TK-Sicherheitskatalog
KRITIS-Betreiber im Sektor Telekommunikation, die in KRITIS-Anlagen ein öffentliches Telekommunikationsnetz oder Telekommunikationsdienste betreiben, müssen sich (auch) an das TKG halten. Für diese Anlagen ist das BSIG nicht einschlägig (§8d Abs. 2 Nr. 1 BSIG) sondern das Telekommunikationsgesetz, für das der Sicherheitskatalog der BNetzA umzusetzen ist.
Dieser Sicherheitskatalog konkretisiert die Anforderungen des TKG an Betreiber von öffentlicher Telekommunikationsinfrastruktur und -diensten mit Umfangreichen Cyber Security Maßnahmen zum Schutz der TK-Dienste, Anlagen und Infrastruktur.
Mapping TKG Katalog 2.0 Maßnahmen und KRITIS
Abgleich Sicherheitskatalog zu BSI KRITIS-Anforderungen.
PDF ∙
OpenKRITIS-Analyse Sicherheitskatalog 2.0 ∙ 2023
Telekommunikation und KRITIS
Übersicht
Der von der BNetzA herausgegebene Katalog von Sicherheitsanforderungen 2.0 ist die Grundlage für das Sicherheitskonzept und die zu treffenden Sicherheitsvorkehrungen von Telekommunikations-Anbietern mit folgenden Inhalten.
| Kategorie | Inhalt |
|---|---|
| Sicherheitsmaßnahmen Kapitel 3 |
|
| Rechtliche Grundlagen Kapitel 4 |
|
| Umsetzung Kapitel 5 |
|
| TK mit IP-Infrastruktur Anlage 1 |
|
| Erhöhtes Gefährdungspotenzial Anlage 2 |
|
Sicherheitsmaßnahmen und KRITIS
Der Sicherheitskatalog 2.0 der BNetzA fordert bei TK-Betreibern IT-Sicherheit in Netzen und Diensten — im folgenden mit den BSI KRITIS-Anforderungen abgeglichen. Die Tabelle ist auch als PDF verfügbar, die TKG 2.0 Anforderungen sind auch im Mapping von KRITIS-Anforderungen zu Security Standards enthalten, mit ISO 27001, C5 und NIST.
| Nr. | Sicherheitskatalog | KRITIS (und C5) |
|---|---|---|
| 3.1 | Organisation | |
| 3.1.1 | Organisations- und Risikomanagement | BSI-1 (OIS-01) BSI-13 (OIS-06) BSI-14 (OIS-07) BSI-15 (BCM-02) BSI-16 (B3S) |
| 3.1.2 | Sicherheitsrollen und Verantwortlichkeiten | BSI-3 (OIS-03) |
| 3.1.3 | Lieferantenmanagement | BSI-98 (DLL-01) BSI-99 (DLL-02) |
| 3.2 | Sicherheit im Personalmanagement | |
| 3.2.1 | Sicherheitsüberprüfung | BSI-56 (HR-01) |
| 3.2.2 | Sicherheitswissen und Sensibilisierung | BSI-68 (HR-03) |
| 3.2.3 | Personelle Veränderungen | BSI-70 (HR-05) |
| 3.2.4 | Umgang mit Verstößen | BSI-79 (HR-04) |
| 3.3 | Sicherheit von Daten, Systemen und Einrichtungen | |
| 3.3.1 | Sicherer Umgang mit sensiblen Daten und Informationen | BSI-34 (KRY-03) BSI-11 (AM-07) BSI-55 (MDM-01) |
| 3.3.2 | Physische und elementare Schutzanforderungen | BSI-72 (PS-01) BSI-73 (PS-02) BSI-74 (PS-03) BSI-76 (PS-05) |
| 3.3.3 | Versorgungssicherheit | BSI-71 (BCM-05) BSI-75 (PS-04) |
| 3.3.4 | Zugriffs- und Zugangskontrolle | BSI-58 (IDM-01) BSI-59 (IDM-02) BSI-60 (IDM-03) BSI-61 (IDM-04) BSI-62 (IDM-05) BSI-63 (IDM-06) BSI-64 (IDM-09) BSI-28 (IDM-10) BSI-29 (IDM-11) BSI-30 (IDM-12) |
| 3.3.5 | Integrität und Verfügbarkeit | BSI-45 (BEI-03) BSI-21 (RB-05) BSI-34 (KRY-03) BSI-68 (HR-03) |
| 3.3.6 | Vertraulichkeit der Kommunikation | BSI-32 (KRY-01) BSI-33 (KRY-02) BSI-34 (KRY-03) BSI-35 (KRY-04) BSI-36 (KOS-01) BSI-37 (KOS-02) BSI-26 (IDM-07) BSI-27 (IDM-08) |
| 3.4 | Betriebsführung | |
| 3.4.1 | Betriebsverfahren | BSI-20 (RB-01) BSI-20 (RB-02) |
| 3.4.2 | Änderungsmanagement | BSI-45 (BEI-03) BSI-46 (BEI-04) BSI-47 (BEI-05) BSI-48 (BEI-06) BSI-49 (BEI-07) BSI-50 (BEI-08) BSI-51 (BEI-09) BSI-52 (BEI-10) BSI-58 (IDM-01) |
| 3.4.3 | Asset Management | BSI-5 (AM-01) BSI-6 (AM-02) BSI-10 (AM-06) |
| 3.5 | Störungen und Sicherheitsvorfälle | |
| 3.5.1 | Erkennen von Sicherheitsvorfällen und Störungen | BSI-36 (KOS-01) BSI-37 (KOS-02) BSI-80 (SIM-05) |
| 3.5.2 | Umgang mit Sicherheitsvorfällen und Störungen | BSI-77 (SIM-01) BSI-78 (SIM-02) BSI-82 (SIM-07) |
| 3.5.3 | Kommunikation und Meldung von Sicherheitsvorfällen | BSI-79 (SIM-03) BSI-81 (SIM-06) BSI-100 (-) |
| 3.6 | Not- oder Ausfallmanagement | |
| 3.6.1 | Aufrechterhaltung (Business Continuity Management) | BSI-17 (BCM-01) BSI-22 (RB-06) BSI-22 (RB-09) |
| 3.6.2 | Wiederanlauf (Disaster Recovery Management) | BSI-18 (BCM-03) |
| 3.7 | Überwachungs- und Testverfahren | |
| 3.7.1 | Überwachungs- und Protokollierung | BSI-90 (RB-10) BSI-90 (RB-14) BSI-91 (RB-12) BSI-92 (RB-13) |
| 3.7.2 | Notfallübungen | BSI-19 (BCM-04) |
| 3.7.3 | Testen von Netzwerk- und IT-Systemen | BSI-49 (BEI-07) BSI-51 (BEI-09) BSI-53 (BEI-11) BSI-95 (RB-18) BSI-84 (RB-21) BSI-86 (SPN-02) BSI-87 (SPN-03) |
| 3.8 | Beurteilung der Sicherheitsmaßnahmen | |
| Strategie zur Beurteilung von Sicherheitsmaßnahmen | BSI-14 (OIS-07) BSI-16 (-) BSI-53 (BEI-11) BSI-95 (RB-18) |
|
| 3.9 | Einhaltung gesetzlicher Anforderungen | |
| Stelle und Überwachung Compliance | BSI-2 (OIS-02) BSI-17 (BCM-01) BSI-86 (SPN-02) |
|
Erhöhtes Gefährdungspotenzial
Betreiber
Betreiber und Netze mit erhöhtem Gefährdungspotenzial oder erhöhter Kritikalität werden im TKG mehrfach erwähnt und im Sicherheitskatalog definiert. Dort werden unter Einstufung der Kritikalität (5.1.2) verschiedene Kritikalitätsstufen von TK-Netzen und Diensten vorgenommen.
Unter die höchste Stufe Erhöhte Kritikalität fallen Dienste und Netze, die für das Gemeinwohl eine herausragende Bedeutung haben
—
bis jetzt ausschließlich öffentliche Telekommunikationsnetze des Mobilfunks der 5. Generation mit Frequenzzuteilungen.
Kritische Komponenten
Bestimmte Kritische Komponenten (aus dem IT-Sicherheitsgesetz 2.0) dürfen durch Betreiber mit erhöhtem Gefährdungspotenzial nur mit Zertifizierung nach TR-03163, einer Erklärung des Herstellers und Freigabe des BMI eingesetzt werden, §165 (4) TKG. Der Sicherheitskatalog 2.0 definiert die Liste der kritischen Funktionen bei Betreibern, die unter diese Anforderung fallen:
| Bereich | Kritische Komponenten oder Funktionen |
|---|---|
| Öffentliche 5G-Mobilfunknetze |
|
Angriffserkennung
Betreiber mit erhöhtem Gefährdungspotenzial müssen zu ihren Cyber Security Maßnahmen nach §165 TKG explizit auch Systeme zur Angriffserkennung einsetzen — analog zum IT-Sicherheitsgesetz 2.0. Diese Systeme nach Stand der Technik dienen zur automatisierten Erfassung und Abwehr von Gefahren in der TK-Infrastruktur und Diensten. §165 (3) TKG
Weitere Informationen
Literatur
- Mapping Sicherheitskatalog 2.0 und KRITIS (PDF), OpenKRITIS, März 2022
- KRITIS-Sektor Informationstechnik und Telekommunikation, OpenKRITIS
- BSI führt Zertifizierung für 5G-Komponenten ein, Pressemitteilung BSI, 05.07.2022, Bundesamt für Sicherheit in der Informationstechnik
Quellen
- Katalog von Sicherheitsanforderungen für das Betreiben von Telekommunikations- und Datenverarbeitungssystemen sowie für die Verarbeitung personenbezogener Daten nach § 109 Telekommunikationsgesetz (TKG), Bundesnetzagentur (BNetzA), Version 2.0, 29.04.2020
- Liste der kritischen Funktionen nach § 109 Abs. 6 TKG für öffentliche Telekommunikationsnetze und -dienste mit erhöhtem Gefährdungspotenzial, Bundesnetzagentur (BNetzA), 18.08.2021
- Ausnahmeregelungen für Betreiber im Sektor IT und TK, Webseite des Bundesamts für Sicherheit in der Informationstechnik, 28.1.2021
- Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020