IT-Sicherheit:
Immer Bescheid wissen


[2.5.2022] Durch das neue IT-Sicherheitsgesetz und die KRITIS-Verordnung zählen mehr Unternehmen zu Betreibern Kritischer Infrastruktur. Sie müssen nun ihre IT-Sicherheitssysteme überprüfen und oft auch modernisieren.

Kritische Infrastrukturen (KRITIS) und staatliche Einrichtungen werden für Hacker immer interessanter. Kritische Infrastrukturen (KRITIS) – wie die Energieversorgung – und staatliche Einrichtungen werden für Hacker immer interessanter. Schon seit Jahren warnen Regierungsbehörden auf der ganzen Welt vor Angriffen von Cyber-Kriminellen, die Daten verschlüsseln, um Lösegeld zu erpressen, oder beispielsweise durch provozierte Versorgungsengpässe versuchen, eine Gesellschaft zu destabilisieren.
Angesichts der zunehmenden Komplexität von Cyber-Bedrohungen lautet die Frage längst nicht mehr, ob eine Behörde, Organisation oder ein Unternehmen attackiert wird, sondern wann – und wie sie weiterhin in der Lage bleiben, ihre Aktivitäten unbeschadet fortzusetzen. Daher hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) nachjustiert – mit einem zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0, abgekürzt als SiG 2.0) und einer dazugehörigen Verordnung.
Mit der Einführung des SiG 2.0 und der BSI-KRITIS-Verordnung (BSI-KritisV) zählen seit Januar 2022 mehr Unternehmen zu den KRITIS-Einrichtungen, insbesondere aus dem Energiesektor. Für sie und alle anderen Betreiber Kritischer Infrastrukturen bedeutet die neue Verordnung zudem, dass sie ihre IT-Sicherheitssysteme überprüfen und oft auch modernisieren müssen. Der Handlungsbedarf ist groß, da die Bußgelder bei Verstößen auf bis zu 20 Millionen Euro drastisch erhöht wurden. Darüber hinaus werden den IT-Verantwortlichen weitere und vielfältigere Aufgaben übertragen: Sie müssen Systeme überwachen, potenzielle und tatsächliche Risiken frühzeitig erkennen, externe wie interne Risiken und Events analysieren und bewerten sowie geeignete technische und organisatorische Maßnahmen ableiten und umsetzen. Doch welche Neuerungen und Änderungen bringt das IT-Sicherheitsgesetz 2.0 genau mit sich? Und wie können KRITIS-Einrichtungen und Unternehmen im öffentlichen Interesse den neuen Anforderungen bestmöglich gerecht werden?

Mehr KRITIS-Betreiber

Das IT-SiG 2.0 erweitert den Wirkungskreis mit der zusätzlichen Kategorie „Unternehmen im besonderen öffentlichen Interesse“ (UBI) erheblich, wozu Rüstungshersteller und Chemieunternehmen zählen, sowie dem neuen Sektor der Siedlungsabfallentsorgung als Kritische Infrastruktur. Zu beachten ist grundsätzlich, dass privatwirtschaftliche Unternehmen ebenso betroffen sein können wie Verwaltungsdienststellen, Stadtwerke oder andere öffentliche Einrichtungen.
Ein Beispiel hier ist der öffentliche Personennahverkehr, der ebenfalls als Kritische Infrastruktur gilt. Eine große Herausforderung ist sicherlich, dass betroffene Einrichtungen selbst herausfinden müssen, ob sie nach den neuen Vorgaben Betreiber Kritischer Infrastrukturen sind. Schon ab dem ersten Werktag, an dem sie die Schwellenwerte der BIS-KritisV 2.0 erreichen, müssen sie die Anforderungen des IT-SiG 2.0 erfüllen.
Das neue Gesetz sieht für all diese Organisationen umfangreiche Sicherheitsmaßnahmen vor. Für KRITIS-Betreiber besteht die Pflicht, ihre IT-Sicherheit beispielsweise durch vorgegebene Systeme zur Angriffserkennung auf dem neuesten Stand der Technik zu halten, Störungen zu melden, eine dauerhaft erreichbare Kontaktstelle einzurichten und einen jährlichen Lagebericht zu erstellen.
Diese Systeme zur Angriffserkennung müssen laut Gesetz „geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten“ (§ 8a Abs. 1a BSIG). Dabei soll der Stand der Technik eingehalten werden. Diesen Anspruch erfüllt beispielsweise ein „Security Information and Event Management“-System (SIEM). Dabei handelt es sich um ein softwarebasiertes Technologiekonzept, mit dem ein ganzheitlicher Blick auf die IT-Sicherheit möglich wird.

Komponenten mit Garantie

Außerdem dürfen KRITIS-Betreiber nur noch kritische Komponenten verbauen, für die der Hersteller eine Garantieerklärung abgegeben hat. Produkte, die vom Bundesministerium des Innern als nicht vertrauenswürdig eingestuft werden, dürfen von KRITIS-Betreibern dann nicht mehr eingesetzt werden. Somit sind nun auch explizit Zulieferer von KRITIS-Betreibern von dem Gesetz betroffen.
Darüber hinaus erhält das BSI mehr Befugnisse beim Aufdecken und Abwehren von Cyber-Angriffen. So darf das Bundesamt zur Erhöhung der Sicherheit in den Mobilfunknetzen künftig Portscans durchführen, um Sicherheitslücken an den Schnittstellen von IT-Systemen zu öffentlichen Telekommunikationsnetzen aufzudecken. Mit knapp 800 neuen Planstellen ist hierfür ein massiver Ausbau des Personals geplant. Die umfangreiche Aufstockung von Kompetenzen und Personal im BSI sowie die Ausweitung des KRITIS-Geltungsbereichs stellt den öffentlichen Sektor von gesetzlicher Seite vor teils große Herausforderungen. Eine praktikable Lösung bietet eine umfangreiche SIEM-Plattform.
Das Security-Management-System von Splunk beispielsweise ermöglicht es, große Datenmengen unabhängig von Format und Quelle nahezu in Echtzeit zu überwachen, zu untersuchen und zu analysieren. Das Monitoring von Schwachstellen, Auffälligkeiten und Abweichungen unterstützt bei der schnellen Identifizierung der Angreifer. Um eine wirksame IT-Sicherheit aufzubauen, können bereits vorhandene eigene Daten als Handlungsgrundlage dienen. Ebenso kann das SIEM bei der Etablierung und Modernisierung eines dedizierten IT-Sicherheitsbetriebs enorme Dienste leisten. Eine SIEM-Lösung bietet den IT-Sicherheitsverantwortlichen Transparenz und handfeste Ergebnisse auf einer zentralen Plattform, die alle wichtigen Kernfunktionen für einen sicheren Betrieb abdeckt: Monitoring, Bedrohungserkennung, Analyse und Reaktion.

Frühzeitige Angriffserkennung

Cyber-Attacken gehören beinahe schon zum Alltag. Das haben zuletzt vor allem die sich häufenden Ransomware-Angriffe deutlich gemacht, die weder vor Versorgungsunternehmen noch vor Kliniken Halt machen. Systeme zur frühzeitigen Angriffserkennung sind in der Abwehr solcher Bedrohungen ein zentraler Baustein – einer, den KRITIS-Betreiber nun verpflichtend vorweisen müssen. Sie müssen sehr viel genauer darüber Bescheid wissen, was in sämtlichen ihrer Systeme, Netze und Endpunkte vorgeht.

Matthias Maier

Der Autor, Matthias Maier
Matthias Maier ist Sicherheitsexperte beim Datenplattform-Anbieter und SIEM-Spezialisten Splunk. Er arbeitet eng mit Betreibern Kritischer Infrastrukturen zusammen, darunter der Flughafen München sowie die Würzburger Versorgungs- und Verkehrs-GmbH.

https://www.splunk.com/de_de
Dieser Beitrag ist in der Ausgabe März/April 2022 von stadt+werk erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, KRITIS, BSI, SiG 2.0

Bildquelle: vectorfusionart/stock.adobe.com

Druckversion    PDF     Link mailen


 Anzeige

handelsblatt2204-banner
Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
Märkischer Kreis: Hoher Stellenwert der IT-Sicherheit
[19.5.2022] Wie wird die IT-Sicherheit in einer Kreisverwaltung gewahrt? Im Märkischen Kreis tagte der Digitalausschuss und gibt nun Einblicke in einen bereits länger zurückliegenden Trojaner-Angriff und die danach eingeleiteten Maßnahmen, berichtet aber auch über die aktuelle Bedrohungslage. mehr...
Die Bedrohungslage im Bereich IT-Security hat sich mit Beginn des Ukraine-Krieges weiter verschärft – auch im Märkischen Kreis.
OZG: Verpasste Chance für mehr IT-Sicherheit?  Bericht
[19.5.2022] Den Security-by-Design-Ansatz hat das OZG nicht beschrieben, eine Verordnung zur Sicherung der eingesetzten IT trat erst 2022 in Kraft. Dabei verarbeitet gerade die Verwaltung besonders sensible Daten. Behörden sollten die Bürgerkommunikation deshalb von sich aus durchgängig verschlüsseln. Ein Kommentar von FTAPI-COO Ari Albertini. mehr...
Digitaler Impfnachweis: Reichlich Lücken im System Bericht
[12.5.2022] Der digitale Impfnachweis wurde in Deutschland mit allzu heißer Nadel gestrickt – und zeigt daher in puncto Sicherheit und Zuverlässigkeit erschreckend viele Mängel. Die Sicherheitslücken nachträglich zu stopfen, ist schwierig bis unmöglich. mehr...
Mit heißer Nadel gestrickt: der digitale Impfnachweis.
BSI: Virtuelle Roadshow Kommunen startet
[6.5.2022] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Sächsische Staatskanzlei haben die Roadshow Kommunen gestartet – eine virtuelle Wanderausstellung für mehr Informationssicherheit, die vom BSI bundesweit mit interessierten Bundesländern durchgeführt wird. mehr...
Exterro: Vorteile einer cloudbasierten IT-Forensik
[3.5.2022] Nach einem Cyber-Angriff oder einer Datenschutzverletzung kommt die Analyse. Das Unternehmen Exterro, Anbieter einer Legal-GRC-Software für E-Discovery, digitale Forensik und Cybersecurity-Compliance, stellt die Vorteile zentraler Forensik-Lösungen für Firmen und Behörden vor. mehr...
Nach Cyber-Attacken müssen IT-Forensiker häufig enorme Datenmengen untersuchen. Cloudbasierte Forensik-Tools können dabei unterstützen.
Weitere FirmennewsAnzeige

E-Invoicing: Was 2022 auf Kämmereiabteilungen zukommt
[2.5.2022] Annahme und Verarbeitung von E-Rechnungen, Portallösungen und PEPPOL, das neue Umsatzsteuerrecht für Kommunen – mit einigen dieser Themen haben Kämmereiabteilungen schon seit längerem zu tun, andere sind neu bzw. werden weiter ausgebaut. So bringt das laufende Jahr für alle in der kommunalen Verwaltung, die mit Steuern, Haushalt und Finanzen zu tun haben, technische wie auch gesetzliche Neuerungen. mehr...
Suchen...

 Anzeige

vereon2204-cont

 Anzeige

vereon2204-cont

Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von Kommune21 allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wir haben an dieser Stelle eine Bitte an Sie:
Die gegenwärtige Situation macht einmal mehr deutlich, wie wichtig das Thema Digitalisierung auch in Ihrer Verwaltung, Behörde oder Schule ist. Kommune21 berichtet seit 20 Jahren über alle wichtigen Themen der IT-gestützten Verwaltungsmodernisierung und hilft, die Digitalisierung im Public Sector transparent und besser zu gestalten. Bitte prüfen Sie über Ihre Buchhaltung, ob Sie bereits ein reguläres Abonnement von Kommune21 haben. Wenn nicht, dann freuen wir uns, wenn Sie gerade in diesen Zeiten ein Abonnement in Betracht ziehen. Danke!

Kommune21, Ausgabe 05/2022
Kommune21, Ausgabe 04/2022
Kommune21, Ausgabe 03/2022
Kommune21, Ausgabe 02/2022

Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
GISA GmbH
06112 Halle (Saale)
GISA GmbH
procilon GmbH
04425 Taucha bei Leipzig
procilon GmbH
NCP engineering GmbH
90449 Nürnberg
NCP engineering GmbH
Aktuelle Meldungen