Informationssicherheit für KRITIS-Betreiber: Kritische Dienstleistungen systematisch schützen

Abstract

Der Aufbau und Betrieb eines erfolgreichen Informations-Sicherheits-Management-Systems beginnt mit der passgenauen Festlegung des zu schützenden Geltungsbereichs und der Definition konkreter Schutzziele. Sie sind der Ausgangspunkt für eine ganzheitliche Risikobeurteilung und die Auswahl sowie Umsetzung geeigneter Schutzmaßnahmen. Seit 2017 sind Betreiber Kritischer Infrastrukturen verpflichtet, gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Umsetzung angemessener technischer und organisatorischer Maßnahmen zum Schutz ihrer kritischen Dienstleistungen (kDl) nachzuweisen. Eine wichtige Arbeitshilfe stellen dabei die von KRITIS-Betreibern bzw. Branchenverbänden entwickelten und vom BSI als geeignet festgestellten Branchenspezifischen Sicherheitsstandards (B3S) dar. Das BSI unterstützt Interessierte mit einem Workshop-Konzept dabei, den Geltungsbereich auf die branchenspezifischen kDl zu fokussieren und entsprechende KRITIS- und IT-Schutzziele abzuleiten. Die Ergebnisse erleichtern KRITIS-Betreibern, ihren individuellen Geltungsbereich für die alle zwei Jahre erforderlichen Nachweise gemäß §8a (3) BSIG festzulegen. Damit kann erreicht werden, dass notwendige Prüfungen wie Sicherheitsaudits und Zertifizierungen zielgerichtet mit möglichst wenig personellem und finanziellem Aufwand durchgeführt werden können.