BSI-Anforderungskatalog für KRITIS-Betreiber und Prüfer

Dieser Artikel beleuchtet das BSI-Dokument „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 und Absatz 1a BSIG umzusetzenden Maßnahmen“ mit seiner Anforderungs- und Checkliste für KRITIS-Betreiber und Prüfer.

Das letztmals am 10.09.2024 aktualisierte BSI-Dokument „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 und Absatz 1a BSIG umzusetzenden Maßnahmen“ bietet eine detaillierte Anforderungs- und Checkliste für Betreiber Kritischer Infrastrukturen (KRITIS) und prüfende Stellen in Deutschland. Es konkretisiert die gesetzlichen Anforderungen gemäß § 8a Abs. 1 und 1a BSIG und definiert mit 135 Controls einen Quasi-Standard für die Cybersecurity in KRITIS. Zudem enthält der Katalog Prüfkriterien zur Bewertung der Sicherheitsvorkehrungen sowie Anforderungen an den physischen Schutz, wie in Abschnitt 2.7 zur baulichen Sicherheit beschrieben.

Wichtiger Hinweis:
Das aktuelle BSIG und damit auch der Anforderungskatalog sind solange gültig, bis das NIS2UmsuCG in Kraft tritt und es ein neues BSIG gibt. Dieses wird, abhängig von den politischen Entwicklungen, im Laufe des Jahres 2025 erwartet. Eine Fortschreibung des Anforderungskatalogs unter Berücksichtigung der Anforderungen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist geplant.

Das Wichtigste in Kürze:

BSI Anforderungskatalog für KRITIS-Betreiber und Prüfer

• Der Anforderungskatalog bietet KRITIS-Betreibern und prüfenden Stellen eine Konkretisierung der Anforderungen des § 8a Absatz 1 und Absatz 1a BSIG.
• Zudem stellt der Anforderungskatalog den prüfenden Stellen geeignete Kriterien für eine sachgerechte Prüfung der eingesetzten Sicherheitsvorkehrungen vor, um die geforderten Nachweise gemäß § 8a Absatz 3 BSIG erbringen zu können.
• Das BSI-Dokument „Konkretisierung der Anforderungen (KdA)“ mit 135 Controls definiert als quasi-Standard für KRITIS-Betreiber grundlegende Cybersecurity-Anforderungen.
• Der Anforderungskatalog enthält aber auch Anforderungen an den physischen Schutz:
  • Siehe 2.7 Bauliche/physische Sicherheit (Seite 21)
    u.a.:
    72.Perimeterschutz (PS-01)
    73.Physischer Zutrittsschutz (PS-02)
    74.Schutz vor Bedrohungen von außen (PS-03)

Speziell zu: 72.Perimeterschutz (PS-01)

• Es ist ein geeigneter Rahmen für die bauliche und physische Sicherheit, die zum sicheren Betrieb einer kritischen Dienstleistung notwendig ist, zu setzen.
• Die Begrenzungen von Räumlichkeiten oder Gebäuden, die sensible oder kritische Informationen, Informationssysteme oder sonstige Netzwerkinfrastruktur beherbergen, sind physisch solide und durch angemessene Sicherheitsmaßnahmen geschützt, die dem Stand der Technik entsprechen.
• Das Sicherheitskonzept beinhaltet die Einrichtung von verschiedenen Sicherheitszonen, die durch Sicherheitslinien als überwachte und gesicherte Übergänge zwischen den Zonen getrennt sind, wenn dies für den Schutz der kritischen Dienstleistung notwendig ist.