Das BSIG steht für "BSI-Gesetz" und ist das Gesetz zur Erhöhung der
Sicherheit informationstechnischer Systeme. Es handelt sich um Gesetz, das die Sicherheit von informationstechnischen
Systemen in Deutschland regelt und insbesondere die Sicherheit von
kritischen Infrastrukturen (KRITIS) gewährleisten soll.
Das BSIG sieht bestimmte Pflichten für Unternehmen vor, insbesondere für Betreiber sogenannter "Kritischer Infrastrukturen" (KRITIS), die in den Sektoren Energie, Wasser, Ernährung, Informationstechnik und
Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport
und Verkehr oder Staat und Verwaltung tätig sind. Eine dieser Pflichten ist die Registrierungspflicht beim BSI. Gemäß § 8a BSIG müssen Betreiber von Kritischen Infrastrukturen ihre IT-Systeme und -Prozesse beim BSI registrieren lassen.
Die IT-Sicherheitsrichtlinie für Kritische Infrastrukturen (IT-SiG 2.0) ist ein Regelwerk,
das spezielle Anforderungen an die IT-Sicherheit von KRITIS-Betreibern stellt. Es handelt sich dabei um eine Ergänzung zur bereits bestehenden IT-Sicherheitsrichtlinie gemäß § 8a Abs. 1 des BSI-Gesetzes (Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme), die für Betreiber kritischer Infrastrukturen in Deutschland verbindlich ist.
Die IT-SiG 2.0 legt zusätzliche Pflichten für KRITIS-Betreiber in Bezug auf IT-Sicherheit fest. Einige der Hauptpflichten im Rahmen von IT-SiG 2.0 können sein:
1. Meldepflicht: KRITIS-Betreiber müssen Sicherheitsvorfälle, die ihre IT-Systeme betreffen, an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Dies umfasst sowohl erfolgreiche Cyberangriffe als auch Versuche von Cyberangriffen, die zu einer Beeinträchtigung der Verfügbarkeit, Integrität, Vertraulichkeit oder Authentizität von IT-Systemen führen können.
2. Risikomanagement: KRITIS-Betreiber müssen ein Risikomanagement betreiben und Maßnahmen ergreifen, um die IT-Sicherheit ihrer Systeme zu gewährleisten. Dies beinhaltet die Identifikation, Bewertung und Priorisierung von Risiken sowie die Implementierung von angemessenen Sicherheitsmaßnahmen.
3. Technische und organisatorische Maßnahmen (TOM): KRITIS-Betreiber müssen technische und organisatorische Maßnahmen ergreifen, um die IT-Sicherheit ihrer Systeme zu gewährleisten. Dies kann beispielsweise die Einführung von Zugriffskontrollen, Verschlüsselung, Monitoring, Incident-Response-Plänen und regelmäßigen Sicherheitsaudits umfassen.
4. Zertifizierung: KRITIS-Betreiber können verpflichtet sein, ihre IT-Sicherheitsmaßnahmen von unabhängigen Prüfstellen überprüfen und zertifizieren zu lassen, um ihre Compliance mit den Anforderungen von IT-SiG 2.0 nachzuweisen.
5. Zusammenarbeit mit Behörden: KRITIS-Betreiber müssen mit den zuständigen Behörden, wie dem BSI und anderen relevanten Stellen, zusammenarbeiten und Informationen über IT-Sicherheitsvorfälle oder Risiken bereitstellen.
Als Kritis-Betreiber, also als Betreiber einer kritischen Infrastruktur gemäß dem IT-Sicherheitsgesetz (IT-SiG), müssen bestimmte technische Maßnahmen ergriffen werden,
um die Sicherheit und Verfügbarkeit der kritischen Infrastruktur zu gewährleisten. Hier sind einige der wichtigsten Mittel, mit denen ein Kritis-Betreiber technisch aufwarten muss. 1. Netzwerksicherheit:
Ein Kritis-Betreiber muss ein robustes Netzwerksicherheitskonzept implementieren, das Firewall-Systeme, Intrusion-Detection- und Prevention-Systeme (IDS/IPS), Virtual Private Networks (VPNs) und andere Technologien umfasst, um die Integrität und Vertraulichkeit des Datenverkehrs zu schützen.
2. Identitäts- und Zugriffsmanagement:
Ein wirksames Identitäts- und Zugriffsmanagement (IAM) ist entscheidend, um unbefugten Zugriff auf kritische Systeme und Daten zu verhindern. Hierzu gehören starke Authentifizierungsmethoden wie Mehr-Faktor-Authentifizierung (MFA) sowie die strikte Vergabe von Zugriffsrechten basierend auf den Rollen und Verantwortlichkeiten der Benutzer.
3. Patch-Management: Regelmäßige Aktualisierung und Patching von Betriebssystemen, Anwendungen und anderen Softwarekomponenten sind unerlässlich, um bekannte Schwachstellen zu schließen und Sicherheitslücken zu minimieren.
4. Incident-Response: Ein gut durchdachtes Incident-Response-Plan und entsprechende technische Vorkehrungen sind erforderlich, um auf Sicherheitsvorfälle schnell und effizient zu reagieren, um Auswirkungen zu minimieren und den Betrieb der kritischen Infrastruktur wiederherzustellen.
5. Datenschutz und Verschlüsselung: Sensible Daten müssen angemessen geschützt werden, sowohl im Ruhezustand als auch während der Übertragung. Dies erfordert den Einsatz von Verschlüsselungstechnologien, um die Vertraulichkeit und Integrität von Daten zu gewährleisten.
6. Physische Sicherheit: Die physische Sicherheit der kritischen Infrastruktur ist ebenfalls von großer Bedeutung und erfordert den Einsatz von Sicherheitsmaßnahmen wie Zutrittskontrollen, Videoüberwachung, Einbruchserkennungssysteme und gegebenenfalls redundante Stromversorgungssysteme.
7. Monitoring und Logging: Ein umfassendes Monitoring- und Logging-System ermöglicht die Überwachung von Systemen und Netzwerken in Echtzeit, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren. Logs sollten protokolliert und für spätere Überprüfungen und forensische Untersuchungen zur Verfügung gestellt werden.
8. Backup und Wiederherstellung: Regelmäßige Backups von kritischen Systemen und Daten sind notwendig, um den Betrieb im Falle eines Ausfalls oder eines Sicherheitsvorfalls wiederherzustellen. Wiederherstellungsverfahren sollten getestet und aktualisiert werden, um sicherzustellen, dass sie im Bedarfsfall effektiv funktionieren.
Gemäß IT-SIG können Meldepflichten bei Störungen oder Vorfällen für Betreiber kritischer Infrastrukturen bestehen. Hier sind einige grundlegende Informationen zu Meldepflichten gemäß IT-SIG:
1. Meldepflicht an das Bundesamt für Sicherheit in der Informationstechnik (BSI): Gemäß § 8a IT-SIG sind Betreiber kritischer Infrastrukturen verpflichtet, dem BSI Störungen oder Vorfälle zu melden, die die Verfügbarkeit, Integrität, Vertraulichkeit oder Authentizität ihrer informationstechnischen Systeme oder Komponenten erheblich beeinträchtigen. Die Meldepflicht gilt für Störungen oder Vorfälle, die zu einem Ausfall oder einer erheblichen Beeinträchtigung der kritischen Dienste führen.
2. Meldepflicht an andere Stellen: Betreiber kritischer Infrastrukturen können auch verpflichtet sein, Störungen oder Vorfälle anderen Stellen, wie beispielsweise den zuständigen Landesbehörden, zu melden, je nach den spezifischen Anforderungen gemäß IT-SIG oder anderen geltenden Vorschriften.
3. Dokumentation: Eine angemessene Dokumentation von Störungen oder Vorfällen, einschließlich Art, Umfang, Dauer und Auswirkungen, ist oft erforderlich, um den Meldepflichten gemäß IT-SIG nachzukommen.
Nach §9b BSIG müssen kritische Komponenten in der Telekommunikation tatsächlich gemeldet werden.
§9b BSIG, auch bekannt als "Meldepflicht für kritische Komponenten", wurde im Rahmen des IT-Sicherheitsgesetzes 2.0 eingeführt und legt fest, dass Betreiber von Telekommunikationsnetzen bestimmte sicherheitsrelevante Vorfälle und Schwachstellen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden müssen.
Gemäß §9b BSIG sind Betreiber von Telekommunikationsnetzen verpflichtet, dem BSI Vorfälle zu melden, die erhebliche Auswirkungen auf die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit von Telekommunikationsnetzen oder von Diensten, die auf solchen Netzen angeboten werden, haben können. Dazu gehören unter anderem Angriffe auf kritische Komponenten wie Router, Switches, Funkmasten, Glasfaserkabel und Übertragungssysteme, die zu einer Beeinträchtigung der Netzwerksicherheit oder des ordnungsgemäßen Betriebs führen können.
Die genauen Meldepflichten, Verfahren und Fristen sind im §9b BSIG sowie in den entsprechenden Ausführungsbestimmungen und technischen Richtlinien des BSI festgelegt.