KRITIS Security-Standards
Nationale und internationale Sicherheitsstandards können Betreibern beim Schutz ihrer Kritischen Infrastrukturen helfen, indem sie Cybersecurity Maßnahmen nach Stand der Technik und strukturiertes Risiko-Management im ISMS definieren.
- Konkretisierung der Anforderungen (KdA)
- ISO 27001 Standards
- Branchenstandards
- NIS2-Mapping
- OH SzA-Mapping
- NIS2 Implementing Act
- DORA-Mapping
Die Regulierung für KRITIS und auch NIS2 schreibt normativ keine genauen Standards vor, die Betreiber umsetzen müssen. Die Nutzung von Industriestandards erleichtert die Umsetzung und den Nachweis vom Stand der Technik in der Regel. Die OpenKRITIS-Mappings von KRITIS auf Standards, NIS2 auf KRITIS/ISO und DORA auf NIS2/C5/ISO erleichtern die Zuordnung.
| Standard | Bereich | Umfang | Zertifikat | BSIG-Prüfung |
|---|---|---|---|---|
| Konkretisierung (KdA) | KRITIS | Kontrollen | ◉ | |
| IDW PH 9.860.2 | KRITIS | Kontrollen | ◉ | |
| NIS2 §30 Control Mapping | NIS2 | Vorgaben allgemein | ||
| NIS2 Implementing Act | NIS2 IA | Kontrollen IT und Internet | ||
| DORA Control Mapping | DORA | Kontrollen Finanzsektor | ||
| C5:2020 | Cloud | Kontrollen | ◉ | ⬚ |
| BSI IT-Grundschutz | Informationssicherheit | ISMS, Vorgehen, Bausteine | ◉ | ⬚ |
| Orientierungshilfe SzA | Angriffserkennung | Kontrollen | ⬚ | |
| ISO 27001:2022 | Informationssicherheit | Kontrollen | ◉ | ⬚ |
| ISO 27011 | Telekommunikation | Zusatz-Kontrollen | mit 27001 | |
| ISO 27017 | Cloud | Zusatz-Kontrollen | mit 27001 | |
| ISO 27018 | Datenschutz Cloud | Zusatz-Kontrollen | mit 27001 | |
| ISO 27019 | Energie | Zusatz-Kontrollen | mit 27001 | |
| IEC 62443 | Industrieanlagen | Kontrollen, Vorgehen | mit 27001 | |
| B3S Branchenstandards | KRITIS-Branchen | ISMS, Kontrollen | ⬚ |
Mapping von Cyber Security Standards und KRITIS
Abgleich von BSI KRITIS, C5, ISO 27001 und TKG Katalog 2.0.
PDF ∙
OpenKRITIS-Analyse von KRITIS-Standards ∙ 2024
KRITIS-Standards
NIS2-Vorgaben
Es gibt in 2025 noch wenig NIS-spezifische Standards oder spezielle Anpassungen für NIS2.
- NIS2 §30 Vorgaben: In der NIS2-Richtlinie und deutschen Gesetz sind in §30 bereits konkrete Vorgaben enthalten.
- NIS2 Implementing Act: Für bestimmte IT- und Internet-Provider schreibt die EU direkt Maßnahmen per Implementing Act vor
- Konkretisierungen vom BSI zu NIS2 fehlen noch
- Prüfstandards zu NIS2 fehlen noch
IDW PH 9.860.2
Der Prüfhinweis PH 9.860.2 für Kritische Infrastrukturen ist kein Sicherheitsstandard per se, sondern richtet sich an Prüfungsgesellschaften für die Durchführung von KRITIS-Prüfungen. Analog zum BSI-Dokument Konkretisierung der Anforderungen basiert der PH 9.860.2 auf C5:2016, abgewandelt für Kritische Infrastrukturen.
Der Schwerpunkt vom IDW PH 9.860.2 ist der kontroll-basierte Nachweis von KRITIS-Anforderungen, der Standard beschreibt daher ein prüfbares Kontroll-Rahmenwerk das Betreiber (in der Vorbereitung) und Prüfer für KRITIS nutzen können.
| Kapitel | Inhalt | Kontrollen |
|---|---|---|
| 2.1 | Informationssicherheitsmanagementsystem (ISMS) | 4 |
| 2.2 | Asset Management | 8 |
| 2.3 | Risikoanalysemethode | 4 |
| 2.4 | Continuity Management | 3 |
| 2.5 | Technische Informationssicherheit | 36 |
| 2.6 | Personelle und organisatorische Sicherheit | 15 |
| 2.7 | Bauliche/physische Sicherheit | 6 |
| 2.8 | Vorfallserkennung und -bearbeitung | 6 |
| 2.9 | Überprüfung im laufenden Betrieb | 14 |
| 2.10 | Externe Informationsversorgung und Unterstützung | 3 |
| 2.11 | Meldewesen | 1 |
| 2.12 | Externe | 2 |
Anpassungen am IDW Prüfhinweis für C5:2020 und weitere Änderungen wie die OH SzA sind in Arbeit.
Weitere BSI Standards
C5 Cloudsecurity
C5 ist ein Standard für Informationssicherheit in Cloud Computing, herausgegeben vom BSI. Obwohl formell auf Cloud-Anbieter fokussiert, wird C5 in der Industrie häufig als genereller Sicherheitsstandard eingesetzt — auch bei KRITIS-Betreibern. Sowohl die Konkretisierung der Anforderungen des BSI als auch der IDW KRITIS Prüfhinweis 9.860.2 nutzen C5-Kontrollen.
Der C5-Standard enthält vor allem Sicherheitsanforderungen in einer großen Bandbreite an Einzelthemen — definiert in 127 Kontrollen in der aktuellen Version C5:2020.
| Kapitel | Bereich | Kontrollen |
|---|---|---|
| OIS | Organisation | 7 |
| SP | Richtlinien | 3 |
| HR | Personal | 6 |
| AM | Asset Management | 6 |
| PS | Physische Sicherheit | 7 |
| OPS | Regelbetrieb | 24 |
| IDM | Identitäten und Berechtigungen | 9 |
| CRY | Kryptographie | 4 |
| COS | Kommunikationssicherheit | 8 |
| PI | Portabilität und Interoperabilität | 3 |
| DEV | Beschaffung und Entwicklung | 10 |
| SSO | Dienstleistersteuerung | 5 |
| SIM | Vorfallsmanagement | 5 |
| BCM | Business Continuity Management | 4 |
| COM | Compliance | 4 |
| INQ | Staatliche Stellen | 4 |
| PSS | Produktsicherheit | 12 |
Die BSI KRITIS-Anforderungen nutzen aktuell noch C5:2016, die aktuellen C5:2020 Kontrollen sind im Mapping KRITIS auf C5 aufgeführt, das auch ISO 27001, NIST CSF und TKG enthält.
BSI IT-Grundschutz
IT-Grundschutz ist ein nationaler allgemeiner Standard für Informationssicherheit, der seit 1994 vom BSI herausgegeben wird. Entstanden im Behördenumfeld, wird der IT-Grundschutz seit jeher vor allem von öffentlichen Aufgabenträgern eingesetzt, für die das methodisch sehr stringente Vorgehen teilweise verpflichtend ist. Der Standard besteht aus mehreren Teilen:
- BSI-Standard 200-1: Management-System für Informationssicherheit (ISMS)
- BSI-Standard 200-2: Methodik zum Aufbau des ISMS und Anwendung von Grundschutz
- BSI-Standard 200-3: Risikomanagement und Analyse-Vorgehen
- BSI-Standard 200-4 (Draft): Management-System für Business Continuity (BCM)
- Grundschutz-Bausteine: Die Bausteine definieren die Sicherheitsanforderungen in einzelnen Themengebieten, Umgebungen und Sicherheitsniveaus. Nicht alle Bausteine sind verpflichtend.
- Grundschutz-Kompendium: Das Kompendium, vormals die Kataloge (mit ca. 3000 Seiten), enthält die Grundschutz-Bausteine, Gefährdungen und Struktur zum Vorgehen.
- Elementargefährdungen: 47 zusammengefasste elementare Gefährdungen für die Risikoanalyse.
Eine Zertifizierung nach BSI IT-Grundschutz kann wie ISO 27001 im Rahmen des Nachweisprozesses der KRITIS-Prüfungen einige Schritte erleichtern.
Es gibt weiterhin Bestrebungen, mit der Methodik vom IT-Grundschutz Gerüste für den Geltungsbereich und branchenspezifische Referenzarchitekturen
von Anlagen zu entwickeln (Profile bzw. Bausteine).
Die allgemeinen BSI IT-Grundschutz Bausteine decken sehr viele Themen ab mit jeweils noch viele Einzel- und Unteranforderungen.
Weitere Informationen
Literatur
- Referenzierung des Kriterienkatalog Cloud Computing C5:2020 auf internationale Standards, Kreuzreferenztabelle C5, Bundesamt für Sicherheit in der Informationstechnik, o.D.
- NIST Critical Infrastructure Resources, National Institute of Standards and Technology
- Benefits of an Updated Mapping between the NIST Cybersecurity Framework and the NERC Critical Infrastructure Protection Standards, National Institute of Standards and Technology, September 2021
- Nutzung eines bestehenden ISO 27001-Zertifikats als Bestandteil eines Nachweises gemäß §8a Absatz 3 BSIG, FAQ, Bundesamt für Sicherheit in der Informationstechnik
- Broschüre Informationssicherheit mit System - Der IT-Grundschutz des BSI", Bundesamt für Sicherheit in der Informationstechnik, 2021
- NIST Cybersecurity Framework, Webseite, NIST - National Institute of Standards and Technology