüchtigkeitsfehlern bei häufig wiederholten Tätigkeiten, die zu fatalen Sicherheitslücken führen können. Das Wegfallen derartiger Routine-Aufgaben entlastet gleichzeitig das IT-Team, wodurch Fachkräfte wertvolle Zeit für zusätzliche Pflichten wie die Auswertung von Sicherheitsprotokollen und den Kontakt mit dem BSI gewinnen. Zu guter Letzt erleichtern passende Tools auch den Nachweis des geforderten Schutzniveaus und helfen so bei der Vorbereitung auf die zweijährliche KRITIS-Prüfung.

Nehmen wir etwa den Bereich Identitäts- und Rechtemanagement: Zu den Anforderungen von KRITIS zählt auch ein Berechtigungskonzept nach dem Least-Privilege-Prinzip, welches den Missbrauch von Zugriffsrechten verhindert. Doch wie beweise ich, dass User nur auf Daten zugreifen können, die sie auch wirklich brauchen, wenn ich diese Informationen für jeden Benutzer und jedes System einzeln zusammentragen muss? Mit einer geeigneten Software-Lösung lassen sich nicht nur Berechtigungen automatisch verwalten, sondern auch übersichtliche Berichte generieren. So sind Sie bestens auf den nächsten Compliance-Audit vorbereitet.