IT-Sicherheitsgesetz 2.0 KRITIS-Herausforderungen mit der richtigen Strategie meistern

Anbieter zum Thema

TÜV Süd Product Service GmbH

FTAPI Software GmbH

TXOne Networks

Das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) macht einige Änderungen für KRITIS-Betreiber erforderlich. Es verpflichtet sie, erweiterte Sicherheitsmaßnahmen für ihre IT umzusetzen. Der Kreis der Unternehmen und Branchen, die nachschärfen müssen, ist außerdem erweitert worden.

Viele Unternehmen empfinden das Thema der IT-Sicherheit vielleicht als Last. Neben anderen branchenspezifischen, dynamischen Entwicklungen der heutigen Geschäftswelt ist es eine Herausforderung, qualifiziertes IT-Personal zu finden und Sicherheitssysteme sinnvoll und sicher zu implementieren. Welche Änderungen kommen mit dem im Mai 2021 in Kraft getretenen IT-SiG 2.0 auf Unternehmen und ihre IT-Abteilungen zu und welche Maßnahmen helfen bei der Umsetzung eines resistenten IT-Sicherheitskonzepts?

Security-Insider Podcast – Folge 33

Das IT-Sicherheitsgesetz, oder: 5 Sätze zuviel

Mehr Firmen fallen unter das Gesetz

Der Zahl der Unternehmen, die vom neuen IT-Sicherheitsgesetz betroffen sind, ist im Vergleich zur ersten Fassung gestiegen. Grund dafür ist eine Erweiterung derjenigen Sektoren, die offiziell als Kritische Infrastrukturen (KRITIS) gelten. Neu in die Pflicht genommen werden beispielsweise Unternehmen, die auf Entsorgung spezialisiert sind, denn auch in diesem Wirtschaftszweig können die Folgen eines IT-Angriffs gravierend sein. Sobald die Abfallwirtschaft nicht mehr ihrer Arbeit nachgehen kann, ist nicht nur großflächige Umweltverschmutzung zu befürchten, sondern das erhöhte Risiko eines Seuchenausbruchs stellt darüber hinaus ein immenses Gesundheitsrisiko für die Bevölkerung dar.

Außerdem enthält das IT-SiG 2.0 die neue Kategorie der Unternehmen im besonderen öffentlichen Interesse (UBI). Unternehmen, die zu dieser Kategorie zählen, sind verpflichtet – ähnlich wie die KRITIS-Betreiber – bestimmte Nachweise bezüglich ihrer IT-Sicherheit zu erbringen und Sicherheitsvorfälle zu melden. Die Kategorie UBI wird dabei, nach Relevanz für die allgemeine Sicherheit, untergliedert in die Teilkategorien UBI 1 bis UBI 3. Zu UBI 1 zählen Unternehmen, die mit der Herstellung von Wehrtechnik oder der Verarbeitung staatlicher Verschlusssachen betraut sind. Diese Gruppe von Unternehmen hat damit die Pflicht, eine Kontaktstelle zu benennen, Sicherheitsvorfälle zu melden und eine Selbsterklärung zur IT-Sicherheit abzugeben. Der Gesetzgeber hat für die Umsetzung dieser Sicherheitsmaßnahmen eine Frist bis zum 01. Mai 2023 vorgesehen.

Für Unternehmen, die unter die Kategorie UBI 2 fallen, gelten ähnliche Plichten. Hier sind Unternehmen gemeint, die nach ihrer inländischen Wertschöpfung zu den größten Unternehmen in Deutschland gehören und daher von erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind. Für Unternehmen der Kategorie UBI 3 (Betreiber eines Betriebsbereichs der oberen Klasse im Sinne der Störfall-Verordnung) ist die Benennung einer Kontaktstelle dagegen freiwillig, die Pflicht zur Selbsterklärung der IT-Sicherheit entfällt gänzlich. Lediglich die Meldepflicht bei Sicherheitsvorfällen besteht auch für diese Gruppe.

Des Weiteren sollen Verstöße gegen die gesetzlichen Forderungen nach dem IT-SiG 2.0 künftig mit Geldbußen im Stil der DSGVO geahndet werden. Betrug die maximale Geldstrafe bisher 100.000 Euro, können ab nächstem Jahr bis zu 20.000.000 Euro oder bis zu vier Prozent des gesamten weltweiten Umsatzes fällig werden.

IoT und ICS im Blickfeld

Im Blickpunkt stehen künftig alle wichtigen vernetzten Systeme eines Betriebes. Dazu gehören unter anderem das Internet of Things (IoT) oder Industrial Control Systems (ICS). IoT-Systeme werden sowohl industriell als auch im Bereich der Konsumenten häufiger eingesetzt und weisen oft Schwachstellen auf, die für Cyber-Angriffe genutzt werden könnten. Das Problem dabei ist, dass schnelle Time-to-Market-Zyklen und fehlende Leistungsreserven für die IT-Sicherheit auf den Geräten dafür sorgen, dass IoT und ICS unter Umständen mit inhärenten Sicherheitsmängeln daherkommen. Dennoch werden sie in KRITIS eingesetzt, um moderne Prozesse und Verfahren zu implementieren. Diese Mängel können gegebenenfalls die Sicherheit der gesamten Lieferkette beeinträchtigen. Derartige kritische Komponenten unterstehen mit dem IT-SiG 2.0 deshalb ebenfalls besonderen Schutzanforderungen und müssen zertifiziert werden, wobei dem BSI dazu mehr Kompetenz erteilt wurde. Der erste Schritt für Unternehmen, um den Sicherheitsstand zu verbessern, ist eine Gap-Analyse. So wird der Status Quo erfasst und weitere Maßnahmen können, daran angepasst, beschlossen werden. Zertifizierungen dienen später der Sicherheit über die Lieferkette hinweg. So kann man stets die Sicherheit der eigenen Systeme nachweisen und Bedenken ausräumen.

Sicherheit in der Lieferkette gefordert

Eine weitere Vorschrift des IT-SiG 2.0: Im Zusammenhang mit Kritischen Infrastrukturen dürfen nur noch Komponenten mit BSI-Sicherheitskennzeichen verbaut werden. Damit werden auch die Dienstleister von KRITIS-Unternehmen stärker eingebunden und die gesamte Lieferkette rückt in den Fokus. Hersteller von Komponenten, die im KRITIS-Bereich zum Einsatz kommen, müssen in Zukunft die Vertrauenswürdigkeit ihrer gesamten Lieferkette sicherstellen und eine entsprechende Vertrauenswürdigkeits­erklärung abgeben. In diesem Zusammenhang ist mit der Einführung eines IT-Sicherheitskennzeichens zu rechnen, welches die IT-Sicherheit von Produkten und Systemen für Unternehmen, aber auch für Verbraucher, sichtbar machen soll. Zukünftig können Hersteller das Kennzeichen freiwillig beantragen, wenn die IT-Sicherheit ihres Produktes dem vom BSI festgelegten Stand der Technik entspricht. Vor allem weltweit tätige Unternehmen profitieren von solch einem effizienten und einheitlichen Zertifizierungsverfahren.

Kritische Infrastrukturen

KRITIS(ch) betrachtet

Stärkung des Europäischen Wirtschaftsraumes

Das IT-SiG 2.0 leistet einen wichtigen Beitrag zur Erhöhung der IT-Sicherheit innerhalb Deutschlands und Europas. Mit dem Gesetz nimmt Deutschland innerhalb der Europäischen Union (EU) sogar eine führende Rolle in der Cyber- und IT-Sicherheit ein und sichert damit die langfristige digitale Transformation von Staat und Wirtschaft. Diese Führungsrolle muss genutzt werden, um einheitliche EU-weite Vorgaben durchzusetzen. Damit kann der europäische, digitale Binnenmarkt gefestigt und es können Unternehmen eindeutige wie auch gerechtfertigte Vorgaben gemacht werden. Gleichzeitig sind alle beteiligten Unternehmen, Anwender, Hersteller und Betreiber gefordert, zusammenzuarbeiten, um die Widerstandskraft der deutschen Wirtschaft gegen Hacker zu stärken. Die Charter of Trust, eine Cybersicherheitsallianz führender globaler Unternehmen, ist ein gutes Beispiel für die gemeinsame Initiative der Wirtschaft und anderer Organisationen auf diesem Gebiet. Sie liefert konkrete Ansatzpunkte, beispielsweise mit der Vorgabe einheitlicher Kriterien für die Sicherheit der Lieferkette und die Selbstverpflichtung der Mitglieder, diese bei ihren eigenen Lieferanten umzusetzen.

IT-Sicherheit mit besonderen Anforderungen

Netzwerk- und IT-Sicherheit in den kritischen Infrastrukturen (KRITIS)

Gap-Analyse bringt Klarheit

Mit dem IT-Sicherheitsgesetz 2.0 müssen Unternehmer nun klären, ob sie angesichts geänderter Schwellenwerte zu den KRITIS-Betreibern zählen oder ob sie in die neue Kategorie der Unternehmen im besonderen öffentlichen Interesse (UBI) fallen. Sie sollten sich daher frühzeitig mit den geänderten Anforderungen auseinanderzusetzen, beispielsweise in Form einer Gap-Analyse. Eine gut strukturierte Strategie auf Basis von klaren Daten und Fakten ist hilfreich, um den Anforderungen des neuen IT-Sicherheitsgesetztes gerecht zu werden. Dabei dürfen externe, unabhängige Experten und Fachleute beratend unterstützen. Sie bringen die Erfahrung und Kenntnis der Sachlage mit, die vielen Unternehmen noch fehlen und helfen bei der Anpassung an das neue Gesetz.

Über den Autor: Sudhir Ethiraj ist Global Head of Cybersecurity Office (CSO) bei TÜV Süd.

(ID:48206652)