Risiken und Assets

Governance für Risiken

Für die Behandlung von Risiken sind Verantwortlichkeiten und Prozesse durch klare Vorgaben und Governance für Risiko-Management notwendig. Die Methoden und Abläufe sollten mit bestehenden Management-Systemen harmonisiert werden — dem Risiko-Management des Unternehmens und ISMS und BCMS.

Vorgaben

Durch Vorgaben legt die Unternehmensleitung die Strategien, Methoden und Abläufe im Umgang mit Risiken fest — in einer Risiko-Management Richtlinie oder zentralen NIS2/KRITIS-Vorgaben. In den Vorgaben sollten auch einheitliche Risiko-Klassen, Methoden und Schwellenwerte für die weiteren Management-Systeme (ISMS, BCMS) definiert werden.

Das KRITIS-Dachgesetz macht die nationale Risikoanalyse verbindlich als Grundlage für eine betreibereigene, übergreifende Risikoanalyse (alle vier Jahre), mit:

• Risiken aus der Nationalen Risikoanalyse
• Risiken der Verfügbarkeit der kritischen Dienstleistung durch Abhängigkeit von anderen Betreibern und anderen Sektoren
• Risiken durch Abhängigkeit anderer Betreibern und anderen Sektoren
• Besonderheiten maritimer Infrastruktur

Aus dieser Risikoanalyse leiten Betreiber Risiken und Resilienzmaßnahmen nach KRITIS-DachG ab.

Rollen

Das Risiko-Management benötigt definierte Rollen und Verantwortungen:

• Risiko-Verantwortliche: Eigentümer von Risiken in den kritischen Dienstleistungen, verantwortlich für die Behandlung der Risiken
• Koordinatoren, Managementsystem-Beauftragte, die bei der Durchführung der notwendigen Risikoanalysen hilfreich sind bzw. diese koordinieren und unterstützen
• Prozess-Verantwortliche: Eigentümer von Prozessen (und Assets), die in der Risikoanalyse begutachtet werden.

Prozesse

Risiken müssen durch organisierte Prozesse gesteuert werden, die pro Jahr mindestens einmal durchlaufen werden:

• Identifikation: Methoden zur Identifikation von Risiken in Assets und Anlagen
• Risikoanalyse: Analyse der Risiken von Assets — Durchführung von Risiko-Analysen (mit SBF, BIA)
• Risikobehandlung: Auswahl von Optionen in der Risikobehandlung mit ISMS und BCMS

Angemessenheit und Wirksamkeit

Schutz­maßnahmen in Kritischen Infrastrukturen müssen geeignet, verhältnismäßig und wirksam sein — sie müssen die Schutzziele für Kritische Infrastrukturen erreichen können (Eignung), aber auch in vertretbaren Aufwand umzusetzen zu sein (Verhältnismäßigkeit) und dabei wirksam sein.

• NIS2 in §30 (1) BSIG versteht darunter technische und organisatorische Maßnahmen [...] um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse [...] ihrer Dienste [...] zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
• Die Bewertung der Verhältnismäßigkeit nach NIS2 ist essentiell und muss das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen [...] berücksichtigen.
• Nach dem KRITIS-Dachgesetz müssen Betreiber verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen [nach] Stand der Technik umsetzen.
• Dabei müssen Betreiber im KRITIS-DachG einen Verhältnismäßigkeitsmaßstab mittels einer Zweck-Mittel-Relation anwenden, um den Aufwand zur Verhinderung oder Begrenzung eines Ausfalls gegen das Risiko eines Vorfalls abzuwägen[.] Dabei können wirtschaftliche Aspekte sowie die Leistungsfähigkeit des Betreibers berücksichtigt werden.

Strategien und Optionen

Die üblichen Behandlungs­optionen für Risiken sind von Betreibern Kritischer Infrastrukturen nur eingeschränkt nutzbar:

• Transfer: Risiken der kritischen Dienstleistung können von Einrichtungen in der Risiko-Behandlung nicht transferiert, verlagert oder geteilt werden. Betreibt ein Unternehmen Anlagen, muss es deren Risiken behandeln, ein Transfer an Dritte ist nicht möglich
• Vermeidung: Gehört eine kritische Dienstleistung zum Betrieb eines Unternehmens, können deren kritische Risiken nicht plausibel vermieden werden. Die Risiken sind dem Betrieb Kritischer Infrastrukturen inhärent.
• Akzeptanz: Risiken, welche die Versorgungssicherheit beeinträchtigen, können von Betreiber nur sehr schwer in der Risikobehandlung akzeptiert werden.
• Outsourcing: Bei Verlagerung von Anwendungen oder des IT-Betriebs zu IT-Dienstleistern, Managed Service oder Cloud Providern verbleiben die Risiken bei der Einrichtung. Der externe Dienstleister trägt lediglich die Umsetzungs-Verantwortung von Maßnahmen, das Risiko (Accountable) und Management verbleibt beim Betreiber.

Nachweise

Artefakte als Nachweis für ein funktionierendes Risiko-Management sind u.a.:

1. Risiko-Analysen
2. Richtlinie
3. Risiko-Inventar
4. Analyse-Methoden

Integration im Unternehmen

Das Risiko-Management muss für das Management von Ausfallrisiken im Betrieb mit weiteren Management-Systemen vernetzt sein.

• Asset-Management: Abgleich von Asset-Informationen der Assets in Scope
• ISMS: Definition von Risiko-Methoden und Kategorien; Austausch zu IS- und Risiken und ISMS-Ergebnissen (SBF, Maßnahmen)
• BCM: Definition von Risiko-Methoden und Kategorien; Austausch zu Ausfallrisiken und BCM-Ergebnissen (BIA, RIA, ...)
• KRITIS-Organisation: Steuerung der Risiko-Strategie für KRITIS, Austausch zur Cybersecurity Strategie und Risiko-Behandlung

Governance für Assets

Um die Risiken in den Dienstleistungen steuern zu können, ist ein Inventar und Management der eingesetzten Assets zwingend notwendig. Betreiber müssen dazu die Assets in den Dienstleistungen im eigenen Betrieb kennen und organisiert verwalten — mit klaren Verantwortlichkeiten und Abläufen im Asset Management. Dies umfasst eine klare Übersicht der betrieblichen Prozesse.

Vorgaben

Die Verwaltung der Assets wird in einer Richtlinie des Risiko-Managements festgeschrieben, welche die Anforderungen, Rollen und Prozesse definiert. Der ordnungsgemäße Umgang mit Assets wird in dokumentierten Anweisungen festgelegt.

Rollen

Für das Management von Assets sind definierte Rollen notwendig:

• Asset-Verantwortliche: Dedizierter Owner von Assets und deren Risiken — verantwortlich für den Schutz der Assets durch Maßnahmen

Inventar

Für eine Übersicht der vorhandenen Assets und als Grundlage vom Risiko-Management ist ein Inventar der Asset notwendig. Assets umfassen, je nach Definition, IT-Systeme, Komponenten, Verfahren und Anwendungen, und sollten regelmäßig erfasst werden — ob IT-gestützt (CMDB, IT-SM) oder durch manuelle Prozesse ist dabei zweitrangig.

Im KRITIS-Dachgesetz enthält der Resilienzplan möglicherweise eine Übersicht der resilienzrelevanten Assets, mindestens als Extrakt der Assets aus den Business Impact Analysen (BIAs).

Prozesse

Definierte Prozesse sind für den Lebenszyklus der Assets und deren Verwaltung notwendig:

• Inventarisierung: Regelprozess zur Aufnahme und Aktualisierung der vorhandenen Assets
• Verantwortungen: Verantwortlichkeiten für Assets werden durch geregelte Prozesse an festgelegte Owner vergeben
• Lebenszyklus: Die Aus- und Rückgabe von Assets folgt klaren Regeln und wird dokumentiert
• Transfer: Die Überführung von Assets nach außerhalb erfolgt nur mit Genehmigung

Nachweise

Artefakte als Nachweis für ein funktionierendes Asset-Management sind u.a.:

1. Asset-Inventar
2. Asset-Listen
3. Zugewiesene Risiken
4. Asset-Verantwortliche

Klassifizierung

Informationen und Assets müssen bei Einrichtungen und Betreibern einer einheitlichen Klassifikation (Einstufung) folgen. Dazu gibt es ein definiertes Klassifizierungs­schema und Vorgaben, wie Informationen und Assets zu handhaben sind — von der Erstellung und Ausgabe, bis zum Transport, Rückgabe und Vernichtung. Dies geschieht nach definierten Prozessen, deren Einhaltung überwacht wird.

Das KRITIS-Dachgesetz fordert keine Klassifizierung von Informationen oder Assets an sich, in der Notfallvorsorge ist eine Einstufung der Kritikalität der für Betriebsprozesse notwendigen Assets jedoch essentiell. (Vorgenommen u.a. in der BIA)

Integration im Unternehmen

Das Asset-Management muss im Betrieb mit weiteren Management-Systemen vernetzt sein.

• Risiko-Management: Definition von Vorgaben und Zuständigkeiten, Austausch zu Assets und Risiken im Scope
• ISMS: Abgleich von Assets und deren Verantwortlichen (IS-Risiken, Assetregister)
• BCM: Abgleich von Assets und deren Verantwortlichen (BC-Risiken, Assets in BIAs)
• Stabsstelle: Unterstützung bei der Definition des Geltungsbereichs

Literatur

1. Schutz Kritischer Infrastrukturen - Risiko- und Krisenmanagement Leitfaden für Unternehmen und Behörden, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), 2019
2. IT Asset-Management, NIST Special Publication 1800-5, September 2018
3. Managing Information Security Risk: Organization, Mission, and Information System View, NIST SP 800-39, März 2011
4. Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, NIST SP 800-37 Rev. 2, Dezember 2018
5. Guide for Conducting Risk Assessments, NIST SP 800-30 Rev. 1, September 2012

Standards

1. ISO 31000:2018, Risk management - Guidelines, International Organization for Standardization
2. ISO 31010:2019, Risk management - Risk assessment techniques, International Organization for Standardization
3. ISO/IEC 27005:2018, Information technology - Security techniques - Information security risk management
4. BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, Oktober 2017

Quellen

1. Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020
2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und die Sicherheit in der Informationstechnik von Einrichtungen, BSI-Gesetz vom 2. Dezember 2025