Leitung NIS2 und KRITIS

Governance

Die regulatorischen Anforderungen als Einrichtung und Betreiber sind umfangreich geworden – Cybersecurity und Resilienz nach NIS2 und KRITIS-Dachgesetz. Verantwortliche für Cybersecurity und Verantwortliche für Resilienz sind zur fachlichen Steuerung der Managementsysteme ISMS und BCMS unerläßlich. Die Regulatorik und behördliche Pflichten müssen ebenso koordiniert werden.

Rollen

Das Risiko-Management benötigt definierte Rollen und Verantwortungen:

• CISO: Oberste fachliche Leitung von Cybersecurity und ISMS als Chief Information Security Officer oder Informationssicherheitsbeauftragte
• BCM-Beauftragter: Oberste fachliche Leitung von Resilienz und BCMS
• BISOs: Steuerung und Unterstützung der Managementsysteme in den Fachbereichen als Business Information Security Officer
• Stabsstelle: Eine koordinierende Stabsfunktion für Regulierung von Cybersecurity und Resilienz, BSIG-NIS2 und KRITIS-Dachgesetz, kann viele regulatorische Abläufe übernehmen

Nachweise

Artefakte als Nachweis für ein funktionierendes Steuerungsmodell sind u.a.:

1. Ernennungsurkunden
2. Ermächtigungen
3. Teilnahme an Leitungskreisen
4. Zielvereinbarungen

Registrierung

Der Informationsaustausch mit relevanten Behörden und die Meldepflichten für Kritische Infrastrukturen sollten zentral gesteuert werden — die Stabsstelle kann dies als einheitliche Meldestelle im Unternehmen koordinieren.

Einrichtungen

Regulierte NIS2-Einrichtungen müssen sich selbst identifizieren und beim BSI als wichtige oder besonders wichtige Einrichtung registrieren.

Der Geltungsbereich der regulierten Einrichtung erstreckt sich in der Regel auf die gesamte Einrichtung (Legaleinheit), was im Unternehmen durch die zentrale NIS2-Stabsstelle gesteuert und definiert werden sollte (Dienstleistungen, Prozesse, IT/OT).

Kritische Anlagen

Betreiben Einrichtungen zusätzlich kritische Anlagen (KRITIS), müssen sie diese im eigenen Betrieb identifizieren und sich selbst als Betreiber kritischer Anlagen beim BSI registrieren. Die NIS2-Stabsstelle kann die Identifizierung als Kritische Infrastruktur und Registrierung beim BSI zentral koordinieren.

Betreiber müssen dann den Geltungsbereich der Anlagen im eigenen Unternehmen definieren. Die NIS2-Stabsstelle sollte die Definition des Geltungsbereichs der Anlagen koordinineren — auf die zwingend notwendigen Prozesse und IT/OT für die Versorgungssicherheit begrenzt. Der Aufwand der Vorsorgemaßnahmen und Prüfungen hängt direkt von dieser Definition ab.

Nachweise

Artefakte als Nachweis für ein funktionierendes Meldewesen sind u.a.:

1. Registrierungsformular
2. Gemeldete Vorfälle
3. Teilnahme an Terminen
4. Quittierungen

Kontakte zu Behörden

Der Informationsaustausch mit relevanten Behörden und die Meldepflichten für Kritische Infrastrukturen sollten zentral gesteuert werden — die Stabsstelle kann dies als einheitliche Meldestelle im Unternehmen koordinieren.

Kontaktstelle

Die Stabsstelle kann die jederzeit erreichbare Kontaktstelle für Kritische Infrastrukturen beim Betreiber nach §8 KRITIS-Dachgesetz koordinieren (Rufbereitschaft!) und beim BSI registrieren.

Meldepflichten

Einrichtungen und Betreiber müssen Störungen an Prozessen, Komponenten und Dienstleistungen an Behörden melden. Die zentrale Stabsstelle kann diese Meldungen als zentrale Meldestelle annehmen, aufbereiten und an die Behörden verschicken. Dabei ist sie auf Informationen der Angriffserkennung und Sicherheitsfunktionen und Fachbereiche angewiesen.

Informationsaustausch

Für Informationen zu aktuellen Bedrohungslage müssen Betreiber Kontakte zu relevanten Aufsichtsbehörden und staatlichen Stellen etablieren. Dazu sollte die zentrale KRITIS-Organisation Prozesse definieren, wie Informationen erhalten, ausgetauscht und innerhalb des Betreibers weitergeleitet werden — z.B. zu Schwachstellen und Angriffen.

Nachweise

Artefakte als Nachweis für ein funktionierendes Meldewesen sind u.a.:

1. Registrierungsformular
2. Gemeldete Vorfälle
3. Teilnahme an Terminen
4. Quittierungen

Strategie KRITIS und NIS2

Für die Sicherheit der eigenen KRITIS-Anlagen und Umsetzung angemessener Cyber Security Maßnahmen ist die Geschäftsführung der KRITIS-Betreiber verantwortlich. Die Registrierung der KRITIS-Anlagen, die Definition vom Geltungsbereich und Auswahl konkreter Maßnahmen kann durch die KRITIS-Organisation zentral mit dem ISMS koordiniert werden.

Vorgaben

Die NIS2-Stabsstelle kann die spezifischen Anforderungen von NIS2 und KRITIS im Betrieb in einer übergreifenden NIS2-Policy für den Geltungsbereich zentral definieren. Diese Policy fasst als NIS2-Vorgabewerk die wichtigsten Pflichten und Kontrollen der Kritischen Infrastrukturen im Rahmen des ISMS zusammen.

Cybersecurity

Einrichtungen müssen nach NIS2 (BSIG) geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen in ihrem umsetzen. Eine zentrale Stabsstelle kann den Zielzustand im regulierten Bereich maßgeblich mitgestalten, im Einklang mit Geschäftsführung und Strategie.

Resilienz

Betreiber müssen wirksame Resilienzmaßnahmen im Geltungsbereich des KRITIS-Dachgesetzes umsetzen. Die Maßnahmen müssen sich aus der Risikoanalyse des Betreibers ableiten und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen umfassen. Einzuhalten ist der Stand-der-Technik, ein Verhältnismäßigkeitsmaßstab ist anzuwenden und eine Zweck-Mittel-Relation vorzunehmen.

Steuerung

Die zentrale Stabsstelle kann die Strategie in den Anlagen und Einrichtungen langfristig steuern — und die Ressourcen beim Aufbau mit Bedacht planen, anstatt reaktiv nach Vorfällen oder Prüfungen handeln zu müssen. Dabei helfen: ein risiko­orientiertes Cybersecurity- und Resilienz-Programm, langfristiges Prüfprogramm und strategischer Umgang mit der eigenen Organisation und dem technologischen Wandel.

Nachweise

Artefakte für angemessene Cyber Security Vorbereitungen sind u.a.:

1. Commitment der GF
2. Cybersecurity Pläne
3. Mängellisten
4. Ergebnisse der Prüfungen

Steuerung von Nachweisen

Die Umsetzung der Cybersecurity-Maßnahmen im Geltungsbereich durch Einrichtungen nachweissicher dokumentiert werden. Betreiber kritischer Anlagen (KRITIS) müssen die Angemessenheit und Wirksamkeit zusätzlich alle drei Jahre durch Nachweisprüfungen nachweisen.

Die NIS2-Stabsstelle kann die zentralen Nachweisprozesse und Nachweisprüfungen zentral steuern und langfristig durch ein strategisches Prüfprogramm organisieren. Die Nachweise aus den Prüfungen, Fragen im Vorfeld oder Klärungen und Rückfragen danach sollten ebenfalls zentral durch Stabsstelle gesteuert werden.

Nachweise

Nachweise für eine effektive Steuerung der Prüfungen sind u.a.:

1. Fristgerechte Prüfungen
2. Vollständige Unterlagen
3. Rückfragen vom BSI

Integration im Unternehmen

Die Leitung muss wirksam weiteren Organisationen vernetzt sein.

• ISMS: Abgleich zu KRITIS-Anlagen und Geltungsbereich von Assets und IT; Austausch und gemeinsame Definition vom Cyber Security Niveau und Maßnahmen in KRITIS-Anlagen
• Angriffserkennung: Erhalt von Informationen zu meldepflichten Störungen
• BCM: Austausch zu Identifikation und Geltungsbereich von KRITIS-Anlagen
• Unternehmenssicherheit: Abgleich und Integration für KRITIS-Dachgesetz, physische Sicherheit und Resilienz

Literatur

1. Managing Information Security Risk: Organization, Mission, and Information System View, NIST SP 800-39, März 2011

Quellen

1. Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020
2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und die Sicherheit in der Informationstechnik von Einrichtungen, BSI-Gesetz vom 2. Dezember 2025
3. Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
4. Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
5. ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements