Sicherheit für kritische Infrastrukturen (KRITIS) Aktueller Stand zum Nachweis für Angriffs­erkennungs­systeme

Anbieter zum Thema

Arvato Systems

Insider Research

TXOne Networks

Mit der Einführung des IT-SiG 2.0 rückt die Erkennung und der Umgang mit Cyberangriffen in der Leit- und Fernwirktechnik von Energie- und Wasserversorgern immer mehr in den Vordergrund. Das Verständnis über Werkzeuge, Prozesse und Betriebsleistungen ist dabei ein entscheidender Faktor.

Für große Versorgungsunternehmen ist es ein leichtes adäquate Überwachungswerkzeuge im eigenen Security Operations Center zu betreiben. Anders geht es dabei mittelständischen Betrieben, welche oft weder über die finanziellen Mittel noch über das nötige Fachpersonal verfügen. Ein angemessenes Sicherheitssystem zu etablieren, stellt solche Betreiber schnell vor eine große Herausforderung. Unglücklicherweise nutzen findige Softwarehersteller diesen Umstand nur zu gern aus.

Sicherheit für kritische Infrastrukturen (KRITIS)

Systeme zur Angriffs­erkennung in der Leit- und Fernwirk­technik

Der 01.05.23 steht für viele Betreiber als gesetzliche Frist für Einführung und Nachweis eines Systems zur Angriffserkennung bevor. Sich mit komplexen neuen Themen und einem scheinbar undurchdringlichen Informationsüberfluss an verschiedenen Anbietern auseinander­zusetzen ist bereits eine große Herausforderung. Dazu herrscht ein enormer Zeitdruck.

Über die gesetzlichen Anforderungen und eine mögliche Nachweisführung wird im folgenden Artikel eingehend gesprochen. Zudem soll er einen Überblick über die verschiedenen Dienstleistungsangebote geben und bei der Unterscheidung dieser unterstützen.

Die Orientierungshilfe des BSI – mehr als nur eine Orientierungshilfe?

Mit der Veröffentlichung der Gesetzesvorgabe zum 01.04.2021 wurde auch die OH als Orientierungshilfe für Betreiber Kritischer Infrastrukturen angekündigt. Die Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung wurde tatsächlich erst am 29.09.2022 final vom BSI veröffentlicht.

Das BSI umreißt die Bestandteile eines SzA und klassifiziert die Elemente und Ausbaustufen in der OH in die Kriterien MUSS, SOLL und KANN. Der Umsetzungsgrad soll anhand der Prüfung und Anwendung dieser Kriterien eingeschätzt werden. Am Schluss der OH wird eine angemessene Umsetzung der gesetzlichen Richtlinien anhand der Umsetzungsgrade konkretisiert. Das Dokument formuliert hier eine eindeutige Vorgabe für eine gesetzeskonforme Umsetzung und folgt nicht mehr der initialen Form einer Empfehlung. Zu der Gültigkeit dieser Umsetzungsanforderung gibt es derzeit einen intensiven Dialog zwischen BSI, Verbänden und Zertifizierern. Möchte der Betreiber eine von der OH abweichende Umsetzung eines SzA implementieren, muss unbedingt eine nachvollziehbare und gut dokumentierte Begründung vorgelegt werden. Diese Begründung für die Nachweisführung wird durch den Auditor des Zertifizierers abgenommen. In solch einem Fall ist es nötig, schlüssig nachzuweisen warum bestimmte Maßnahmen an manchen Stellen nicht erforderlich sind. Die Kernpunkte bilden dabei die im Gesetz verankerte Angemessenheit und ein gut geführtes Risikomanagement.

Abgesehen von der universellen Anwendbarkeit des Ausprägungsgrads, ist die OH ein gut verständliches Best Practice Dokument. Es zeigt die ideale Herangehensweise für Cyberangriffserkennung in Versorgungsunternehmen.

Auf folgende Punkte wird in der OH besonderes Augenmerk gelegt:

• Vollumfängliche Planung. Das bedeutet, auch wenn Systeme/Daten bei der Angriffserkennung keine oder vorerst keine Berücksichtigung finden, ist das zu dokumentieren und zu begründen

• Erfassung und Analyse von Systemprotokolldaten und Netzwerkprotokolldaten

• Aktives Sammeln und systematisches Auswerten von Angriffsinformationen für die automatische Angriffserkennung und das Schwachstellenmanagement

• Ausreichend fachkompetentes Personal für die Analyse der Angriffsmeldungen

• Umfänglicher Notfallmanagementprozess (Reaktion)

Nachweisverfahren

Prüfungsberechtigte

Laut Nachweisdokument P (für BSIG) Teil PS.A sind im Idealfall die üblicherweise eingesetzten Zertifizierer und deren Autoren prüfungsberechtigt. Das geht daraus hervor, dass ein SzA in §8a eingefügt wurde und damit Bestandteil des §8a Nachweises ist.

Für die Prüfung gemäß EnWG von Energieanlagen und Energieversorgungsnetzen ist die Akkreditierung nach EnWG §11 Abs. 1a/1b (IT-Sicherheitskatalog der Bundesnetzagentur) erforderlich. Das BSI hat jedoch am 12.02.2023 eine Meldung veröffentlicht, die von der Beschränkung auf akkreditierte prüfende Stellen für den ersten Nachweis absieht. Dadurch soll der rechtzeitige Abschluss der Prüfungen gewährleistet werden.

Prüfungsverfahren

Im Nachweisdokument P* (für EnWG) ist der Nachweis im Umsetzungs­grad­verfahren der OH abgebildet. Die Herangehensweise der Auditoren bei der Ermittlung des Umsetzungsgrads, wird möglicherweise unterschiedlich erfolgen. Denkbar ist die Feststellung durch ein Interview bis hin zu einem Self-Assessment mittels Fragebogen und einer folgenden Stichprobenprüfung. Sich mit den Auditoren im Vorhinein über deren Prüfungsverfahren auszutauschen, kann dabei sehr hilfreich sein.

Im Teil PD.E des Nachweisdokuments P* werden Abweichungen festgestellt und dokumentiert. Man unterscheidet zwischen geringfügigen Abweichungen und schwerwiegenden oder erheblichen Abweichungen beziehungsweise Sicherheitsmängeln. Auch diese Herausforderung kann durch ein Vorab-Gespräch mit den Auditoren besser eingeschätzt werden. Ergeben sich beispielsweise Lieferschwierigkeiten für erforderliche Hardwarekomponenten, kann das zu Verzögerungen führen, die die Prüfung behindern. Durch die rechtzeitige Einschätzung des Auditors, können solche Konflikte vermieden werden. Gegebenenfalls ist in einem solchen Fall die Beantragung eines Aufschubs beim BSI die bessere Wahl.

Einreichung der Prüfungsdokumente und der Abweichungsdokumentation

Beim BSI eingereicht werden das Formular Nachweisdokument KI / KI* und das Nachweisdokument P / P*.

Fazit

Das IT-SiG 2.0 ist sehr zu befürworten, denn durch die rechtlich bindenden Richtlinien trägt es sehr zu nationalen Sicherheit von Leit- und Fernwirktechnik bei. Die bindende Einführung eines Systems zur Erkennung von Cyberangriffen in Versorgungsunternehmen stärkt die Resilienz unserer Volkswirtschaft enorm. Es bietet eine Absicherung gegenüber der immer stärker werdenden Bedrohung durch Kriminelle und auch staatliche Akteure. Die Integration eines solchen Systems sollte daher für jeden Betreiber Kritischer Infrastrukturen zur Priorität werden.

Die offene Formulierung der gesetzlichen Vorgaben ermöglicht eine jeweils angemessene Umsetzung bei den doch sehr unterschiedlichen Versorgungsunternehmen. Dennoch fehlte es bei Veröffentlichung an konkreten Umsetzungsvorschlägen. Dies wurde mit der OH 17 Monate nach Gesetzesveröffentlichung verspätet nachgeholt. So verblieben nur noch 7 Monate, um ein umfangreiches, angepasstes und funktionierendes Konzept zur Absicherung gegen Angriffe auf Leit- und Fernwirktechnik zu etablieren. Ein solcher Zeitdruck, gepaart mit der rechtlich unklaren Verbindlichkeit des Umsetzungsgrads der OH, ist wenig förderlich, da diese Aufgabe für viele Betreiber Neuland ist.

In dieser Stress-Situation sehen einige Produktverkäufer ihre Chance. Den Betreibern, die nun auf der Suche sind, werden Soft- und Hardware angeboten, die scheinbare alle nötigen Bereiche unkompliziert und schnell abdecken. Diese Systeme verursachen angeblich keinen Betriebsaufwand, fallen nie aus und ihre Sicherheitsmeldung sind immer verständlich und eindeutig. Das Erfordernis einer individuellen Anpassung an die eigenen Leitsysteme wir völlig außen vorgelassen. Sie verkaufen quasi Gesetzeskonformität aus der Packung, eine einfache Lösung für ein komplexes Problem. Unglücklicherweise führt der angesprochene Zeitdruck schnell dazu, dass Betreiber Kritischer Infrastrukturen auf solche Angebote zurückgreifen.

Die zuverlässigere und langfristigere Herangehensweise ist es, trotz Personal- und Zeitmangel geplant vorzugehen. Auch wenn Abweichungen dabei zunächst in Kauf genommen werden, gibt es einen fundierten Umsetzungsplan, der dem BSI vorgelegt werden kann. Es ist anzunehmen, dass ein solches Vorgehen vom BSI toleriert werden wird.

Grundsätzlich kann man davon ausgehen, dass das BSI zum 01.05.23 mit weit über 1000 Einreichungen konfrontiert werden wird. Die Antwort der Behörde auf die Nachweise, wird deshalb höchstwahrscheinlich erst mittelfristig erfolgen können. Es könnte allerdings sein, dass Versorger, die nichts einreichen oder keinerlei Umsetzung durchführen, zuerst bedient werden.

Über den Autor: Sascha Jäger ist Geschäftsführer und Gesellschafter bei der ausecus GmbH. Von 1996 bis 2013 war er in unterschiedlichen Positionen bei dem IT-Security Spezialisten Integralis/NTT in Deutschland, Österreich, Schweiz und Frankreich tätig, zuletzt als Geschäftsführer. Anschließend war er bei Fujitsu für den Aufbau des Bereichs Cybersecurity (Security Operations Center) in Zentraleuropa verantwortlich und leitete diesen bis zu seinem Start bei ausecus im Januar 2021.

(ID:49235396)