Kritische Infrastrukturen brauchen eine ausfallsichere IT
Moderne Gesellschaften mit ausgeprägter Dienstleistungs- und Industriewirtschaft sind hoch digitalisiert, agil, wettbewerbsfähig und eng in die Globalisierung eingebunden. Unternehmen hängen deshalb immer stärker von einer leistungsfähigen und ausfallsicheren IT-Infrastruktur ab. Das gilt vor allem für systemrelevante Unternehmen der kritischen Infrastruktur.
BSI und BBK definieren, was kritische Infrastrukturen sind
Laut der öffentlichen Begriffsklärung des Bundesamts für Sicherheit in der Informationstechnik, kurz BSI, und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe, kurz BBK, sind kritische Infrastrukturen „Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“
Ein Managed SOC schützt kritische Infrastrukturen rund um die Uhr
Um die IT-Systeme kritischer Infrastrukturen dauerhaft zu schützen, braucht es moderne Sicherheitslösungen. Immer wichtiger wird dabei das Managed Security Operations Center (SOC). Es überwacht die Systeme laufend und erkennt Bedrohungen in Echtzeit, sodass Angriffe früh abgewehrt werden, bevor sie kritische Systeme gefährden.
Unternehmen der kritischen Infrastruktur sind besonders gefährdet, weil sie ein attraktives Ziel für Hacker, Terroristen oder staatliche Akteure sind. Ein Managed SOC schützt Ihre IT-Systeme rund um die Uhr. Experten analysieren laufend die Sicherheitslage, um Bedrohungen so schnell wie möglich zu erkennen und abzuwehren.
Ein Managed SOC hat drei Vorteile:
Es schützt Ihre IT-Systeme rund um die Uhr vor Cyberbedrohungen.
Es erkennt Angriffe früh und wehrt sie ab, bevor sie Schaden anrichten.
Ein Team hochqualifizierter Sicherheitsexperten analysiert Ihre Sicherheitslage.
Unser Managed SOC-Angebot
Mit einem Managed SOC konzentrieren Sie sich auf Ihr Kerngeschäft, während wir uns um Ihre IT-Sicherheit kümmern.
Erfahren Sie mehr darüber, wie unser Managed SOC Ihr Unternehmen vor Cyberbedrohungen schützt.
Diese Bereiche zählen zu den kritischen Infrastrukturen
Private und staatliche Betreiber kritischer Infrastrukturen halten wichtige Funktionen der Gesellschaft aufrecht und sichern Gesundheit, Sicherheit und das wirtschaftliche und soziale Wohl der Bevölkerung. Deshalb sind sie besonders schützenswert.
Die Nationale Strategie zum Schutz kritischer Infrastrukturen, die das Bundesministerium des Innern und für Heimat, kurz BMI, am 17. Juni 2009 beschlossen hat, definiert 9 Bereiche der kritischen Infrastrukturen, deren IT-Systeme besonderen Schutz brauchen. Dazu zählen:
Staat und Verwaltung
Energieversorgung
Informationstechnik und Telekommunikation
Transport und Verkehr
Gesundheit
Wasser
Ernährung
Finanz- und Versicherungswesen
Medien und Kultur
Mit der Novellierung des BSIG im Jahr 2021 kam als weiterer Bereich die „Siedlungsabfallentsorgung“ hinzu. Eine bundesweit übergreifende Abstimmung dazu steht allerdings noch aus.
Ob ein Unternehmen zur kritischen Infrastruktur zählt, lässt sich nur durch eine individuelle Prüfung sicher beantworten. Drei typische Ansatzpunkte erlauben aber eine vorläufige Einordnung.
Kritische Dienstleistung
Eine Dienstleistung ist kritisch, wenn sie in einem regulierten Sektor erbracht wird und ihr Umfang den Schwellenwert überschreitet. Bei Krankenhäusern ist das einfach. Der Schwellenwert richtet sich nach den „vollstationären Fällen“ und ist damit klar definiert. In anderen Bereichen wie der Logistik ist es schwieriger. Dort muss ein Berater die KRITIS-Verordnung sehr genau kennen und auslegen können.Schwellenwert
Das BSI hat für jeden Sektor eigene Schwellenwerte festgelegt. Sie stehen in der KRITIS-Verordnung 2021, die mit dem IT-Sicherheitsgesetz 2.0 geändert wurde, und legen fest, ab wann ein Unternehmen zur kritischen Infrastruktur gehört.
Eine übersichtliche Auflistung finden Sie unter https://www.openkritis.de/it-sicherheitsgesetz/kritis-verordnung-2-0.htmlIT-Netzwerk
Auch die Eigenständigkeit der IT spielt eine Rolle. Hat ein Unternehmen mehrere Standorte, die jeweils eine eigene IT-Infrastruktur betreiben, gilt es unter Umständen nicht als Unternehmen der kritischen Infrastruktur, unabhängig von seiner Gesamtgröße. Betreibt es die IT dagegen zentral als „gemeinsame Anlage“, sieht das anders aus.
Verschärfte Bedrohungslage erfordert verschärfte Maßnahmen
Grundsätzlich sind kritische Infrastrukturen gut geschützt. Wegen ihrer Bedeutung für Staat, Wirtschaft und Gesellschaft sind sie aber ein lohnendes Ziel für Cyberkriminelle, Terroristen und staatliche Akteure.
Entsprechend oft berichten die Medien über IT-Ausfälle oder Störungen kritischer Infrastrukturen.
Im Mai 2021 traf ein Ransomware-Angriff eines der wichtigsten Kraftstoff-Leitungssysteme des Betreibers Colonial Pipeline in den USA. An der gesamten Ostküste wurde der Treibstoff daraufhin vorübergehend knapp.
Das ist kein Einzelfall. Laut dem Bundesamt für Sicherheit in der Informationstechnik haben die Angriffe auf die Bereiche Informationstechnik und Telekommunikation, Finanz- und Versicherungswesen sowie Wasser und Energie in den vergangenen Jahren deutlich zugenommen. Der aktuelle Lagebericht zur IT-Sicherheit des BSI zeigt außerdem, dass in diesen Bereichen insgesamt 1.805 Sicherheitsmängel festgestellt wurden, vor allem bei Netztrennung, Notfallmanagement und physischer Sicherheit.
Neben Cyberangriffen können auch Naturgewalten, Havarien, menschliches Versagen oder technische Defekte schwere Folgen für die Sicherheit und das Wohl der Menschen haben. Das zeigte Ende Februar 2019 der 31-stündige Stromausfall in Berlin-Köpenick.
Mehrere Gesetze regeln den Schutz kritischer Infrastrukturen
Um solche Worst-Case-Szenarien zu verhindern, müssen Unternehmen der kritischen Infrastruktur Gefahren und Risiken sehr früh erkennen und abwehren.
Die gesetzlichen Vorgaben dazu stehen im IT-Sicherheitsgesetz 2.0, im BSI-Gesetz, kurz BSIG, und in der BSI-KRITIS-Verordnung, kurz BSI-KritisV.
Ergänzend setzt die NIS2-Richtlinie neue Maßstäbe für die Cybersicherheit in Europa. Sie erweitert die Anforderungen an Unternehmen, damit innerhalb der EU ein einheitliches Schutzniveau entsteht.
Unternehmen der kritischen Infrastruktur sind damit verpflichtet,
eine Kontaktstelle für die betriebene kritische Infrastruktur zu benennen,
ihre IT-Sicherheit an den „Stand der Technik“ anzupassen und angemessene organisatorische und technische Maßnahmen einzuführen, die IT-Sicherheitsvorfälle und IT-Störungen verhindern, erkennen und beheben. Dazu gehört vor allem ein Informationssicherheitsmanagementsystem nach ISO 27001 (mehr dazu in unserem Beitrag zu Datenschutz und Informationssicherheit). So sichern sie Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität ihrer IT-Systeme, IT-Komponenten und IT-Prozesse,
IT-Sicherheitsvorfälle und erhebliche IT-Störungen, die zu einem IT-Ausfall führen, zu melden
und die getroffenen IT-Sicherheitsvorkehrungen nach § 8a Absatz 3 BSIG dem Bundesamt für Sicherheit in der Informationstechnik durch ein Gutachten nachzuweisen.
NIS2 stärkt die Cybersicherheit auf europäischer Ebene
Mit der NIS2-Richtlinie (Network and Information Systems Directive 2), die die Europäische Union 2020 verabschiedet hat, sind die Anforderungen an die Cybersicherheit weiter gestiegen. NIS2 soll die Standards für Cybersicherheit in der EU bis Oktober 2024 vereinheitlichen und kritische Infrastrukturen widerstandsfähiger machen.
Die wichtigsten Punkte der NIS2-Richtlinie sind:
Mehr Unternehmen und Sektoren fallen unter die Richtlinie, auch kritische Dienstleister wie Cloud-Anbieter und Rechenzentren.
Unternehmen müssen umfangreiche Sicherheitsmaßnahmen einführen und regelmäßig Risiken bewerten.
Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden, damit schnell reagiert werden kann.
Nationale Behörden erhalten mehr Befugnisse, die Richtlinie durchzusetzen, bis hin zu Sanktionen.
Die NIS2-Richtlinie bringt Unternehmen mehr Verantwortung und zugleich konkrete Vorteile. Weil die Cybersicherheitsmaßnahmen innerhalb der EU vereinheitlicht werden, steigt das Schutzniveau, und das stärkt das Vertrauen von Verbrauchern und Geschäftspartnern. Unternehmen, die NIS2 erfolgreich umsetzen, steigern ihre Wettbewerbsfähigkeit und festigen ihre Marktstellung.
Außerdem soll NIS2 die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten fördern. Bewährte Verfahren und Informationen zu Bedrohungen und Sicherheitsvorfällen sollen schnell geteilt werden. Das stärkt die Abwehr der EU gegen Cyberangriffe und verkürzt die Reaktionszeiten bei Vorfällen.
Der Betrieb kritischer Infrastrukturen muss störungsfrei laufen
Ohne kritische Infrastrukturen funktionieren Gesellschaft und Wirtschaft nicht reibungslos. Im täglichen Leben nimmt man sie kaum wahr, umso größer ist der Schaden bei einem Ausfall. Deshalb muss ihr Betrieb störungsfrei laufen. NIS2 unterstützt das, indem sie die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten fördert und so die kritischen Infrastrukturen in der ganzen EU widerstandsfähiger macht.
Außerdem hat das Bundesamt für Sicherheit in der Informationstechnik am 23. März 2020 die „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen“ veröffentlicht. Der Anforderungskatalog gibt allen Unternehmen der kritischen Infrastruktur und ihren Gutachtern einen genauen Rahmen, um die nötigen IT-Sicherheitsmaßnahmen auszuwählen, umzusetzen und zu bewerten. Er deckt folgende Themenbereiche ab:
Informationsmanagementsystem
Asset Management
Risikoanalysemethode
Continuity Management
Technische Informationssicherheit
Personelle und organisatorische Sicherheit
Bauliche/physische Absicherung
Vorfallserkennung und -bearbeitung
Begutachtung im aktiven Betrieb
Externe Informationsversorgung und Unterstützung
Lieferanten, Dienstleistungsunternehmen und Dritte
Meldewesen
Prüfen Sie zuerst anhand der Schwellenwerte, ob Ihr Unternehmen unter die KRITIS-Regeln fällt. Wenn Sie ein Unternehmen der kritischen Infrastruktur betreiben und Ihre IT-Infrastruktur wirksam vor Bedrohungen schützen möchten, rufen Sie uns an. Das gilt auch für Fragen zum IT-Sicherheitsgesetz 2.0, zur BSI-Kritisverordnung und zu kritischen Infrastrukturen.
