KRITIS Information Security

Management-System (ISMS)

Für die wirksame Behandlung von Cyberrisiken in KRITIS-Anlagen und in Einrichtungen (NIS2) ist ein Management-System für Informationssicherheit (ISMS) notwendig, das den Geltungs­bereich abdeckt und dort notwendige Maßnahmen der Informations- und IT-Sicherheit steuert.

Rollen

Im ISMS haben verschiedene Rollen definierte Aufgaben im Geltungsbereich, u.a.:

• CISO oder ISO: Leitung ISMS und Verantwortung für Vorgaben der Informationssicherheit
• IT-Leiter: Verantwortung für Umsetzung der Vorgaben und von Maßnahmen im IT-Betrieb
• Asset-Verantwortliche: Schutz der eigenen Assets durch Umsetzung von Maßnahmen
• Leiter operative Sicherheit: Reaktion und Behandlung von Sicherheitsvorfällen

Verantwortlichkeiten

Die Verantwortungen der einzelnen Rollen für Informationssicherheit müssen verbindlich festgelegt werden — eindeutig (A und R) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung). Mögliche Orte für die Festlegungen durch das ISMS sind:

1. Rollenbeschreibungen
2. RACI-Matrizen
3. Prozessbeschreibungen
4. Funktionsbeschreibungen
5. Ernennungsurkunden

Prozesse

Mit Prozessen steuert das ISMS die Informationssicherheit in der IT der KRITIS-Anlagen, u.a.:

• ISMS-Steuerung: Betrieb des Management-Systems — Ausübung von Governance
• Risikoanalyse: Analyse der Informationssicherheit von Assets und der IT, Durchführung der Schutzbedarfsfeststellung (SBF), Feststellung von Risiken
• Risikobehandlung: Entscheidung und Auswahl von Optionen in der Risikobehandlung (RBH) — Definition von Maßnahmen für Informations- und IT-Sicherheit der Assets und IT
• Reporting: Meldewesen innerhalb des Betreibers zur KRITIS-Anlage zum Stand des ISMS
• ISMS-Überprüfung: Eigener Prozess zur Überprüfung im ISMS, siehe interne Audits
• ISMS-Verbesserung: Kontinuierliche Verbesserung im ISMS — PDCA-Zyklus

Standards

Die KRITIS-Regulierung schreibt keine verbindlichen Cyber Security Standards für Kritische Infrastrukturen vor, Betreiber können die Umsetzung frei entscheiden. Einige bekannte Standards zum Aufbau eines KRITIS-ISMS umfassen:

Von der Wahl­freiheit gibt es Ausnahmen in bestimmten Branchen, die besonders reguliert sind und/oder einen Branchen­standard umsetzen müssen.

Nachweise

Artefakte als Nachweis für ein laufendes und funktionierendes Management-System sind u.a.:

1. Protokolle
2. Entscheidungen
3. Risikoeinschätzungen
4. Getroffene Maßnahmen

Richtlinien und Vorgaben

Die Sicherheitsziele des ISMS in den KRITIS-Anlagen müssen in einer zentralen Leitlinie (Policy) zur Informationssicherheit verankert werden. Diese Leitlinie sollte die Ziele des Unternehmens, den KRITIS- und regulatorischen Rahmen und die Bedrohungslage abbilden. Basierend auf der Leitlinie dokumentiert das ISMS in seinen weiteren Richtlinien die Anforderungen an Informationssicherheit im Geltungsbereich der KRITIS-Anlage.

Rahmenwerk

Die normativen Vorgaben zur Informationssicherheit legt das ISMS in seinem Rahmenwerk fest — in strategischen Richtlinien und operativen Anweisungen (Policies und Procedures). Das Rahmenwerk muss im KRITIS-Geltungsbereich gültig sein und die relevanten Themen abdecken — und jährlich überprüft und durch die Leitung freigegeben werden.

Abweichungen

Ausnahmen von Vorgaben der Informationssicherheit und abweichende Umsetzungen in KRITIS-Anlagen müssen von autorisierten Gremien freigegeben und dokumentiert werden. Die Risiken dieser Ausnahmen vom Vorgabenwerk und Gründe für die Abweichungen müssen dokumentiert und regelmäßig überprüft werden.

Nachweise

Nachweise für effektive Vorgaben und Richtlinien im ISMS sind u.a.:

1. Aktuelle Richtlinien
2. Freigaben
3. Revisionhistorien
4. Änderungen
5. Entscheidungen

Interne Audits

Das ISMS muss regelmäßig Audits in den KRITIS-Anlagen durchführen oder veranlassen, um die Compliance von IT-Systemen und den Umgang mit Schwachstellen zu überprüfen. Dies dient einerseits der Compliance mit ISMS-Vorgaben, aber auch der eigenen Verbesserung und Weiterentwicklung des ISMS (KVP).

Arten von Audits

Informationssicherheit in KRITIS-Anlagen kann durch das ISMS mit folgenden Audits überprüft werden — und sollte zu effektiven Verbesserungen führen.

• Compliance-Prüfungen: Überprüfung der Richtlinien-Konformität von IT-Prozessen
• Schwachstellen-Scans: Technische Scans und Tests der IT-Systeme auf Schwachstellen
• IT-Prüfungen: Überprüfung der Richtlinien-Konformität der IT-Systeme von KRITIS-Anlagen
• Externe Audits: Unabhängige Überprüfung von Prozessen der Systemen durch Dritte

Nachweise

Nachweise für funktionierende interne Audits zur Verbesserung des ISMS sind u.a.:

1. Prüfberichte
2. Prüfpläne
3. Festgelegte Maßnahmen
4. Durchgeführte Maßnahmen

Integration im Unternehmen

Das ISMS muss für eine nachhaltige Verbesserung der Informationssicherheit im Betrieb mit weiteren Management-Systemen beim KRITIS-Betreiber vernetzt sein.

• Personalsicherheit: Vorgaben für HR-Security und Kontrollen in Personalprozessen.
• Lieferanten und Sicherheit: Vorgaben für Sicherheit bei Lieferanten, Dienstleistern und im Einkauf
• Risiko-Management: Meldung von Risiken und Maßnahmen an das Unternehmens-Risiko-Management, Abgleich von Methoden und Definitionen
• Asset-Management: Abgleich von Asset-Informationen der Assets in Scope der Anlage
• BCM: Austausch von Risiken und Maßnahmen, gemeinsame Risikobehandlung und Pläne
• IT-Betrieb und IT-Sicherheit: Definition und Begleitung der Maßnahmen-Umsetzung im Betrieb; Austausch zu operativen Risiken und Bedrohungen
• IT-Notfallmanagement: Behandlungsoption für Maßnahmen zur Ausfallsicherheit; gemeinsame Sicht auf IT-Assets und deren Risiken
• KRITIS-Organisation: Abgleich Geltungsbereich ISMS und Geltungsbereich KRITIS; Definition der IT-Systeme und Prozesse im Scope; Zusammenarbeit im Meldewesen

Literatur

1. KRITIS-FAQ: Nutzung eines bestehenden ISO 27001-Zertifikats als Bestandteil eines Nachweises gemäß § 8a Absatz 3 BSIG, Bundesamt für Sicherheit in der Informationstechnik, o.D.
2. Implementierungsleitfaden ISO/IEC 27001:2013, Ein Praxisleitfaden für die Implementierung eines ISMS, ISACA Germany Chapter, Mai 2016
3. IT-Grundschutz-Baustein (200-1): ISMS.1: Sicherheitsmanagement, Bundesamt für Sicherheit in der Informationstechnik, Februar 2023
4. Framework for Improving Critical Infrastructure Cybersecurity, NIST - National Institute of Standards and Technology, Version 1.1, April 2018
5. IT-Grundschutz-Baustein (200-1): DER.3.1: Audits und Revisionen, Bundesamt für Sicherheit in der Informationstechnik, Februar 2023

Standards

1. ISO/IEC 27001:2013, Information technology - Security techniques - Information security management systems - Requirements, International Organization for Standardization
2. DIN EN ISO/IEC 27001, Informationstechnik - Sicherheitsverfahren - Informationssicherheits­managementsysteme - Anforderungen, Deutsche Fassung EN ISO/IEC 27001:2017
3. BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS), Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, Oktober 2017
4. IT-Grundschutz-Bausteine, Edition 2021, Bundesamt für Sicherheit in der Informationstechnik

Quellen

1. Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen, Bundesamt für Sicherheit in der Informationstechnik, Version 1.0, 28.2.2020
2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 73 der Verordnung vom 19. Juni 2020 (BGBl. I S. 1328) geändert worden ist