IT-SicherheitImmer Bescheid wissen
Kritische Infrastrukturen (KRITIS) – wie die Energieversorgung – und staatliche Einrichtungen werden für Hacker immer interessanter. Schon seit Jahren warnen Regierungsbehörden auf der ganzen Welt vor Angriffen von Cyber-Kriminellen, die Daten verschlüsseln, um Lösegeld zu erpressen, oder beispielsweise durch provozierte Versorgungsengpässe versuchen, eine Gesellschaft zu destabilisieren.
Angesichts der zunehmenden Komplexität von Cyber-Bedrohungen lautet die Frage längst nicht mehr, ob eine Behörde, Organisation oder ein Unternehmen attackiert wird, sondern wann – und wie sie weiterhin in der Lage bleiben, ihre Aktivitäten unbeschadet fortzusetzen. Daher hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) nachjustiert – mit einem zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0, abgekürzt als SiG 2.0) und einer dazugehörigen Verordnung.
Mit der Einführung des SiG 2.0 und der BSI-KRITIS-Verordnung (BSI-KritisV) zählen seit Januar 2022 mehr Unternehmen zu den KRITIS-Einrichtungen, insbesondere aus dem Energiesektor. Für sie und alle anderen Betreiber Kritischer Infrastrukturen bedeutet die neue Verordnung zudem, dass sie ihre IT-Sicherheitssysteme überprüfen und oft auch modernisieren müssen. Der Handlungsbedarf ist groß, da die Bußgelder bei Verstößen auf bis zu 20 Millionen Euro drastisch erhöht wurden. Darüber hinaus werden den IT-Verantwortlichen weitere und vielfältigere Aufgaben übertragen: Sie müssen Systeme überwachen, potenzielle und tatsächliche Risiken frühzeitig erkennen, externe wie interne Risiken und Events analysieren und bewerten sowie geeignete technische und organisatorische Maßnahmen ableiten und umsetzen. Doch welche Neuerungen und Änderungen bringt das IT-Sicherheitsgesetz 2.0 genau mit sich? Und wie können KRITIS-Einrichtungen und Unternehmen im öffentlichen Interesse den neuen Anforderungen bestmöglich gerecht werden?
Mehr KRITIS-Betreiber
Das IT-SiG 2.0 erweitert den Wirkungskreis mit der zusätzlichen Kategorie „Unternehmen im besonderen öffentlichen Interesse“ (UBI) erheblich, wozu Rüstungshersteller und Chemieunternehmen zählen, sowie dem neuen Sektor der Siedlungsabfallentsorgung als Kritische Infrastruktur. Zu beachten ist grundsätzlich, dass privatwirtschaftliche Unternehmen ebenso betroffen sein können wie Verwaltungsdienststellen, Stadtwerke oder andere öffentliche Einrichtungen.
Ein Beispiel hier ist der öffentliche Personennahverkehr, der ebenfalls als Kritische Infrastruktur gilt. Eine große Herausforderung ist sicherlich, dass betroffene Einrichtungen selbst herausfinden müssen, ob sie nach den neuen Vorgaben Betreiber Kritischer Infrastrukturen sind. Schon ab dem ersten Werktag, an dem sie die Schwellenwerte der BIS-KritisV 2.0 erreichen, müssen sie die Anforderungen des IT-SiG 2.0 erfüllen.
Das neue Gesetz sieht für all diese Organisationen umfangreiche Sicherheitsmaßnahmen vor. Für KRITIS-Betreiber besteht die Pflicht, ihre IT-Sicherheit beispielsweise durch vorgegebene Systeme zur Angriffserkennung auf dem neuesten Stand der Technik zu halten, Störungen zu melden, eine dauerhaft erreichbare Kontaktstelle einzurichten und einen jährlichen Lagebericht zu erstellen.
Diese Systeme zur Angriffserkennung müssen laut Gesetz „geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten“ (§ 8a Abs. 1a BSIG). Dabei soll der Stand der Technik eingehalten werden. Diesen Anspruch erfüllt beispielsweise ein „Security Information and Event Management“-System (SIEM). Dabei handelt es sich um ein softwarebasiertes Technologiekonzept, mit dem ein ganzheitlicher Blick auf die IT-Sicherheit möglich wird.
Komponenten mit Garantie
Außerdem dürfen KRITIS-Betreiber nur noch kritische Komponenten verbauen, für die der Hersteller eine Garantieerklärung abgegeben hat. Produkte, die vom Bundesministerium des Innern als nicht vertrauenswürdig eingestuft werden, dürfen von KRITIS-Betreibern dann nicht mehr eingesetzt werden. Somit sind nun auch explizit Zulieferer von KRITIS-Betreibern von dem Gesetz betroffen.
Darüber hinaus erhält das BSI mehr Befugnisse beim Aufdecken und Abwehren von Cyber-Angriffen. So darf das Bundesamt zur Erhöhung der Sicherheit in den Mobilfunknetzen künftig Portscans durchführen, um Sicherheitslücken an den Schnittstellen von IT-Systemen zu öffentlichen Telekommunikationsnetzen aufzudecken. Mit knapp 800 neuen Planstellen ist hierfür ein massiver Ausbau des Personals geplant. Die umfangreiche Aufstockung von Kompetenzen und Personal im BSI sowie die Ausweitung des KRITIS-Geltungsbereichs stellt den öffentlichen Sektor von gesetzlicher Seite vor teils große Herausforderungen. Eine praktikable Lösung bietet eine umfangreiche SIEM-Plattform.
Das Security-Management-System von Splunk beispielsweise ermöglicht es, große Datenmengen unabhängig von Format und Quelle nahezu in Echtzeit zu überwachen, zu untersuchen und zu analysieren. Das Monitoring von Schwachstellen, Auffälligkeiten und Abweichungen unterstützt bei der schnellen Identifizierung der Angreifer. Um eine wirksame IT-Sicherheit aufzubauen, können bereits vorhandene eigene Daten als Handlungsgrundlage dienen. Ebenso kann das SIEM bei der Etablierung und Modernisierung eines dedizierten IT-Sicherheitsbetriebs enorme Dienste leisten. Eine SIEM-Lösung bietet den IT-Sicherheitsverantwortlichen Transparenz und handfeste Ergebnisse auf einer zentralen Plattform, die alle wichtigen Kernfunktionen für einen sicheren Betrieb abdeckt: Monitoring, Bedrohungserkennung, Analyse und Reaktion.
Frühzeitige Angriffserkennung
Cyber-Attacken gehören beinahe schon zum Alltag. Das haben zuletzt vor allem die sich häufenden Ransomware-Angriffe deutlich gemacht, die weder vor Versorgungsunternehmen noch vor Kliniken Halt machen. Systeme zur frühzeitigen Angriffserkennung sind in der Abwehr solcher Bedrohungen ein zentraler Baustein – einer, den KRITIS-Betreiber nun verpflichtend vorweisen müssen. Sie müssen sehr viel genauer darüber Bescheid wissen, was in sämtlichen ihrer Systeme, Netze und Endpunkte vorgeht.
Dieser Beitrag ist in der Ausgabe März/April 2022 von stadt+werk erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren.
Zenner / EMT: Praxisnähe auf Metering Days
[13.11.2024] Die Unternehmen Zenner International und aktiver EMT werden auch in diesem Jahr an den Metering Days in Fulda teilnehmen. mehr...
Kisters: IT-Security zertifiziert
[12.11.2024] Kisters belegt Effizienz der Maßnahmen für IT-Security mit Zertifizierung nach SOC 2 Typ 2 und BSI C5 Typ 2. mehr...
dena: KI in Fernwärmenetzen
[11.11.2024] Konkrete Handlungsempfehlungen und Praxisbeispiele für eine effizientere und klimafreundlichere Fernwärmeversorgung mithilfe von Künstlicher Intelligenz (KI) hat die dena veröffentlicht. mehr...
cortility: IT-Ausblick für 2025
[04.11.2024] Ab 2025 müssen sich die Energieversorger der Herausforderung des Lieferantenwechsels innerhalb von 24 Stunden stellen. Zudem werden dynamische Tarife und zeitvariable Netzentgelte eingeführt – und die Migration auf SAP S/4 HANA steht an. Was bedeutet das für die Prozesse im Stadtwerk? Ein Ausblick des IT-Dienstleisters cortility. mehr...
WAGO: Lösungen für Cybersecurity
[29.10.2024] Unter dem Motto „OPEN. For Smart Industry Solutions“ präsentiert WAGO auf der SPS – Smart Production Solutions in Nürnberg seine neuesten Entwicklungen aus den Bereichen OT-Security und Energiemanagement. mehr...
Somentec: Start einer AS4-Komplettlösung für den Gasmarkt
[28.10.2024] Somentec bringt gemeinsam mit SHERPA-X eine AS4-Komplettlösung für den Gasmarkt auf den Weg. Die praxiserprobte Plattform, die für den sicheren Austausch von B2B-Nachrichten entwickelt wurde, steht Gasversorgern ab sofort zur Verfügung und wird ab dem 1. April 2025 für alle Marktteilnehmer verbindlich. mehr...
Support: Externe Unterstützung
[14.10.2024] Das IT-Haus cortility bietet Unternehmen der Energiewirtschaft das Dienstleistungspaket SAP Basis Support an. Das Spektrum reicht dabei von der temporären Unterstützung des Kundenteams bis zur Übernahme der Gesamtverantwortung. mehr...
SHERPA-X: AS4-Lösung für den Gasmarkt
[02.10.2024] Im deutschen Gasmarkt startet die Kommunikation über den AS4-Standard. SHERPA-X bietet den Marktteilnehmern mit einer End-to-End-Lösung umfassende Unterstützung, um die Umstellung schnell und effizient zu gestalten. mehr...
SachsenEnergie: GISA unterstützt bei SAP-Systemen
[01.10.2024] Der IT-Dienstleister GISA unterstützt SachsenEnergie bei der Betreuung ihrer SAP IS-U Systeme. Ziel ist es, den Fachbereich von Transformationsprojekten zu entlasten und Prozesse wie Kundenservice, Abrechnung und Marktkommunikation zu optimieren. mehr...
Wilken Software Group: Online-Plattform zur Weiterbildung
[01.10.2024] Die Wilken Software Group hat eine neue Aus- und Weiterbildungsplattform für Fachkräfte und Anwender in der Versorgungswirtschaft gestartet. Das Angebot soll Unternehmen dabei unterstützen, sich angesichts steigender Marktanforderungen und des Fachkräftemangels auf regulatorische Veränderungen vorzubereiten. mehr...
SAP: Milliarden für sichere Cloudlösungen
[20.09.2024] In den kommenden zehn Jahren will SAP mehr als zwei Milliarden Euro in die Entwicklung hochsicherer Cloudlösungen für den öffentlichen Sektor und stark regulierte Branchen investieren. mehr...
GISA: BI-Angebot erweitert
[09.09.2024] Der IT-Dienstleister GISA verstärkt sein Angebot im Bereich Business Intelligence (BI). Neben SAP-Lösungen bietet das Unternehmen nun auch BI-Beratung und -Implementierung für Microsoft Power BI, MicroStrategy und Open Source-Technologien an. mehr...
Kisters: Lösung für griechischen Versorger
[30.08.2024] Die Public Power Corporation (PPC), der größte Energieversorger Griechenlands, hat IT-Lösungen von Kisters implementiert, um seine Handels- und Beschaffungsstrategien auf den Strommärkten zu optimieren. mehr...
Saarland: Drei Stadtwerke, eine Plattform
[28.08.2024] Die Stadtwerke Saarlouis, Völklingen und Neunkirchen haben einen Kooperationsvertrag zur Einführung einer gemeinsamen ERP-Plattform unterzeichnet. Ziel ist es, Geschäftsprozesse zu optimieren und flexibler auf Kundenwünsche reagieren zu können. mehr...
Osnabrück: Halbzeit beim Glasfaserausbau
[23.08.2024] Für den Glasfaserausbau in Osnabrück ist Halbzeit. Zeit, die Ausbaugebiete für 2025 vorzustellen. mehr...