Betreiber einer Kritischen Infrastruktur haben nach § 8b (3) BSIG dem BSI eine Kontaktstelle zu benennen, über die sie jederzeit erreichbar sind. Jederzeit ist hier wörtlich als 24/7 Erreichbarkeit zu verstehen, wobei es jedem Unternehmen überlassen ist, wie dies sichergestellt wird. Als Kontaktstelle kann daher Funktionspostfach geeignet sein, um die jederzeitige Erreichbarkeit zu gewährleisten. Wir können Ihnen helfen, eine geeignete Lösung zu finden >.

Betreiber einer Kritischen Infrastruktur haben nach § 8b (4) BSIG dem BSI Störungen und IT-Sicherheitsvorfälle zu melden, die zu einem Ausfall oder einer Beeinträchtigung der kritischen Dienstleistung geführt haben oder führen können. Dazu müssen Betreiber i.d.R. einen spezifischen Meldeprozess etablieren. Wir unterstützen Sie gerne bei der Implementierung >.

Betreiber Kritischer Infrastrukturen sind nach § 8a (1) BSIG verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.

Damit KRITIS-Betreiber dazu in der Lage sind, die gemäß BSI-Gesetz gestellten Anforderungen zu erfüllen, wird in der Regel die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) umgesetzt. Wir beraten Sie gerne zur Absicherung Ihrer Kritischen Infrastruktur >.

Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen zur Absicherung nach §8a (1) auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen.

Mit unserem umfangreichen Wissen aus Nachweisprüfungen in verschiedenen Branchen, können unsere Experten Sie gezielt bei der Vorbereitung auf die Nachweisprüfung gemäß §8a (3) BSI-Gesetz unterstützen >.

Ebenso können wir die Nachweisprüfung gemäß §8a (3) BSI-Gesetz als qualifizierte Prüfende Stelle für Sie durchführen. Unsere Experten verfügen über die Qualifikation als ISO 27001 Lead Auditoren und die zusätzlich Prüfverfahrenskompetenz für §8a (3) BSIG. Darüber hinaus haben wir umfangreiche Erfahrungen darin, die Prüfung anhand verschiedener Normen und Standards auszurichten. Dazu zählen die ISO 27001, der BSI IT-Grundschutz, die „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen“ durch das BSI, der IDW PH 9.860.2 „Prüfung bei Betreibern Kritischer Infrastrukturen“ und vom BSI anerkannte Branchenspezifische Sicherheitsstandards (B3S). 

Bis zum 31. März eines jeden Jahres muss die Ermittlung des Versorgungsgrades (Fallzahlen) für das zurückliegende Kalenderjahr erfolgen und gegen die Schwellwerte der BSI-KritisV geprüft werden.

Sollte sich herausstellen, dass die Schwellenwerte für weitere Anlagen Kritischer Infrastrukturen erreicht oder gar übertroffen wurden, muss eine selbstständige Meldung an das BSI erfolgen.

Sollte die Prüfung ergeben, dass der Schwellenwert einer bereits gemeldeten Anlage nicht mehr erreicht wird, so kann die Anlage beim BSI abgemeldet werden und unterliegt dann auch nicht mehr der Regulierung des Gesetzes. Wir unterstützen Sie gerne dabei, die Kennzahlen zum Versorgungsgrad zu erheben und auszuwerten >.

KRITIS-Betreiber müssen alle Geschäftsprozesse, Anwendungen, IT-Systeme, Infrastrukturkomponenten und Schnittstellen, die im Geltungsbereichs der kritischen Dienstleistung liegen, in den KRITIS-Geltungsbereich aufnehmen. Dies gilt ebenfalls für Dienstleister und deren Prozesse, wenn diese für die Erbringung der kritischen Dienstleistung wesentlich sind.

Eine eindeutige Definition des KRITIS-Geltungsbereichs inklusive einer Zuordnung und Kennzeichnung der KRITIS-relevanten Prozesse und IT-Systeme kann Aufwände zur Umsetzung der Anforderungen des IT-SiG erheblich reduzieren.

Mit den durch das IT-SiG eingeführten Gesetzesänderungen wird neben den drei Grundwerten Verfügbarkeit, Integrität und Vertraulichkeit auch die Authentizität von Informationen als zusätzliches Schutzziel gemäß § 8a (1) BSIG definiert.

Im Rahmen der Schutzbedarfsfeststellung sollten bei den betroffenen Prozessen und IT-Komponenten die Anforderungen hinreichend berücksichtigt werden. Bei der Festlegung des Schutzbedarfs ist neben dem unternehmensspezifischen Interesse (Abwägung Risiko vs. Wirtschaftlichkeit) zusätzlich und vor allem das Gemeinwohl zu berücksichtigen. Daher sollte davon ausgegangen werden, dass die IT-Komponenten, welche kritische Dienstleistungen unterstützen, mindestens einen höheren Schutzbedarf bzgl. eines oder mehrerer der vier Schutzziele erhalten.

Die Risikobehandlung umfasst die Risikoanalyse und die Ableitung von Behandlungsoptionen und folgt grundsätzlich den dazu festgelegten Vorgaben im Unternehmen. Dabei ist für die kritischen Dienstleistungen der All-Gefahren-Ansatz zu berücksichtigen. Beim All-Gefahren-Ansatz geht es um die Reduzierung der Verwundbarkeit Kritischer Infrastrukturen gegenüber natürlichen Ereignissen und Unfällen sowie gegenüber terroristischen Anschlägen und kriminellen Handlungen.

Da auch das Gemeinwohl zu berücksichtigen ist, sind sollten identifizierte Risiken durch geeignete technische und organisatorische Maßnahmen reduziert werden. Eine dauerhafte Akzeptanz von Risiken oder deren Transfer zu einer Versicherung allein aus Gesichtspunkten der Wirtschaftlichkeit sind in der Regel keine zulässige Option.

Multinationale Konzerne werden oft vor besondere Herausforderung in der Umsetzung der Anforderungen des IT-Sicherheitsgesetzes gestellt. Standardisierte Prozesse des Informationssicherheitsmanagements können die Umsetzung von spezifischen nationalen Rechtsnormen dahingehend erschweren, dass bspw. Sicherheitsvorfälle zentral im Ausland bearbeitet werden. So kann es zu Sprachbarrieren und Verzögerungen in der Bearbeitungszeit meldepflichtiger Ereignisse kommen. Auch kann ein KRITIS-Geltungsbereich in einem weltweiten Assetmanagement oft nur schwer abgegrenzt werden.