KRITIS im Jahr 2023 Höhere Anforderungen an die physische Sicherheit Kritischer Infrastrukturen

Anbieter zum Thema

Kentix GmbH

VON ZUR MÜHLEN'SCHE GmbH

EPS Rechenzentrum Infrastruktur GmbH

Um den neuen Anforderungen aus dem KRITIS Dachgesetz und dem IT-Sicherheitsgesetz 3.0 gerecht zu werden, müssen Betreiber wesentlich mehr Auflagen erfüllen.

Im unserem täglichen Leben wie in der Politik setzt sich zunehmend die Erkenntnis durch, dass die Kritischen Infrastrukturen bislang bei weitem nicht ausreichend auf Krisen und Sabotageangriffe vorbereitet und dagegen abgesichert sind. Zu viele voneinander abhängige Systeme sind teilweise gar nicht geschützt und bringen durch den Dominoeffekt auch diejenigen ins Wanken, die bereits mit viel Aufwand und Sorgfalt abgesichert wurden. Der Druck beschleunigt auch die politischen Entscheidungsprozesse erheblich. Mit weiteren schnellen Umsetzungen bereits vorbereiteter Gesetze zur Erhöhung der Sicherheit und Resilienz ist zu rechnen.

2023 bringt eine deutliche Verschärfung

Bereits 2015 setzte die Bundesregierung die NIS-Direktive der EU mit dem IT-Sicherheitsgesetz (IT-SiG) um, das zuletzt im Mai 2021 in einer Novellierung mehr Pflichten für einen größeren Betreiberkreis sowie mehr Befugnisse in der Durchsetzung für den Staat und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) mit sich brachte. Mit dem IT-SiG 2.0 gelten nun neben den Sektoren Energie, Wasser, Ernährung, Gesundheit, Transport/Verkehr, IT/TK (Datacenter), Finanzen/Versicherungen voraussichtlich im ersten Halbjahr 2023 auch die Entsorgung (s.g. Siedlungsabfallentsorgung) sowie Unternehmen im öffentlichen Interesse zur neu definierten Kritischen Infrastruktur.

Auch wurden niedrigere Schwellwerte für Betreiber festgelegt und stärkere Sanktionen (ähnlich zur DSGVO) festgelegt. Mit dem IT-SiG 2.0 geht man nun von rund 1.600 KRITIS-Betreibern in Deutschland aus – ein Plus von 300.

Experten und viele KRITIS-Betreiber bemängeln, dass der allgemein gültige Schwellwert von 500.000 versorgten Menschen das Ziel einer resilienten Versorgung der Bevölkerung verfehlt. Beispielsweise werden damit aktuell nur 47 von 5.500 Wasserwerken als KRITIS definiert. Das sind gerade einmal 0,8 Prozent. Gleiches gilt für 11.000 Kommunen, die derzeit gar nicht vom IT-SiG Radar erfasst werden.

Die Umsetzung

Mit der durch das EU-Parlament und den EU-Rat verabschiedeten NIS2-Direktive steht bereits in 2023, spätestens Anfang 2024, die Umsetzung dieser Direktive mit dem IT-SiG 3.0 an. Zusätzlich zu bereits definierten KRITIS-Sektoren kommen voraussichtlich die Sektoren Raumfahrt, Chemie, Industrie, Digitale Dienste, ICT Services (Managed Service/Security Provider), Öffentliche Verwaltungen und Forschung hinzu. Entscheidend ist neben einer weiteren Verschärfung von Pflichten, Sanktionen und Befugnissen des BSI, dass sich die Schwellwerte für die Identifikation der KRITIS Unternehmen und Organisationen nach der Unternehmensgröße richten.

Demnach wird voraussichtlich ein Unternehmen aus den genannten Sektoren als KRITIS definiert, sobald es mehr als 50 Mitarbeiter hat und mehr als 10 Millionen Euro Umsatz im Jahr verzeichnet. Von der Einführung der umgesetzten NIS2-Direktive versprechen sich die regulierenden Behörden eine stärkere und resilientere Abdeckung gegen potentielle IT-Bedrohungen.

Die physische Sicherheit

Bereits 2015 regeln die Gesetze und Vorschriften in Teilen auch die physische Sicherheit der zu schützenden IT-Infrastruktur nach den Vorgaben des BSI-Grundschutzkompendiums (Modul INF.2). Doch was bislang vollständig fehlt, ist eine eine sektoren- und gefahrenübergreifende gesetzliche Grundlage, die explizit den physischen Schutz von kritischen Infrastrukturen abdeckt.

Diese Lücke in der gesetzlichen Regelung zur physischen Absicherung von kritischen Infrastrukturen schließt die Bundesregierung nun mit dem KRITIS-Dachgesetz, dessen Eckpunkte-Papier im Dezember 2022 vom Bundestag verabschiedet wurde. Es soll noch vor der Sommerpause 2023 in einem entsprechenden Gesetz umgesetzt werden.

Mit dem KRITIS-Dachgesetz beugt sich die Bundesregierung dem Handlungsdruck und nimmt gleichzeitig die aktuell zur Entscheidung stehende EU-Direktive RCE/CER vorweg. Ziel ist es, einen gesamtheitlichen Schutz und damit eine deutliche Resilienz von kritischen Infrastrukturen zu erreichen.

Zuständigkeiten

Die vom KRITIS-Dachgesetz betroffenen Sektoren sind Energie, Verkehr, Banken, Finanzmärkte, Gesundheit, Trinkwasser, Abwasser, Ernährung, Digitale Infrastruktur, öffentliche Verwaltungen, Raumfahrt, Medien/Kultur sowie Bildung und Betreuung. Die Identifikation der Betreiber soll nach quantitativen und qualitativen Kriterien erfolgen, die im Gesetz noch zu definieren sind.

Schwerpunkt der Schutzmaßnahmen sind einheitliche Mindestvorgaben für die physische Sicherheit sowie personelle und organisatorische Maßnahmen für die Sicherheit und Widerstandsfähigkeit. Die Ausgestaltung der konkreten Anforderungen bleibt abzuwarten, jedoch stehen Zugangskontrollen, Detektionssysteme und das Monitoring des Anlagenzustands an vorderer Stelle.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) wird zur nationalen Behörde für den physischen Schutz Kritischer Infrastrukturen und wird – in Zusammenarbeit mit dem BSI – die Meldungen über Sicherheitsvorfälle übernehmen sowie als übergreifende Behörde die sektorenübergreifende Auswertung vornehmen. Im Eckpunktepapier ist zudem ein klare Aufgabenverteilung zwischen BBK, BSI und BNetzA benannt, um doppelte Zuständigkeiten auszuschließen und einen schnellen Informationsfluss sicherzustellen.

Mehr physische Sicherheit benötigt gerade zu Beginn einen Mehraufwand in Planung und Umsetzung. Doch es gibt Wege, um diese Kosten zu amortisieren. Ein für verteilte Infrastrukturen geeignetes, voll digitalisiertes IoT-Sicherheitssystem ist in der Anschaffung bis zu 40 Prozent günstiger als konventionelle Sicherheitssysteme und kann, je nach Ausbau, die Mehrkosten der zusätzlichen Installationen durch einen deutlich geringeren Aufwand in Betrieb, Wartung und Instandhaltung voll kompensieren. Bei der Auswahl des Systems sind auf folgende Punkte zu achten:

• Das System sollte aus möglichst wenigen Komponenten bestehen und gleichzeitig Einbruchs- und Brandmeldung, Umgebungs-Monitoring, Zutrittskontrollsystem und optional Videodokumentation abdecken. Auf diese Weise reduzieren sich die Anschaffungskosten (CAPEX) und wird ein erhöhter Aufwand für Integration, Wartung und Instandhaltung verschiedener Systeme vermieden (geringe OPEX).

• Alle eingesetzte Komponenten sollten in einem PoE IP-Netzwerk betrieben werden können, welches zeitgemäß und zukunftssicher ist. Oftmals kann auf eine bestehende Infrastruktur zurück gegriffen werden. Damit entsteht ein sehr hoher Standardisierungsgrad der Verkabelung und Infrastruktur, der langfristig die Wartungs- und Instandhaltungskosten senkt.

• Den wesentlichen Unterschied eines digitalen Sicherheitssystems macht die Software aus. Diese sollte einfach sowie intuitiv zu bedienen sein. Wichtig ist, dass alle Geräte die gleiche Software nutzen und sich damit einfach und stabil vernetzen lassen.
  Eine zentrale Monitoring-Funktion aller Komponenten sowie das Zutritts-, Benutzer- und Alarmmangement sollte unbedingt enthalten sein. Das Management und Monitoring über mobile Apps sollte optional möglich sein und das Gesamtsystem über moderne nicht-proprietäre Schnittstellen wie SNMP, LDAP, Webhooks, ReST-API, etc. verfügen.
  Zentrale Software-Updates sollten aus der Ferne möglich sein, um mühelos neue Funktionen zu erhalten oder notwendige Sicherheits-Patches einzuspielen. Alle Konfigurations- und Nutzerdaten sollten immer On-Site und nicht in der Cloud gehalten werden können.

• Der Hersteller von Hard- und Software sollte aus einem vertrauenswürdigen EU-Land stammen und es sollten keine Software-Lizenzkosten entstehen.

• Das System sollte so beschaffen sein, dass es jederzeit modular und unbegrenzt mitwächst, zum Beispiel bei Standorterweiterungen, Unternehmenszukäufen oder Expansionen.

• Zutritts- und Zugriffssysteme sollten online und in Echtzeit betrieben und verwaltet werden können. Hierdurch entfällt die Programmierung an den jeweiligen Schließpunkten und es ist eine lückenlose Dokumentation möglich, wer wann wie lange Zutritt/Zugriff genommen hat. Auch der Türstatus jeder einzelnen Tür ist so 24/7 bekannt. Systeme, bei denen die Programmierung an jedem einzelnen Schließpunkt erfolgt oder keine Echtzeit-Dokumentation vorhanden ist, sind nicht mehr „State of the Art“.

• Wo immer möglich, sollte bei Zutritt- und Zugriffssystemen eine Multifaktor-Authentifizierung genutzt werden, um eine starke Authentifizierung zu gewährleisten. Das gilt sowohl für die Hardware als auch für die Verschlüsselungstechnologie der Software.

• Um jede Art von Ereignis, etwa Einbruchmeldung, Zutrittsbuchung oder Schwellwertüberschreitungen beim Umgebungsmonitoring zu dokumentieren, sollte das System IP-Kameras integrieren können. So lassen sich Ereignisse, aber auch ein Live-Bild von jedem Standort, einfach verifizieren.

* Jan Sanders ist Vertriebsleiter bei der Kentix GmbH.

(ID:49200643)