Köln (ots)
–
Das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme ist bekannt als IT-Sicherheitsgesetz. Dieses zielt auf Betreiber von kritischen Infrastrukturen (KRITIS) ab – also auf Unternehmen, die eine wesentliche Rolle in der Versorgung der Bevölkerung mit wichtigen Gütern und Dienstleistungen spielen. Dazu gehören unter anderem Einrichtungen aus den Bereichen Energie, Gesundheit, Trinkwasserversorgung oder Transport und Verkehr. Das IT-Sicherheitsgesetz, das seit Mai 2021 in der neuesten Fassung 2.0 gilt, verpflichtet Unternehmen und Organisationen zur Einhaltung eines Mindestmaßes an IT-Sicherheit, die dem Stand der Technik entsprechen. Die neue Fassung setzt zudem in Sachen Cybersecurity ab 2023 eine Angriffserkennung voraus. Das ist im Bereich operativer Betriebstechnik (auch Operational Technology, kurz OT) von besonderer Bedeutung. OT bezeichnet Anlagen, Geräte oder Systeme, die industrielle Prozesse steuern.
Zahl der KRITIS-Betreiber steigt
Neu ist auch die Mitte August 2021 verabschiedete KRITIS-Verordnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Die Verordnung tritt am 1. Januar 2022 in Kraft und erweitert den Geltungsbereich für in Frage kommende Unternehmen. Die entscheidende Neuerung ist der erweiterte Anwendungsbereich: Zu den bestehenden etwa 1.600 KRITIS-Betreibern werden weitere 250 Unternehmen hinzukommen. Unternehmen, die zuvor nicht betroffen waren, müssen jetzt höhere Anforderungen an den Schutz vor Hackerangriffen erfüllen und stehen damit vor neuen Herausforderungen.
Richtlinien des BSI
Eine Orientierung dazu, wie die erforderlichen Maßnahmen konkret aussehen, geben Dokumente des BSI. Dazu gehören die “Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen” sowie die “Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifischen Sicherheitsstandards (B3S)”. Diese Leitlinien liefern wertvolle Hilfestellungen für die Auswahl und konkrete Umsetzung von Sicherheitsmaßnahmen. “Die Dokumente helfen bei der Interpretation der sehr allgemein gehaltenen Vorgaben im IT-Sicherheitsgesetz und spielen damit eine wichtige Rolle bei der Konzeption und Planung eines KRITIS-Umsetzungsprojektes”, sagt Jörg Zimmermann, Fachmann für Informationssicherheit bei TÜV Rheinland. “Unternehmen, die vor einer solchen Aufgabe stehen, empfehlen wir, sich Experten zur Unterstützung ins Haus zu holen.”