ISMS in KRITIS und NIS2
Betreiber und Einrichtungen müssen nach KRITIS und NIS2 ihre Anlagen und Dienstleistungen im Unternehmen durch ein ISMS, einem Management-System für Informationssicherheit, schützen. Das ISMS verankert Verantwortung und Prozesse für das Management von Cybersecurity, um damit Risiken im Betrieb und in den erbrachten Dienstleistungen zu mindern.
NIS2 macht umfangreiche Vorgaben für das Sicherheitsmanagement bei regulierten Unternehmen. Die folgende Ausarbeitung führt ISMS-Kernkomponenten anhand der NIS2-Anforderungen für Einrichtungen, sowie der alten KRITIS-Anforderungen von RUN-KdA aus. Als Orientierung sind die Anforderungen der Durchführungsverordnung DVO (EU) aufgeführt.
| Bereich | Anforderung | NIS2 BSIG |
RUN KdA |
|---|---|---|---|
| Management-System | Wirksame Governance für Informationssicherheit | NS.1 NS.5 NS.37 |
1-3 (1,17,3,4) |
| Richtlinien | Normatives Regelwerk für Informationssicherheit | NS.5 | 2-4 (2,65-67) |
| Audits | Selbstüberprüfung des ISMS zur Überwachung und externe Audits für Compliance und Regulatorik |
NS.5 NS.18 NS.39 NS.40 NS.42 |
2-5 (85-89) |
Information Security Management
Management-System (ISMS)
Für die wirksame Behandlung von Cyberrisiken in KRITIS-Anlagen und in Einrichtungen (NIS2) ist ein Management-System für Informationssicherheit (ISMS) notwendig, das den Geltungsbereich abdeckt und dort notwendige Maßnahmen der Informations- und IT-Sicherheit steuert.
| Anforderung | NIS2 DVO‑EU |
ISO 27001 2022 |
RUN KdA |
|---|---|---|---|
| Managementsystem für Informationssicherheit | 1.1.1 7.1 |
4.1-10.2 | 1 (1) |
| Zuständigkeiten und Verantwortungen | 1.2.1 1.2.2 1.2.4 |
4.3 A.5.3 A.5.4 |
2/3 (3) |
| Funktionstrennung | 1.2.5 | A.5.3 | 2 (4) |
| Verantwortung Geschäftsleitung | (NS.37) | 5.1 A.5.31 |
2 (17) |
Rollen
Im ISMS haben verschiedene Rollen definierte Aufgaben im Geltungsbereich, u.a.:
- CISO, ISO, ISB: Leitung ISMS und Verantwortung für Vorgaben der Informationssicherheit
- IT-Leiter/CTO: Verantwortung für Umsetzung der Vorgaben und von Maßnahmen im IT/OT-Betrieb
- Fachbereiche: Umsetzung der ISMS-Vorgaben in Prozessen und Bereichen
- Asset-Verantwortliche: Schutz der eigenen Assets durch Umsetzung von Maßnahmen
- Geschäftsleitung: Unterstützung und Freigabe der ISMS-Ziele, Ressourcen
Verantwortlichkeiten
Die Verantwortungen der einzelnen Rollen für Informationssicherheit müssen verbindlich festgelegt werden — eindeutig (A
und R
) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung).
Mögliche Orte für die Festlegungen durch das ISMS sind:
- Rollenbeschreibungen
- RACI-Matrizen
- Prozessbeschreibungen
- Funktionsbeschreibungen
- Ernennungsurkunden
Prozesse
Mit Prozessen steuert das ISMS die Informationssicherheit in der IT der KRITIS-Anlagen, u.a.:
- ISMS-Steuerung: Betrieb des Management-Systems — Ausübung von Governance
- Risikoanalyse: Analyse der Informationssicherheit von Assets und der IT, Durchführung der Schutzbedarfsfeststellung (SBF), Feststellung von Risiken
- Risikobehandlung: Entscheidung und Auswahl von Optionen in der Risikobehandlung (RBH) — Definition von Maßnahmen für Informations- und IT-Sicherheit der Assets und IT
- Reporting: Meldewesen innerhalb des Betreibers zur KRITIS-Anlage zum Stand des ISMS
- ISMS-Überprüfung: Eigener Prozess zur Überprüfung im ISMS, siehe interne Audits
- ISMS-Verbesserung: Kontinuierliche Verbesserung im ISMS — PDCA-Zyklus
Standards
Die KRITIS-Regulierung schreibt keine verbindlichen Cyber Security Standards für Kritische Infrastrukturen vor, Betreiber können die Umsetzung frei entscheiden. Einige bekannte Standards zum Aufbau eines KRITIS-ISMS umfassen:
| Standard | Inhalt | Zertifikat | KRITIS-Prüfung |
|---|---|---|---|
| Management von Informationssicherheit | |||
| BSI KdA | Anforderungswerk für KRITIS-Vorgaben | ◉ | |
| NIS2 DVO (EU) | Anforderungen zur NIS2-Umsetzung | ⬚ | |
| ISO 27001 | Management-System für Informationssicherheit | ◉ | ⬚ |
| C5 | Anforderungswerk für Cloud-Security | ◉ | ⬚ |
| BSI IT-Grundschutz | Management-System für Informationssicherheit | ◉ | ⬚ |
Von der Wahlfreiheit gibt es Ausnahmen in bestimmten Branchen, die besonders reguliert sind und/oder einen Branchenstandard umsetzen müssen.
Nachweise
Artefakte als Nachweis für ein laufendes und funktionierendes Management-System sind u.a.:
- Protokolle
- Entscheidungen
- Risikoeinschätzungen
- Getroffene Maßnahmen
Richtlinien und Vorgaben
Die Sicherheitsziele des ISMS müssen in einer zentralen Leitlinie (Policy) zur Informationssicherheit verankert werden, mit den Zielen des Unternehmens, dem regulatorischen Rahmen und der Bedrohungslage. Basierend auf der Leitlinie dokumentiert das ISMS in seinen weiteren Richtlinien die Anforderungen an Informationssicherheit im Geltungsbereich.
| Anforderung | NIS2 DVO‑EU |
ISO 27001 2022 |
RUN KdA |
|---|---|---|---|
| Strategische Vorgaben und Verantwortung | 1.1.1 1.1.2 |
6.2 A.5.1 A.5.2 A.5.4 |
2 (2) |
| Festlegung notwendiger Kompetenzen (Betrieb und IT-Sicherheit) | - | A.5.1 A.5.2 |
2 (65) |
| Überprüfung und Freigabe von Richtlinien und Anweisungen | viele | A.5.1 | 4/2 (66) |
| Abweichungen von bestehenden Richtlinien und Anweisungen | - | A.5.1 | 3/4 (67) |
Rahmenwerk
Die normativen Vorgaben zur Informationssicherheit legt das ISMS in seinem Rahmenwerk fest — in strategischen Richtlinien und operativen Anweisungen (Policies und Procedures). Das Rahmenwerk muss im Geltungsbereich gültig sein und die relevanten Themen abdecken — und jährlich überprüft und durch die Leitung freigegeben werden.
Abweichungen
Ausnahmen von Vorgaben der Informationssicherheit und abweichende Umsetzungen müssen von autorisierten Gremien freigegeben und dokumentiert werden. Die Risiken dieser Ausnahmen vom Vorgabenwerk und Gründe für die Abweichungen müssen dokumentiert und regelmäßig überprüft werden.
Nachweise
Nachweise für effektive Vorgaben und Richtlinien im ISMS sind u.a.:
- Aktuelle Richtlinien
- Freigaben
- Revisionhistorien
- Änderungen
- Entscheidungen
Audits und Prüfungen
Das ISMS muss regelmäßig Audits im Geltungsbereich durchführen oder veranlassen, um die Compliance von Prozessen und IT und das Management mit Risiken zu überprüfen. Dies dient einerseits der Compliance mit ISMS-Vorgaben, Einhaltung regulatorischer Vorgaben aber auch kontinuierlichen Verbesserung und Weiterentwicklung des ISMS (KVP).
| Anforderung | NIS2 DVO‑EU |
ISO 27001 2022 |
RUN KdA |
|---|---|---|---|
| Compliance und Informieren der Unternehmensleitung | 2.2.1 2.2.2 2.3.3 |
A.5.31 A.5.36 |
2 (85) |
| Interne Überprüfungen der Compliance von IT-Prozessen | 7.1 7.2 7.3 2.3.1 2.3.4 |
9.2 A.5.36 A.8.34 |
4/5 (86) |
| Interne IT- Prüfungen | 2.3.1 | A.5.36 A.8.34 |
4/5/3 (87) |
| Planung externer Audits | 2.3.1 | 9.2 A.5.35 A.5.36 A.8.34 |
3 (88) |
| Durchführung externer Audits | 2.3.2 (NS.39) |
A.5.36 A.8.34 |
4/5 (89) |
| Behördliche Audits, Nachfragen | 2.3.3 (NS.40) NS.42 |
A.5.5 A.5.31 A.5.28 A.5.37 |
Arten von Audits
Informationssicherheit kann durch das ISMS mit Audits überprüft werden — und sollte zu effektiven Verbesserungen führen.
- Compliance-Prüfungen: Überprüfung der Richtlinien-Konformität von IT-Prozessen
- Schwachstellen-Scans: Technische Scans und Tests der IT-Systeme auf Schwachstellen
- IT-Prüfungen: Überprüfung der Richtlinien-Konformität der IT-Systeme
- Externe Audits: Unabhängige Überprüfung von Prozessen der Systemen durch Dritte
Nachweise
Nachweise für funktionierende interne Audits zur Verbesserung des ISMS sind u.a.:
- Prüfberichte
- Prüfpläne
- Festgelegte Maßnahmen
- Durchgeführte Maßnahmen
Integration im Unternehmen
Das ISMS muss für eine nachhaltige Verbesserung der Informationssicherheit im Betrieb mit weiteren Management-Systemen beim regulierten Unternehmen vernetzt sein.
- Personalsicherheit: Vorgaben für HR-Security und Kontrollen in Personalprozessen.
- Lieferanten und Sicherheit: Vorgaben für Sicherheit bei Lieferanten, Dienstleistern und im Einkauf
- Risiko-Management: Meldung von Risiken und Maßnahmen an das Unternehmens-Risiko-Management, Abgleich von Methoden und Definitionen
- Asset-Management: Abgleich von Asset-Informationen der Assets in Scope der Anlage
- BCM: Austausch von Risiken und Maßnahmen, gemeinsame Risikobehandlung und Pläne
- IT-Betrieb und IT-Sicherheit: Definition und Begleitung der Maßnahmen-Umsetzung im Betrieb; Austausch zu operativen Risiken und Bedrohungen
- IT-Notfallmanagement: Behandlungsoption für Maßnahmen zur Ausfallsicherheit; gemeinsame Sicht auf IT-Assets und deren Risiken
- Stabsstelle: Abgleich Geltungsbereich ISMS und Geltungsbereich KRITIS; Definition der IT-Systeme und Prozesse im Scope; Zusammenarbeit im Meldewesen
Weitere Informationen
Literatur
- KRITIS-FAQ: Nutzung eines bestehenden ISO 27001-Zertifikats als Bestandteil eines Nachweises gemäß § 8a Absatz 3 BSIG, Bundesamt für Sicherheit in der Informationstechnik, o.D.
- IT-Grundschutz-Baustein (200-1): ISMS.1: Sicherheitsmanagement, Bundesamt für Sicherheit in der Informationstechnik, Februar 2023
- Framework for Improving Critical Infrastructure Cybersecurity, NIST - National Institute of Standards and Technology, Version 1.1, April 2018
Quellen
- Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und die Sicherheit in der Informationstechnik von Einrichtungen, BSI-Gesetz vom 2. Dezember 2025
- Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
- Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements