KRITIS

Materialien zum Buch . . . 13 Einleitung . . . 15 Wie Ihnen dieses Buch helfen kann -- und was es nicht ist . . . 17 Der Weg durch das Buch . . . 19 Danksagung . . . 23Teil I. Gesetzliche Anforderungen und Begriffe im KRITIS-Umfeld . . . 27 1. Geschichtliche Hintergründe zur Nachweisprüfung . . . 29 1. 1 . . . UP KRITIS . . . 42 1. 2 . . . Das IT-Sicherheitsgesetz von 2015 . . . 47 1. 3 . . . Das Gesetz zur Umsetzung der NIS-Richtlinie . . . 60 1. 4 . . . Das IT-Sicherheitsgesetz 2. 0 . . . 64 1. 5 . . . Die NIS-2-Richtlinie . . . 72 1. 6 . . . Das BSI-Gesetz (BSIG) . . . 75 2. Die Kritisverordnung . . . 81 2. 1 . . . Kritische Infrastrukturen . . . 81 2. 2 . . . Die Erarbeitung der Kritisverordnung . . . 82 2. 3 . . . Begriffe und Definitionen . . . 84 2. 4 . . . Sektoren nach dem BSIG . . . 87 2. 5 . . . Anlagenkategorien für kritische Dienstleistungen . . . 101 2. 6 . . . Anhänge zu den Sektoren . . . 102 2. 7 . . . Welche Betreiber fallen unter das BSIG? . . . 112 2. 8 . . . Unternehmen im besonderen öffentlichen Interesse (UBIs) . . . 114 3. Die IT-Sicherheitskataloge (IT-SiKat) für den Sektor Energie . . . 117 3. 1 . . . Die Bundesnetzagentur (BNetzA) . . . 119 3. 2 . . . Das Energiewirtschaftsgesetz (EnWG) . . . 120 3. 3 . . . Die IT-Sicherheitskataloge . . . 122 3. 4 . . . Die ISO/IEC 27019 -- Steuerungssysteme der Energieversorgung . . . 130Teil II. Bedeutung und Verantwortung des BSI für Kritische Infrastrukturen . . . 135 4. Die Unterstützung durch das BSI . . . 137 4. 1 . . . Die Gewährleistungsverantwortung gegenüber der Bevölkerung . . . 143 4. 2 . . . Die Meldestelle für Informationssicherheitsvorfälle . . . 144 4. 3 . . . Erstellung von Lagebildern und Weiterleitung von Information an die KRITIS-Betreiber . . . 145 4. 4 . . . Informations- und Meldeflüsse nach dem BSIG . . . 152 5. Die Orientierungshilfen (OH) des BSI . . . 159 5. 1 . . . OH zum Aufbau eines branchenspezifischen Sicherheitsstandards (B3S) . . . 159 5. 2 . . . OH zu Systemen zur Angriffserkennung (SzA) . . . 161 5. 3 . . . OH zu Nachweisen (für Prüfer) . . . 163 6. Vorgaben an die Art und Weise von Nachweisprüfungen . . . 169 6. 1 . . . Registrierung als KRITIS-Betreiber . . . 171 6. 2 . . . Das Melde- und Informationsportal (MIP) . . . 171 6. 3 . . . Der Nachweisprozess . . . 176 6. 4 . . . Die Vorgabedokumente im Nachweisprozess . . . 177Teil III. Pflichten und Möglichkeiten des KRITIS-Betreibers . . . 197 7. Ihre Pflichten als KRITIS-Betreiber . . . 199 7. 1 . . . Der Geltungsbereich für die kritische Dienstleistung . . . 200 7. 2 . . . Organisatorische und technische Vorkehrungen zur Vermeidung von Störungen . . . 210 7. 3 . . . Systeme zur Angriffserkennung (SzA) . . . 215 7. 4 . . . Interne Audits . . . 222 7. 5 . . . Melden von Informationssicherheitsvorfällen, Störungen und Ausfällen . . . 223 7. 6 . . . Gemeinsame übergeordnete Ansprechstelle (GÜAS) . . . 224 8. Einen branchenspezifischen Sicherheitsstandard (B3S) veröffentlichen . . . 227 8. 1 . . . Aufbau eines B3S mithilfe der OH B3S . . . 227 8. 2 . . . Einen B3S beim BSI einreichen . . . 232 8. 3 . . . Eignungsfeststellung des BSI . . . 235 8. 4 . . . Aktuell veröffentlichte B3S . . . 236 8. 5 . . . Vorteile und Nachteile vorhandener B3S . . . 238Teil IV. Die Nachweisprüfung gemäß § 8a Abs. 3 BSIG . . . 239 9. Planung der Nachweisprüfung durch den Betreiber . . . 241 9. 1 . . . Auswahl einer Prüfstelle . . . 241 9. 2 . . . Anforderungen an eine prüfende Stelle . . . 242 9. 3 . . . Eignung als prüfende Stelle . . . 24310. Vorarbeiten für die Nachweisprüfung durch Prüfer . . . 247 10. 1 . . . Welche Prüfgrundlagen können wir einsetzen? . . . 248 10. 2 . . . Kompetenzbereiche und Aufteilung im Prüfteam . . . 257 10. 3 . . . Fachexperten auswählen und einsetzen . . . 258 10. 4 . . . Die Prüfungsplanung durch die Prüfstelle . . . 260 10. 5 . . . Auswahl von Stichproben . . . 264 10. 6 . . . Berücksichtigung externer Dienstleister . . . 266 10. 7 . . . Die Mängelkategorien des BSI . . . 26711. Die Nachweisprüfung durchführen . . . 271 11. 1 . . . Audit von Managementsystemen nach der ISO 19011 . . . 272 11. 2 . . . Arbeitsschutz für Auditoren . . . 275 11. 3 . . . Remote-Audits . . . 277 11. 4 . . . Mögliche Prüfmethoden . . . 282 11. 5 . . . Verwendung bestehender Zertifikate . . . 283 11. 6 . . . Prüfung der branchenspezifischen Maßnahmen . . . 287 11. 7 . . . Prüfung des BCMS . . . 291 11. 8 . . . Aktualität der BSI-Formulare und OHs beim Prüfteam . . . 29712. Nacharbeiten nach der Nachweisprüfung . . . 301 12. 1 . . . Aufgaben des Prüfers . . . 302 12. 2 . . . Aufgaben des Betreibers . . . 31613. Prüfung der eingereichten Nachweise durch das BSI . . . 329 13. 1 . . . Nachforderung von Dokumenten . . . 329 13. 2 . . . Eskalation bei Unvollständigkeit . . . 331 13. 3 . . . Sonderprüfungen nach dem BSIG . . . 332 13. 4 . . . Nachprüfung wegen zu kleinem Geltungsbereich . . . 333 13. 5 . . . Bußgelder . . . 334Teil V. Aus der Praxis -- in die Praxis . . . 33914. Untersuchung zu Umfang und Komplexität der Nachweisprüfung . . . 341 14. 1 . . . Die BSI-Studie zur Umsetzung der IT-Sicherheitsgesetze . . . 342 14. 2 . . . Studie zu Nachweisprüfungen nach BSIG . . . 34415. Zusätzliche Prüfverfahrenskompetenz nach dem BSIG . . . 377 15. 1 . . . Weiterbildung und schriftliche Prüfung . . . 377 15. 2 . . . Überprüfung Ihrer Antworten . . . 37816. Fazit und Ausblick . . . 385 Literaturverzeichnis . . . 389 Index . . . 395