BCM in KRITIS und NIS2

Der Case für BCM in KRITIS

Obwohl BCM keine zentrale Rolle in den Vorgaben der KRITIS-Regulierung spielt, sind BCM-Methodiken ein hilfreiches Werkzeug für Betreiber in der Umsetzung von KRITIS-Pflichten. Standards wie ISO 22301 und BSI 200-4 helfen beim Aufbau von BCM.

Webinar: Notfallmanagement in Kritischen Infrastrukturen

Welche Lücken BCM in Kritischen Infrastrukturen schliesst.
Webinar ∙ Registrierung über LinkedIn ∙ 29. April 2022

Anforderungen

• IT-Sicherheitsgesetz 2.0: Im Gesetz selbst spielt BCM (außer implizit bei der Versorgungs­sicherheit) keine Rolle. In den KRITIS-Prüfungen und den Nachweisen wird der Reifegrad abgefragt.
• EU-Regulierung: Die EU-Direktiven EU NIS2 und EU CER fordern in Kritischen Infrastrukturen zukünftig deutlich mehr BCM, Pläne und Krisen­management. Die Umsetzung der Vorgaben auf nationaler Ebene wird mit dem KRITIS-Dachgesetz bzw. dem IT-Sicherheitsgesetz 3.0 erwartet.
• KRITIS-Standards: BCM und Notfall­management spielt in KRITIS-relevanten Cyber Security Standards (ISO 27001, BSI C5) meist eine Rolle in der Vorsorge und der Bearbeitung von Vorfällen. Das NIST Cybersecurity Framework (CSF) legt größeres Augenmerk auf BCM in den eigenen Respond (RS) und Recover (RE) Kernfunktionen.

BCM-Werkzeuge

1. Analysen: Werkzeuge und Methoden zur Analyse von Risiken und Kritikalität von Geschäftsprozessen und Assets wie BIA und RIA.
2. Pläne: Aufrechterhaltung des Betriebs durch Notfallpläne, Wiederanlauf­pläne und Wieder­herstellungs­pläne (WAP, WHP) und Übungen.
3. Reaktion: Definierte Prozesse und eingeübte Abläufe zur Bewältigung von Vorfällen, Notfällen und Krisen mit besetzten Rollen und Stäben, IT-Tools.
4. IT-Notfälle: Organisation für das Management von IT-Notfällen mit Reaktions­fähigkeiten und Präventions­maßnahmen für resiliente IT.

Einsatz in KRITIS

BCM-Methoden können in den Pflichten von KRITIS-Betreibern wie folgt unterstützen.

Management-System

Für die Behandlung von Ausfallrisiken in KRITIS-Anlagen sind klare Verantwortlichkeiten und Prozesse notwendig — unterstützt durch ein Management-System für Betriebskontinuität (BCMS), das im KRITIS-Geltungsbereich die Resilienz der Geschäftsprozesse und IT erhöht. Mit NIS2 wird Krisenmanagement explizit gefordert – was bei KRITIS bisher fehlte.

Rollen

Das BCMS legt dazu Rollen und Aufgaben für Kontinuität im Geltungsbereich fest:

• Leiter BCMS: Leitung BCMS und Verantwortung für Vorgaben der Betriebskontinuität
• Leiter IT-Notfallmanagement: Leitung der Vorsorge und Reaktion auf IT-Notfälle
• Asset-Verantwortliche: Schutz der eigenen Assets durch Vorsorge-Maßnahmen

Im Krisenmanagement müssen zusätzlich folgende Rollen besetzt werden:

• Leiter Krisenmanagement: Leitung und Verantwortung für Krisenvorsorge und Management
• Krisenstab: Operative Leitung im Krisenfall

Verantwortlichkeiten

Die Verantwortungen in den KRITIS-Anlagen für Betriebskontinuität müssen verbindlich festgelegt werden — eindeutig (A und R) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung). Mögliche Orte für die Festlegungen durch das BCMS sind:

1. Rollenbeschreibungen
2. RACI-Matrizen
3. Prozessbeschreibungen
4. Funktionsbeschreibungen
5. Ernennungsurkunden

Prozesse

Das BCMS steuert die betriebliche Kontinuität in den KRITIS-Anlagen durch Prozesse, u.a.:

• Steuerung: Betrieb des Management-Systems — Ausübung der BCM-Governance
• Risikoanalyse: Analyse der Ausfallrisiken von Assets und der IT, Durchführung der Business Impact Analyse (BIA), Feststellung von Risiken (RIA)
• Risikobehandlung: Entscheidung und Auswahl von Optionen in der Risikobehandlung, primär durch Business Continuity Pläne (BCP) und Maßnahmen
• Übungen und Tests: Durchführen von realistischen Tests der Pläne (BCPs), Ableiten von Maßnahmen und Lessons Learned
• Krisen: Umfassende Vorsorge für Krisenfälle im Unternehmen und organisierte Behandlung in Krisen durch geübte Abläfe, Organisation und Systeme

Nachweise

Artefakte als Nachweis für ein laufendes und funktionierendes Management-System sind u.a.:

1. Protokolle
2. Entscheidungen
3. Business Impact Analysen
4. Maßnahmen
5. Pläne

Richtlinien

Die Ziele des BCM zur betrieblichen Kontinuität bei etwaigen Störungen in KRITIS-Anlagen werden durch das BCMS in einer zentralen Leitlinie (Policy) verankert. Die Leitlinie legt für das BCMS gültige Analysemethoden, Parameter, Szenarien und Auswirkungen fest.

Rahmenwerk

Basierend auf der Leitlinie legt das BCMS in weiteren Richtlinien die Methoden, Hilfsmittel und Tools fest, die bei Analysen (BIA/RIA) und Maßnahmen in KRITIS-Anlagen zu nutzen sind.

Nachweise

Nachweise für effektive Vorgaben und Richtlinien im BCMS sind u.a.:

1. Aktuelle Richtlinien
2. Freigaben
3. Revisionhistorien
4. Änderungen
5. Entscheidungen

Pläne und Maßnahmen

Die Ergebnisse eines BCMS sind in erster Linie Analysen und Transparenz über Ausfallrisiken in den KRITIS-Anlagen. Für die Behandlung dieser Risiken hat das BCMS mehrere Optionen:

• Maßnahmen: Präventive oder korrektive Maßnahmen in den KRITIS-Anlagen oder Prozessen können Ausfallrisiken mindern.
• Pläne: Dokumentation von Business Continuity Plänen (BCPs), die für Aus- und Notfälle einzelner Assets und Prozesse die notwendigen Schritte zum Wiederanlauf dokumentieren.
• Andere: Bestimmte Risiken oder Situationen kann das BCMS an weitere Disziplinen verweisen — wie das Krisen-Management, IT-Notfallmanagement oder auch das ISMS.

Nachweise

Artefakte als Nachweis für effektive Maßnahmen sind u.a.:

1. BCPs
2. Notfallpläne
3. Umgesetzte Maßnahmen
4. Verminderte Risiken

Übungen und interne Audits

Zur Verbesserung des BCMS und Weiterentwicklung der betrieblichen Kontinuität müssen regelmäßig Tests und Übungen der definierten Pläne und Maßnahmen durchgeführt werden. Dies umfasst Krisenübungen, Notfalltests, Durchspielen einzelner Pläne oder Übungen zu Kommunikation und Meldewegen. Die Übungen sollten geregelt ausgewertet und vom Betrieb und BCMS in der kontinuierlichen Verbesserung berücksichtigt werden.

Nachweise

Nachweise für effektive Übungen und Verbesserung des BCMS sind u.a.:

1. Übungsberichte
2. Auditberichte
3. Lessons Learned
4. Umgesetzte Maßnahmen

IT-Notfallmanagement

Für IT-Risiken in der betrieblichen Kontinuität ist IT-Notfallmanagement eine der möglichen Behandlungsoptionen. Die Anforderungen für IT-Notfallmanagement sind in den Kontrollen BSI-15 bis 19 im BCMS enthalten. Das IT-Notfallmanagement besteht aus zwei Prozessen:

• IT-Notfallvorsorge: Präventive Maßnahmen zur Vorsorge und Vermeidung von IT-Notfällen durch resiliente IT-Architektur und SLAs, Listen zur IT-Priorisierung und Wiederanlauf.
• IT-Notfallbewältigung: Reaktionsorganisation zur operativen Bewältigung von IT-Notfällen mit geübten Abläufen und Hilfsmitteln zur Bewältigung — zusammen mit der IT.

Nachweise

Nachweise für effektives IT-Notfallmanagement im BCMS sind u.a.:

1. Besetzte IT-Rollen
2. SLAs und Servicelevel
3. Priorisierungslisten
4. Wiederanlaufpläne

Integration im Unternehmen

Das BCMS muss für das Management von Ausfallrisiken im Betrieb mit weiteren Management-Systemen vernetzt sein.

• Risiko-Management: Meldung von Risiken und Maßnahmen an das Unternehmens-Risiko-Management, Austausch zu Methoden und Definitionen
• Asset-Management: Abgleich von Asset-Informationen der Assets in Scope der Anlage
• IT-Betrieb und IT-Sicherheit: Definition und Begleitung der Maßnahmen-Umsetzung im Betrieb; Austausch zu operativen Risiken und Bedrohungen
• ISMS: Behandlungsoption für Maßnahmen zur Ausfallsicherheit; gemeinsame Sicht auf IT-Assets und deren Risiken
• KRITIS-Organisation: Abgleich Geltungsbereich ISMS und Geltungsbereich KRITIS; Definition der IT-Systeme und Prozesse im Scope; Zusammenarbeit im Meldewesen

Literatur

1. Business Continuity Planning Suite, Ready.gov - DHS National Protection and Programs Directorate, März 2021
2. IT Disaster Recovery Plan, Ready.gov, Februar 2021
3. IT-Grundschutz-Baustein (200-1): DER.4: Notfallmanagement, Bundesamt für Sicherheit in der Informationstechnik, Februar 2021