Stabsstelle NIS2 und KRITIS

Kontakt mit Behörden

Der Informationsaustausch mit relevanten Behörden und die Meldepflichten für Kritische Infrastrukturen sollten bei KRITIS-Betreibern zentral gesteuert werden — die KRITIS-Organisation kann dies als einheitliche Meldestelle im Unternehmen koordinieren.

Kontaktstelle

Die zentrale KRITIS-Organisation kann die jederzeit erreichbare Kontaktstelle für Kritische Infrastrukturen beim Betreiber nach §8b Abs. 3 BSIG realisieren und beim BSI registrieren. Sie nimmt dann Meldungen und Informationen von beiden Seiten an (Betrieb und BSI).

Meldepflichten

KRITIS-Betreiber müssen Störungen an Prozessen, Komponenten und IT der registrierten Anlagen an das BSI melden. Die zentrale KRITIS-Organisation kann diese Meldungen als zentrale Meldestelle annehmen, aufbereiten und an das BSI verschicken. Dabei ist sie auf Informationen der Cyber Security Angriffserkennung beim Betreiber angewiesen.

Informationsaustausch

Für Informationen zu aktuellen Bedrohungslage müssen Betreiber Kontakte zu relevanten Aufsichtsbehörden und staatlichen Stellen etablieren. Dazu sollte die zentrale KRITIS-Organisation Prozesse definieren, wie Informationen erhalten, ausgetauscht und innerhalb des Betreibers weitergeleitet werden — z.B. zu Schwachstellen und Angriffen.

Nachweise

Artefakte als Nachweis für ein funktionierendes Meldewesen sind u.a.:

1. Registrierungsformular
2. Gemeldete Vorfälle
3. Teilnahme an Terminen
4. Quittierungen

Koordinierung KRITIS und NIS2

Für die Sicherheit der eigenen KRITIS-Anlagen und Umsetzung angemessener Cyber Security Maßnahmen ist die Geschäftsführung der KRITIS-Betreiber verantwortlich. Die Registrierung der KRITIS-Anlagen, die Definition vom Geltungsbereich und Auswahl konkreter Maßnahmen kann durch die KRITIS-Organisation zentral mit dem ISMS koordiniert werden.

Einrichtungen

Regulierte NIS2-Einrichtungen müssen sich selbst identifizieren und beim BSI als wichtige oder besonders wichtige Einrichtung registrieren.

Der Geltungsbereich der regulierten Einrichtung erstreckt sich in der Regel auf die gesamte Einrichtung (Legaleinheit), was im Unternehmen durch die zentrale NIS2-Stabsstelle gesteuert und definiert werden sollte (Dienstleistungen, Prozesse, IT/OT).

Kritische Anlagen

Betreiben Einrichtungen zusätzlich kritische Anlagen (KRITIS), müssen sie diese im eigenen Betrieb identifizieren und sich selbst als Betreiber kritischer Anlagen beim BSI registrieren. Die NIS2-Stabsstelle kann die Identifizierung als Kritische Infrastruktur und Registrierung beim BSI zentral koordinieren.

Betreiber müssen dann den Geltungsbereich der Anlagen im eigenen Unternehmen definieren. Die NIS2-Stabsstelle sollte die Definition des Geltungsbereichs der Anlagen koordinineren — auf die zwingend notwendigen Prozesse und IT/OT für die Versorgungssicherheit begrenzt. Der Aufwand der Vorsorgemaßnahmen und Prüfungen hängt direkt von dieser Definition ab.

Vorgaben

Die NIS2-Stabsstelle kann die spezifischen Anforderungen von NIS2 und KRITIS im Betrieb in einer übergreifenden NIS2-Policy für den Geltungsbereich zentral definieren. Diese Policy fasst als NIS2-Vorgabewerk die wichtigsten Pflichten und Kontrollen der Kritischen Infrastrukturen im Rahmen des ISMS zusammen.

Cybersecurity

Betreiber und Einrichtungen müssen geeignete technische und organisatorische Maßnahmen in ihrem Geltungsbereich wirksam umsetzen. Eine zentrale Stabsstelle kann den Zielzustand im regulierten Bereich maßgeblich mitgestalten, im Einklang mit Geschäftsführung und Strategie.

Die zentrale Stabsstelle kann die Strategie in den Anlagen und Einrichtungen langfristig steuern — und die Ressourcen beim Aufbau mit Bedacht planen, anstatt reaktiv nach Vorfällen oder Prüfungen handeln zu müssen. Dabei helfen: ein risiko­orientiertes Cybersecurity Programm, langfristiges Prüfprogramm und strategischer Umgang mit der eigenen Organisation und dem technologischen Wandel.

Nachweise

Artefakte für angemessene Cyber Security Vorbereitungen sind u.a.:

1. Commitment der GF
2. Cyber Security Pläne
3. Mängellisten
4. Ergebnisse der Prüfungen

Steuerung von Nachweisen

Die Umsetzung der Cybersecurity-Maßnahmen im Geltungsbereich durch Einrichtungen nachweissicher dokumentiert werden. Betreiber kritischer Anlagen (KRITIS) müssen die Angemessenheit und Wirksamkeit zusätzlich alle drei Jahre durch Nachweisprüfungen nachweisen.

Die NIS2-Stabsstelle kann die zentralen Nachweisprozesse und Nachweisprüfungen zentral steuern und langfristig durch ein strategisches Prüfprogramm organisieren. Die Nachweise aus den Prüfungen, Fragen im Vorfeld oder Klärungen und Rückfragen danach sollten ebenfalls zentral durch Stabsstelle gesteuert werden.

Nachweise

Nachweise für eine effektive Steuerung der Prüfungen sind u.a.:

1. Fristgerechte Prüfungen
2. Vollständige Unterlagen
3. Rückfragen vom BSI

Integration im Unternehmen

Die KRITIS-Organisation muss zur Behebung mit weiteren Organisationen vernetzt sein.

• ISMS: Abgleich zu KRITIS-Anlagen und Geltungsbereich von Assets und IT; Austausch und gemeinsame Definition vom Cyber Security Niveau und Maßnahmen in KRITIS-Anlagen
• Angriffserkennung: Erhalt von Informationen zu meldepflichten Störungen
• BCM: Austausch zu Identifikation und Geltungsbereich von KRITIS-Anlagen

Literatur

1. Supply Chain Risk Management Practices for Federal Information Systems and Organizations, NIST SP 800-161, April 2015 (und Draft for Comments 2020)
2. Managing Information Security Risk: Organization, Mission, and Information System View, NIST SP 800-39, März 2011

Quellen

1. Entwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme vom 25.01.2021 (IT-Sicherheitsgesetz 2.0), Gesetzentwurf der Bundesregierung, Drucksache 19/26106
2. Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung - BSI-KritisV), vom 22. April 2016 (BGBl. I S. 958), die durch Artikel 1 der Verordnung vom 21. Juni 2017 (BGBl. I S. 1903) geändert worden ist
3. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 73 der Verordnung vom 19. Juni 2020 (BGBl. I S. 1328) geändert worden ist