Praxisorientierte Einordnung zu Angemessene Sicherheitsvorkehrungen für KRITIS praktisch nachweisen: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für KRITIS aufbauen.
Angemessene Sicherheitsvorkehrungen für KRITIS sind nicht durch eine möglichst lange Maßnahmenliste nachgewiesen. Entscheidend ist, ob der Betreiber die für seine kritische Dienstleistung maßgeblichen Risiken verstanden, verhältnismäßige Kontrollen umgesetzt und deren Wirksamkeit belegt hat. Das neue BSI-Gesetz formuliert diese Logik in §§ 30 und 31 und verlangt von Betreibern kritischer Anlagen wiederkehrende Nachweise nach § 39.
Ein prüffähiger Nachweis verbindet fünf Elemente: eindeutiger Scope, nachvollziehbares Risiko, konkrete Maßnahme, betrieblicher Beleg und Wirksamkeitstest. Fehlt eines davon, bleibt entweder unklar, warum eine Kontrolle existiert, ob sie wirklich umgesetzt ist oder ob sie die kritische Dienstleistung tatsächlich schützt.
Was „angemessen“ im aktuellen BSI-Gesetz bedeutet
§ 30 verlangt geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen. Bei der Verhältnismäßigkeit sind Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Vorfällen sowie gesellschaftliche und wirtschaftliche Auswirkungen zu berücksichtigen. Die Einrichtung muss die Einhaltung dokumentieren.
Für kritische Anlagen geht § 31 weiter: Maßnahmen über das allgemeine Schutzniveau besonders wichtiger Einrichtungen hinaus können verhältnismäßig sein, wenn der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung steht. Versorgungsauswirkungen sind damit ein zentrales Bewertungsmerkmal.
Prüffähigkeit beginnt beim korrekten Scope
Der Nachweis bezieht sich auf informationstechnische Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind. Dazu können OT, Leit- und Automatisierungstechnik, Unternehmens-IT, Telekommunikation, Identitäten, physische Infrastruktur und externe Dienste gehören.
Ein Scope-Diagramm zeigt kritische Dienstleistung, Anlagen, Prozessketten, Standorte, Netzgrenzen, Betreiber und Abhängigkeiten. Ausschlüsse werden begründet. Der Prüfer muss erkennen können, warum ein System enthalten oder ausgeschlossen ist und welche Auswirkungen sein Ausfall auf die Versorgung hätte.
Vom Versorgungsszenario zum Risiko
Generische Cyberrisiken wie „Ransomware“ sind als Ausgangspunkt zu grob. Das Risiko wird mit einem konkreten Versorgungsszenario verbunden: Welche Anlage oder Funktion fällt aus, wie lange kann die Leistung aufrechterhalten werden, welche Sicherheits- und Folgewirkungen entstehen und welche Rückfallebene existiert?
Die Analyse betrachtet Verfügbarkeit, Integrität und Vertraulichkeit sowie relevante Authentizität. Sie kombiniert vorsätzliche Angriffe, Fehlbedienung, technische Defekte, Lieferantenausfall und physische Ereignisse. Annahmen zu Wiederanlauf, Redundanz und manueller Betriebsfähigkeit werden getestet.
Eine Maßnahme muss zum Risiko passen
Geeignet ist eine Kontrolle, wenn sie Eintrittswahrscheinlichkeit oder Auswirkung des beschriebenen Risikos nachvollziehbar reduziert. Eine Standardmaßnahme ohne Bezug zum Szenario kann wertvoll sein, belegt aber die Angemessenheit nicht. Das Kontrollregister verknüpft Risiko, Schutzziel, Maßnahme, Verantwortlichen und erwartete Wirkung.
Beispielsweise reduziert Netzwerksegmentierung die laterale Ausbreitung nur dann, wenn kritische Kommunikationsbeziehungen bekannt, Regeln restriktiv und Umgehungswege ausgeschlossen sind. Ein Firewall-Bestand allein beweist diese Wirkung nicht. Regelwerksprüfung und kontrollierter Verbindungstest liefern stärkere Evidenz.
Stand der Technik nachvollziehbar herleiten
Stand der Technik ist keine statische Produktliste. Betreiber berücksichtigen aktuelle technische Entwicklung, anerkannte Standards, branchenspezifische Verfahren und realistische Umsetzbarkeit. B3S, BSI-Grundschutz, internationale Normen und Herstellerempfehlungen können Anhaltspunkte liefern.
Die Auswahl der Referenzen wird versioniert und auf den konkreten Scope angepasst. Abweichungen erhalten eine fachliche Begründung und gegebenenfalls kompensierende Maßnahmen. Ein veralteter Branchenstandard wird nicht unverändert weiterverwendet, nur weil er früher geeignet war.
B3S als Prüfgrundlage richtig einsetzen
Ein branchenspezifischer Sicherheitsstandard kann die gesetzlichen Anforderungen für eine Branche konkretisieren und den Interpretationsspielraum verringern. Seine Verwendung ist laut BSI nicht verpflichtend; Betreiber dürfen gleichwertige andere Wege wählen. Entscheidend sind Geltungsbereich, aktueller Eignungsstatus und Passung zur Anlage.
Der Betreiber führt eine Anwendbarkeitsanalyse durch. Nicht passende Anforderungen werden begründet, fehlende anlagenspezifische Risiken ergänzt. Die Eignungsfeststellung eines B3S ist zeitlich begrenzt und wird überwacht. Ein abgelaufener Status muss in der Nachweisstrategie berücksichtigt werden.
Die gesetzlichen Maßnahmenfelder vollständig abdecken
§ 30 Absatz 2 nennt ein breites Spektrum: Sicherheitsvorfallbewältigung, Betriebskontinuität, Backup und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Schwachstellenmanagement, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, Personalsicherheit, Zugriffskontrolle und starke Authentisierung. Das Kontrollregister ordnet jedes Feld dem Scope zu.
Vollständigkeit bedeutet nicht, dass jede Maßnahme gleich ausgestaltet wird. Die Kritikalität und Architektur entscheiden über Tiefe und Priorität. Nicht anwendbare Punkte werden fachlich begründet, statt stillschweigend aus der Prüfliste zu verschwinden.
Inventar und Abhängigkeiten als Grundnachweis
Ohne vollständige Sicht auf Assets und Abhängigkeiten lassen sich Risiken, Patches, Backups und Detektion nicht belastbar steuern. Das Inventar umfasst Hardware, Software, Firmware, virtuelle Komponenten, Kommunikationswege, Daten, Dienstleister, Verantwortliche und Lebenszyklusstatus.
Stichproben vergleichen CMDB, Netzsicht, Schwachstellenscanner, Beschaffung und reale Anlage. Abweichungen werden bewertet. Besonders wichtig sind nicht verwaltete OT-Komponenten, temporäre Fernwartung, alte Betriebssysteme und zentrale Dienste, die mehreren Anlagen als gemeinsamer Ausfallpunkt dienen.
Identitäten und privilegierte Zugriffe belegen
Richtlinien zu starken Passwörtern reichen nicht. Der Nachweis zeigt personenbezogene Konten, rollenbasierte Rechte, Multi-Faktor-Authentisierung, privilegierte Administrationswege, regelmäßige Rezertifizierung und schnellen Entzug. Technische Dienstkonten werden mit Eigentümer und Zweck geführt.
Eine Stichprobe verfolgt Personen vom genehmigten Antrag bis zur tatsächlichen Systemberechtigung. Negativtests prüfen, ob alte oder fachlich unzulässige Konten zugreifen können. Für Notfallkonten werden Freigabe, Nutzungserkennung und nachträgliche Kontrolle getestet.
Schwachstellen- und Patchmanagement risikoorientiert nachweisen
In OT-Umgebungen können Patches nicht immer sofort installiert werden. Angemessenheit entsteht durch transparente Bewertung, Test, priorisierte Fristen und wirksame Kompensation. Das Unternehmen dokumentiert Schwachstelle, betroffene Anlage, Ausnutzbarkeit, Versorgungswirkung und Entscheidung.
Geeignete Belege sind Abdeckungskennzahlen, überfällige kritische Findings, genehmigte Ausnahmen, Segmentierung, Herstellerhinweise und stichprobenhafte Versionsprüfung. Eine bloße Scannerquote sagt wenig, wenn zentrale Systeme nicht erfasst oder Ergebnisse nicht bearbeitet werden.
Segmentierung und sichere Fernwartung prüfen
Netzpläne, Zonenmodell und Kommunikationsmatrix beschreiben den Sollzustand. Firewallregeln, Routing, Identitätskontrollen und administrative Sprungpunkte belegen die Umsetzung. Kontrollierte Tests zeigen, dass nicht zulässige Pfade tatsächlich blockiert sind.
Fernwartung erhält zeitlich begrenzte Freigabe, starke Authentisierung, protokollierte Sitzung und klaren Auftrag. Dauerhafte Herstellerzugänge und gemeinsame Konten sind besonders kritisch. Der Betreiber muss auch bei ausgelagertem Betrieb Sicht und Sperrmöglichkeit behalten.
Backup und Wiederanlauf durch Tests beweisen
Eine erfolgreiche Sicherung ist kein Wiederanlaufnachweis. Für kritische Funktionen werden Wiederanlaufzeit, Datenverlusttoleranz, Reihenfolge, Abhängigkeiten und benötigtes Personal festgelegt. Backups sind gegen Manipulation und gleichzeitige Kompromittierung geschützt.
Restore-Tests stellen repräsentative Systeme in einer kontrollierten Umgebung wieder her. Übungen prüfen anschließend den fachlichen Dienst, nicht nur das Starten eines Servers. Ergebnisse, Abweichungen und Verbesserungen werden dokumentiert und mit den Versorgungsszenarien abgeglichen.
Lieferkettensicherheit konkret belegen
Kritische Dienstleister werden nach Auswirkung, Zugriff, Ersetzbarkeit und Konzentration priorisiert. Due Diligence, Sicherheitsanforderungen, Vorfallmeldung, Unterauftragnehmer, Auditmöglichkeiten, Kontinuität und Exit werden vertraglich sowie operativ geregelt.
Nachweise bestehen nicht nur aus Zertifikaten des Lieferanten. Serviceberichte, Zugriffslisten, Notfalltests, Schwachstellenkommunikation und Exit-Übung zeigen die tatsächliche Steuerung. Bei Cloud- und Managed-Services werden gemeinsame Verantwortlichkeiten eindeutig dokumentiert.
Systeme zur Angriffserkennung wirksam machen
§ 31 Absatz 2 verlangt für maßgebliche Systeme kontinuierliche und automatische Erfassung sowie Auswertung geeigneter Parameter und Merkmale. Das BSI stellt eine Orientierungshilfe bereit. Der Nachweis umfasst Datenquellen, Erkennungsfälle, Aktualisierung, Qualifikation, Betriebszeiten und Reaktionsprozess.
Mit Testszenarien wird geprüft, ob relevante Aktivität erkannt, korrekt priorisiert und innerhalb definierter Zeit bearbeitet wird. Blindstellen und nicht angebundene Anlagen werden als Risiken geführt. Eine hohe Logmenge ohne qualifizierte Auswertung ist kein Wirksamkeitsnachweis.
Incident Response und gesetzliche Meldung verbinden
Der Reaktionsprozess legt Erkennung, Bewertung, Eindämmung, Wiederherstellung, Beweissicherung und Kommunikation fest. Für erhebliche Sicherheitsvorfälle werden die 24-Stunden-, 72-Stunden- und Monatsstufen aus § 32 in Rollen, Vorlagen und Rufbereitschaft übersetzt.
Tabletop-Übungen messen Entscheidungsdauer, Informationsqualität und Erreichbarkeit. Betreiber kritischer Anlagen müssen zusätzlich Auswirkungen auf Anlage und kritische Dienstleistung bewerten. Der Übungsbericht belegt nicht nur Teilnahme, sondern konkrete Prozessverbesserungen.
Physische und cyberbezogene Kontrollen zusammenführen
Das KRITIS-Dachgesetz rückt physische Resilienz stärker in den Mittelpunkt. Zutritt, Energieversorgung, Kühlung, Standortgefahren, Ersatzteile und Sicherheitsdienste können dieselbe kritische Leistung beeinflussen wie ein Cyberangriff. Nachweise sollten diese Abhängigkeiten gemeinsam darstellen.
Eine kombinierte Übung kann etwa den Ausfall eines Standorts mit kompromittierter Fernadministration verbinden. Dadurch werden widersprüchliche Annahmen zwischen IT, OT, Facility und Krisenstab sichtbar. Maßnahmen werden nach Gesamtwirkung priorisiert.
Drei Ebenen belastbarer Evidenz
Auf Ebene eins beschreibt eine genehmigte Regel den Sollzustand. Ebene zwei zeigt die operative Umsetzung durch Konfiguration, Ticket, Vertrag oder Beobachtung. Ebene drei belegt Wirksamkeit durch Test, Kennzahl, Alarm oder Übung. Prüffähige Kontrollen sollten alle drei Ebenen abdecken.
Ein Beispiel ist Benutzerentzug: Richtlinie und Prozessbeschreibung bilden Ebene eins, abgeschlossenes Offboarding-Ticket und gelöschtes Konto Ebene zwei, eine Stichprobe gegen Verzeichnis und Zielsysteme Ebene drei. Diese Kette ist aussagekräftiger als eine Sammlung unverbundener Screenshots.
Reife- und Umsetzungsgrad transparent bewerten
Das BSI stellt mit RUN eine strukturierte Reife- und Umsetzungsgradbewertung für Nachweisprüfungen bereit. Der Betreiber kann sie bereits intern verwenden, um Design, Umsetzung und Wirkung nicht zu vermischen. Bewertungen benötigen nachvollziehbare Kriterien und Belege.
Ein hoher Reifegrad darf keine kritische Einzellücke verdecken. Managementberichte kombinieren deshalb Reife, Abdeckung, Wirksamkeit und konkrete Hochrisikofeststellungen. Trends zeigen, ob Maßnahmen dauerhaft funktionieren oder nur vor dem Audit verbessert wurden.
Prüfstichproben risikobasiert auswählen
Stichproben konzentrieren sich auf kritische Prozessschritte, privilegierte Zugriffe, alte Systeme, externe Übergänge und kürzlich veränderte Komponenten. Auswahl und Grund werden dokumentiert. Zufallsstichproben ergänzen die risikoorientierte Auswahl und reduzieren Schönwettereffekte.
Bei mehreren Standorten oder Anlagen darf die Stichprobe nicht automatisch nur den am besten vorbereiteten Bereich abbilden. Architekturunterschiede und zentrale Dienste bestimmen, welche Kombination repräsentativ ist. Abweichende Teilpopulationen werden separat betrachtet.
Mängel nachvollziehbar behandeln
§ 39 erlaubt dem BSI, Sicherheitsmängel, zugrunde liegende Dokumentation, Mängelbeseitigungspläne und Nachweise der Behebung anzufordern. Feststellungen werden deshalb eindeutig beschrieben: Anforderung, Beobachtung, Risiko, betroffene Anlage und Nachweisgrundlage.
Maßnahmen erhalten Eigentümer, Termin, Priorität und Abnahmekriterium. Nach Abschluss prüft eine unabhängige Person die Wirksamkeit. Befristete Kompensation und akzeptiertes Restrisiko werden durch die zuständige Leitung genehmigt und regelmäßig neu bewertet.
Ein prüffähiges Kontrollregister
- Gesetzliche oder fachliche Anforderung und aktuelle Referenz festhalten.
- Betroffene kritische Dienstleistung, Anlage, Systeme und Risiken zuordnen.
- Kontrolldesign, Verantwortlichen und Betriebsfrequenz beschreiben.
- Konkrete Implementierungs- und Wirksamkeitsnachweise verlinken.
- Letzte Prüfung, Ergebnis, Abweichung und nächste Fälligkeit dokumentieren.
- Änderungen an Scope, Bedrohung und Technik in die Neubewertung einspeisen.
Typische Nachweisfehler
Häufig fehlen eine nachvollziehbare Scope-Begründung, der Bezug zur kritischen Dienstleistung oder die Prüfung zentraler Dienstleister. Andere Nachweise bestehen fast ausschließlich aus Policies und Zertifikaten. Damit bleibt offen, ob Kontrollen in der Anlage umgesetzt und wirksam sind.
Auch veraltete B3S-Versionen, unklare Stichproben und Maßnahmenlisten ohne Nachtest schwächen die Aussage. Ein gutes Programm hält Evidenz kontinuierlich aktuell und nutzt das Audit als unabhängige Prüfung, nicht als kurzfristiges Dokumentationsprojekt.
Fazit: Wirkung ist der Kern des Nachweises
Angemessene KRITIS-Sicherheitsvorkehrungen werden aus Versorgungsauswirkungen und konkreten Risiken hergeleitet. Der Nachweis verbindet Regel, technische oder organisatorische Umsetzung und beobachtbare Wirksamkeit. Gerade für kritische Anlagen kann das erforderliche Schutzniveau über allgemeine Unternehmensstandards hinausgehen.
BlackMount unterstützt Betreiber bei der KRITIS-Nachweisvorbereitung, beim Aufbau eines prüffähigen Kontrollregisters und bei Wirksamkeitstests. Vorhandene ISO-, B3S- oder IT-Grundschutz-Strukturen werden genutzt, ohne anlagenspezifische Risiken und aktuelle BSIG-Anforderungen zu überdecken.
