Sicherheitsstandards

BSI-Konkretisierung KRITIS

Der BSI KRITIS-Standard Konkretisierung der Anforderungen an die gemäß §8a Absatz 1 BSIG umzusetzenden Maßnahmen (PDF) definiert Sicherheits­anforderungen an Betreiber Kritischer Infrastrukturen, basierend auf dem Cloud-Sicherheits­standard C5:2016.

Die insgesamt 100 Kontrollen sind ein Anforderungs­katalog, um Betreibern und Prüfern geeignete Kriterien für die Nachweis­erbringung zur Verfügung zu stellen. Dieser Katalog ist nicht verbindlich und auch kein (normativer) Standard, kann aber eine Orientierung für den Aufbau von Sicherheits­management in KRITIS sein, der Prüfern und dem BSI bekannt ist.

Es gibt ein Mapping der BSI KRITIS-Anforderungen auf ISO 27001, C5 und NIST; die Kontrollen der BSI-Konkretisierung lassen sich in folgende Gruppen zusammenfassen:

Neben den Anforderungen der BSI-Konkretisierung ist ab 2023 auch die Orientierungshilfe für Angriffserkennung (OH SzA) für KRITIS-Betreiber in der Umsetzung (und Prüfung) quasi-verbindlich als Erweiterung der BSI-Vorgaben, die umgesetzt werden müssen.

IDW PH 9.860.2

Der Prüfhinweis PH 9.860.2 für Kritische Infrastrukturen ist kein Sicherheits­standard per se, sondern richtet sich an Prüfungs­gesellschaften für die Durchführung von KRITIS-Prüfungen. Analog zum BSI-Dokument Konkretisierung der Anforderungen basiert der PH 9.860.2 auf C5:2016, abgewandelt für Kritische Infrastrukturen.

Der Schwerpunkt vom IDW PH 9.860.2 ist der kontroll-basierte Nachweis von KRITIS-Anforderungen, der Standard beschreibt daher ein prüfbares Kontroll-Rahmenwerk das Betreiber (in der Vorbereitung) und Prüfer für KRITIS nutzen können.

Anpassungen am IDW Prüfhinweis für C5:2020 und weitere Änderungen wie die OH SzA sind (wohl) in Arbeit.

NIST Critical Infrastructure Cybersecurity

Das NIST Cybersecurity Framework CSF (PDF) ist ein US-amerikanisches Rahmenwerk für Betreiber Kritischer Infrastrukturen. NIST CSF ist ein modular aufgebautes System und ermöglicht Organisationen unterschiedlicher Reifegrade, ihre Cyber Security aufzubauen zu verbessern. Die NIST-Methodik besteht aus drei flexiblen Komponenten:

• Framework Core: Die fünf NIST-Kernfunktionen Identify (ID), Protect (PR), Detect (DE), Respond (RS), Recover (RC) mit einzelnen Sicherheits­anforderungen für das Business
• Implementation Tiers: Definiert zur Implementierung von NIST in vier Reifegraden (Tiers) den Kontext und die Vorgehensweise der Organisation
• Framework Profile: Beschreibt ein risiko­orientiertes Vorgehen mit Ist- und Zielprofilen, das Organisationen zur Selbst­einschätzung und Zieldefinition nutzen sollen

Das aktuelle NIST Cybersecurity Framework 1.1 enthält 108 Subkategorien für IT-Sicherheit in den fünf NIST Kernfunktionen. NIST CSF kann dabei durch andere Standards konkretisiert oder ergänzt werden — die Subkategorien sind nicht sehr preskriptiv.

Es gibt ein Mapping von NIST CSF auf BSI KRITIS, sowie ISO 27001, C5:2016/2020 und mehr.

ISO 27001 und 27002

Der (zertifizierbare) Managementsystem-Standard ISO/IEC 27001:2022 und die zugehörigen Best Practices aus ISO/IEC 27002:2022 wurden mit der letzten vollständigen Revision in 2022 in vier Bereiche und 93 Kontrollen umstrukturiert und inhaltlich vollständig überarbeitet.

Für Technologien wie Cloud, Telekommunikation und Energie gibt es Erweiterungen der ISO 27001 Kontrollen, in Form der ISO 2701X Standards. Die Codes of practices wie ISO 27011, ISO 27017 und ISO 27019 können nicht eigenständig zertifiziert werden, erlauben Betreibern jedoch eine passende(re) Auswahl an Sicherheits­kontrollen.

Zum ISMS-Abgleich gibt es ein KRITIS-Mapping für ISO 27002:2022 und ISO 27001:2013, auch mit C5, NIS und TKG.

C5 Cloudsecurity

C5 ist ein Standard für Informations­sicherheit in Cloud Computing, herausgegeben vom BSI. Obwohl formell auf Cloud-Anbieter fokussiert, wird C5 in der Industrie häufig als genereller Sicherheits­standard eingesetzt — auch bei KRITIS-Betreibern. Sowohl die Konkretisierung der Anforderungen des BSI als auch der IDW KRITIS Prüfhinweis 9.860.2 nutzen C5-Kontrollen.

Der C5-Standard enthält vor allem Sicherheits­anforderungen in einer großen Bandbreite an Einzelthemen — definiert in 127 Kontrollen in der aktuellen Version C5:2020.

Die BSI KRITIS-Anforderungen nutzen aktuell noch C5:2016, die aktuellen C5:2020 Kontrollen sind im Mapping KRITIS auf C5 aufgeführt, das auch ISO 27001, NIST CSF und TKG enthält.

BSI IT-Grundschutz

IT-Grundschutz ist ein nationaler allgemeiner Standard für Informations­sicherheit, der seit 1994 vom BSI herausgegeben wird. Entstanden im Behördenumfeld, wird der IT-Grundschutz seit jeher vor allem von öffentlichen Aufgabenträgern eingesetzt, für die das methodisch sehr stringente Vorgehen teilweise verpflichtend ist. Der Standard besteht aus mehreren Teilen:

• BSI-Standard 200-1: Management-System für Informationssicherheit (ISMS)
• BSI-Standard 200-2: Methodik zum Aufbau des ISMS und Anwendung von Grundschutz
• BSI-Standard 200-3: Risikomanagement und Analyse-Vorgehen
• BSI-Standard 200-4 (Draft): Management-System für Business Continuity (BCM)
• Grundschutz-Bausteine: Die Bausteine definieren die Sicherheits­anforderungen in einzelnen Themengebieten, Umgebungen und Sicherheits­niveaus. Nicht alle Bausteine sind verpflichtend.
• Grundschutz-Kompendium: Das Kompendium, vormals die Kataloge (mit ca. 3000 Seiten), enthält die Grundschutz-Bausteine, Gefährdungen und Struktur zum Vorgehen.
• Elementargefährdungen: 47 zusammengefasste elementare Gefährdungen für die Risikoanalyse.

Eine Zertifizierung nach BSI IT-Grundschutz kann wie ISO 27001 im Rahmen des Nachweis­prozesses der KRITIS-Prüfungen einige Schritte erleichtern. Es gibt weiterhin Bestrebungen, mit der Methodik vom IT-Grundschutz Gerüste für den Geltungsbereich und branchen­spezifische Referenz­architekturen von Anlagen zu entwickeln (Profile bzw. Bausteine) .

Die allgemeinen BSI IT-Grundschutz Bausteine decken sehr viele Themen ab mit jeweils noch viele Einzel- und Unter­anforderungen. Sie sind aktuell (2022) wie folgt aufgeteilt:

Literatur

1. Referenzierung des Kriterienkatalog Cloud Computing C5:2020 auf internationale Standards, Kreuzreferenztabelle C5, Bundesamt für Sicherheit in der Informationstechnik, o.D.
2. NIST Critical Infrastructure Resources, National Institute of Standards and Technology
3. Benefits of an Updated Mapping between the NIST Cybersecurity Framework and the NERC Critical Infrastructure Protection Standards, National Institute of Standards and Technology, September 2021
4. Nutzung eines bestehenden ISO 27001-Zertifikats als Bestandteil eines Nachweises gemäß §8a Absatz 3 BSIG, FAQ, Bundesamt für Sicherheit in der Informationstechnik
5. Broschüre Informations­sicherheit mit System - Der IT-Grundschutz des BSI", Bundesamt für Sicherheit in der Informationstechnik, 2021
6. NIST Cybersecurity Framework, Webseite, NIST - National Institute of Standards and Technology