Technische Sicherheit

Backup und Redundanzen

Einrichtungen müssen einen geregelten Umgang mit Backups (Sicherungen) von kritischen Systemen und deren Daten umsetzen, und parallel kritische Systeme und Infrastrukturen risikoorientiert redundant auslegen. Backups und deren Wiederherstellungen müssen unbedingt getestet werden und dazu ausreichende Ressourcen bereitgestellt werden – ebenso für Redundanzen.

Sicherung und Wiederherstellung

Datensicherungen (Backups) und Wiederherstellung (Recovery) müssen basierend auf einem Backupkonzept und risikoorientierten Anforderungen regelmäßig geplant und durchgeführt werden. Backups müssen auf Plänen basieren, die wiederum auf BCM-Anforderungen (RTO/RPO) und Risikoeinschätzungen basieren.

Backups (und Redundanzen) müssen regelmäßig überwacht und getestet werden. Ebenso muss unbedingt die Wiederherstellung gesicherter Daten regelmäßig geübt und überprüft werden (DR-Tests).

Redundanzen

Für bestimmte Teile der Infrastruktur müssen regulierte Einrichtungen mindestens partielle Redundanz vorsehen. Abhängig von der eigenen Risikoanalyse und BCM-Vorkehrungen müssen (partielle) Redundanzen mindestens für folgende Infrastrukturen evaluiert werden:

• Netz- und Informationssysteme (NIS)
• Anlagen, Räumlichkeiten und Equipment
• Entsprechendes Personal
• Kommunikationskanäle

Nachweise

Nachweise für effektives Backup und Redundanzen sind u.a.:

1. Backup-Konzept
2. Analyse Redunanzen
3. Redundante IT
4. Testpläne
5. Testprotokolle

Sichere Entwicklung

Entwicklung von Software, Code, Diensten und Systemen muss geregelten Vorgaben und Sicherheitsanforderungen unterliegen und mit organisierten Prozessen durchgeführt werden – inhouse aber auch bei ausgelagerter oder eingekaufter Entwicklung. Dies betrifft notwendige Prozesse, Vorgaben aber auch Umgebungen und Infrastruktur.

Beschaffung

Vorgaben und Anforderungen für die Beschaffung von IT- und OT-Systemen und Anwendungen müssen (risikoorientiert) definiert und in Beschaffungsprozessen beachtet werden. Sicherheitsanforderungen an Entwicklung (Secure Coding) muss auch in Beschaffungs- und Entwicklungsprojekten beachtet und vertraglich festgehalten werden.

Zertifizierte Dienstleister und Hersteller (z.B. nach ISO 27001) und Produkte (z.B. nach IEC 62443 für industrielle Systeme, aber auch EU CRA) sind dabei hilfreich. Detaillierte Vorgaben zu Einkauf und Lieferanten in NIS2 in Supply Chain Security.

Entwicklung

Für die sichere Entwicklung von Software, Anwendungen und Systemen muss ein geregelter Entwicklungsprozess samt Sicherheitsanforerungen definiert werden, Secure Development Life Cycle (SDLC). Der Prozess muss aktuelle Sicherheitsanforderungen basierend auf dem eigenen Risikoprofil berücksichtigen und entsprechend mit dem ISMS verzahnt sein.

Auslagerung

Auch bei ausgelagerter Entwicklung sind Risiken und Sicherheit im Entwicklungsprozess zu beachten – und vertraglich in Ausschreibungen und Leistungsvereinbarungen festzuhalten und zu überprüfen. Auch ausgelagerte Entwicklung und Software Engineering (und auch Vibe Coding) ist eigene Entwicklung, die Sicherheitsvorgaben folgen sollte.

Projekte

Informationssicherheit muss nicht nur im Betrieb und in Entwicklungen, sondern auch in Projekten eingehalten werden. Dies umfasst viele Aspekte im Umgang mit IT, OT, Kommunikationstechnik aber auch Datenaustausch und Umgang mit Informationen in Projekten.

Nachweise

Nachweise für effektive Entwicklung sind u.a.:

1. Entwickungs-Policy
2. Code-Regeln
3. Härtungsvorgaben
4. Dokumentierter SDLC
5. Security-Gates

Sichere Wartung

Wartungsprozesse von eingesetzter IT und OT müssen sicheren Vorgaben und Anforderungen folgen. Dies umfasst insbesondere sicherer Konfigurationen, Änderungsmanagement und Umgang mit Tests und Freigaben für den Betrieb und geregelte Notfallsituationen.

Konfigurationen

Einrichtungen müssen für die eingesetzten Technologien geregeltes Konfigurationsmanagement und sichere Konfigurationen vorhalten und umsetzen. Konfigurationsvorgaben für Systeme und Dienste müssen Sicherheitsaspekte beachten. Prozesse im Betrieb müssen sicherstellen, dass die sicheren Konfigurationen auch umgesetzt und Abweichungen freigegeben und dokumentiert werden.

Änderungen

Ein umfangreiches Change Management muss Konfigurationen und Betriebsparameter der eingesetzten IT- und OT-Systeme sowie entwickelte und genutzte Software umfassen. Es muss geordnete Prozesse für das Erstellen, Testen, Freigeben und Einspielen (Rollout) von Änderungen geben, inklusive Vorkehrungen für Behebungen und Notfälle.

Ressourcen

Für den Betrieb und die notwendigen Steuerungs- und Sicherheitsprozesse müssen angemessene Ressourcen vorhanden sein – personell aber auch technologisch.

Nachweise

Nachweise für die effektive Wartung von IT und OT sind u.a.:

1. Wartungsvorgaben
2. Härtungskonzept
3. Change-Prozess
4. Konfigurations-Templates

Schwachstellen

Mit regelmäßigen Sicherheitstests (Penetrationstests) können KRITIS-Betreiber Angriffe auf die KRITIS-Anlagen simulieren, um Schwachstellen in der IT und OT aufzudecken und die Reaktion der Organisation auf Vorfälle zu überprüfen. Penetrationstest können zur Awareness im Unternehmen beitragen und neben technischen Schwachstellen systematische Lücken aufdecken.

Schwachstellen

Der Umgang mit kritischen Schwachstellen in Systemen und Prozessen muss Vorgaben aus dem ISMS folgen: Schwachstellen, die durch die Prozesse der Angriffserkennung in Protokollen, Scans oder Tests erkannt werden, aber auch automatisierte Scans durch das Schwachstellen-Management.

Tests

Regelmäßige Sicherheitstests wie Penetrationstests, Red Teaming aber auch Scans helfen, Lücken zu finden und Detektions- und Präventionsmaßnahmen zu überprüfen. Wichtig ist eine Verzahnung mit dem ISMS und geregeltes Auditmanagement zur Planung und Nachverfolgung der Tests und Audits.

Malware und Patches

Eingesetzte Systeme sollten, wo technisch möglich, mit Schutzmechanismen und Software gegen Schadcode (Malware) versehen werden. Regelmäßige Scans auf Systemen (und im Netzwerk) helfen, Schadsoftware zu erkennen, die dann entfernt und gefährdete Software gepatcht werden muss.

Nachweise

Artefakte vom effektiven Umgang mit Schwachstellen und Tests sind u.a.:

1. Testberichte
2. Jahresplanung von Tests
3. Geschlossene Schwachstellen
4. Gepatchte Systeme

Logging und Monitoring

Um Vorfälle und Cyber-Angriffe zu erkennen, müssen Ereignisse (Events) in Systemen und Verbindungen protokolliert, zentral korreliert und ausgewertet werden. Basierend auf den Informationen aus Log-Dateien von Systemen und SIEM-Lösungen (Indikatoren) kann die Organisation für Sicherheitsvorfälle mit ihren Prozessen tätig werden.

Logs und Assets

In den wichtigen Systemen und Netzen (kritische Assets) der Einrichtung müssen sicherheits­relevante Ereignisse protokolliert und zentral (geschützt) aufbewahrt werden. Die Ereignisse umfassen in der Regel mindestens alle Vorgänge zu Nutzern, Berechtigungen und Anmeldungen in Systemen und speziell die Aktivitäten von Administratoren oder anderen privilegierten Benutzern.

Logs müssen kontinuierlich und automatisiert ausgewertet werden.

SIEM

Mit einem SIEM, Security Information and Event Management, können Angriffsmuster im Internet- und Netzwerkverkehr erkannt und klassifiziert werden. Entsprechende SIEM-Systeme können mit Use Cases und Agenten aufkommenden Verkehr und Interaktionen auf mögliche Angriffe untersuchen – und die Logdateien angeschlossener Systeme und Dienste dazu einbeziehen.

Scope

Der Scope der wichtigen Systeme sollte regelmäßig überprüft und angepasst werden – neue und veränderte Systeme müssen mit Inbetriebnahme an das Logging und Monitoring, oder das SIEM, angeschlossen (ongeboarded) werden. Dazu müssen die Logs der Systeme und Dienste in Scope kontinuierlich erfasst und ausgewertet werden.

Incidents

An ein SIEM schliesst sich meist Incident Management als Prozess oder SOC-Organisaton an, um auf die detektierten Ereignisse und Vorfälle reagieren (und melden) zu können.

Angriffserkennung

Für Betreiber kritischer Anlagen (KRITIS) ist Angriffserkennung nach der BSI-Vorgaben OH-SzA bzw. RUN verbindlich.

Nachweise

Nachweise für die effektive Auswertungen von Logs und Vorfällen sind u.a.:

1. Zentrale Log-Auszüge
2. Assets im SIEM
3. Ausgewertete Ereignisse
4. Indikatoren

Netzwerksicherheit

Für die Netzwerkinfrastruktur der regulierten Einrichtung müssen umfangreiche Schutzmechanismen im Netz und an den Netzwerkgrenzen umgesetzt werden – um Angriffe im und auf das Netzwerk erkennen und abwehren zu können.

Netze

Netze und Bereiche müssen basierend auf ihren Risiken und enthaltenen Systemen/Daten eingeteilt und segregiert werden, üblicherweise in Zonen. Netze und Netzbereiche müssen dann mit umfangreichen Schutzmaßnahmen gesichert werden – für Zugriffe, erlaubten Verkehr (Filter, Schutzsysteme), erlaubte Protokolle und Dienste.

Einrichtungen sollten im Rahmen der Netzwerksicherheit Vorkehrungen für netzbasierte Dienste treffen und entsprechende Sicherheitsanforderungen festlegen, für E-Mail, Namensauflösung (DNS), Routing und Netzwerkprotokolle.

Übergänge

Die Übergänge zwischen Netzen und unterschiedlichen Schutzniveaus müssen reglementiert, beschränkt und überwacht werden — mit Systemen wie Paketfiltern und netzseitigen Schutzmaßnahmen zur Verkehrssteuerung und Kontrolle. Dies umfasst auf Proxies und Web- und Anwendungsfilter für passierenden Netzwerkverkehr ein.

Nachweise

Nachweise für effektive Netzsicherheit sind u.a.:

1. Netzdokumentation
2. Topologie
3. Zonen
4. Firewall-Konzept
5. Filter-Regeln
6. Netzarchitektur

Kryptographie

Der Umgang mit Kryptographie und kryptographischen Verfahren wie Verschlüsselung und Schlüsselmanagement muss nach Sicherheitsvorgaben mit geordneten Prozessen organisiert werden. Damit muss sichergestellt werden, dass bestimmte Daten und Verkehrsflüssen angemessen kryptographisch geschütz werden – im Transit und in der Speicherung.

Nachweise

Nachweise für den effektiven Umgang mit Verschlüsselung sind u.a.:

1. Krypto-Policy
2. Vorgaben für Chiffren
3. Prozesse für CA
4. Schlüsselverteilung

Sichere Kommunikation

NIS2 fordert für die Kommunikation im Unternehmen und in Notfällen bestimmte, gesonderte Verfahren und Sicherheitsvorkehrungen. Explizit geregelt werden müssen die Sicherung von Sprach-, Video- und Textkommunikation sowie Notfallkommunikationssysteme. Technologien zur Kommunikation müssen Sicherheitsanforderungen genügen und für Notfälle müsse z.B. gesonderte, separierte Verfahren genutzt werden.

Nachweise

Nachweise für effektive Vorkehrungen in der Kommunikation sind u.a.:

1. Alternative Kommunikationskanäle
2. Sichere Telefone
3. Krisenkommunikation

Integration im Unternehmen

Die technische Sicherheit muss zur Behebung mit weiteren Organisationen vernetzt sein.

• ISMS: Abgleich zu Sicherheitsvorgaben und Kontrollen
• Angriffserkennung: Austausch mit dem SOC und CSIRT zu Schutzmaßnahmen
• Betrieb: Umsetzung der Sicherheitsmaßnahmen

Literatur

1. Managing Information Security Risk: Organization, Mission, and Information System View, NIST SP 800-39, März 2011

Quellen

1. Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020
2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und die Sicherheit in der Informationstechnik von Einrichtungen, BSI-Gesetz vom 2. Dezember 2025
3. Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
4. Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
5. ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements