NextGenPSD2-Zertifizierung

Neue BSI Orien­tie­rungs­hilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG

Seit über fünf Jahren ist das IT-Sicher­heits­gesetz (IT-Sig) im Zusam­men­spiel mit der KRITIS-Verordnung im Einsatz. Das Hauptziel ist die Regulierung der KRITIS-Betreiber nach BSI-Gesetz. Das des Bundesamts für Sicherheit in der Infor­ma­ti­ons­technik (BSI) begleitet Gesetz und Verordnung mit der sogenannten BSI Orien­tie­rungs­hilfe zu Nachweisen.

IT-Sig 2.0 – Kommt es oder kommt es nicht?

Um das Thema „IT-Sicher­heits­gesetz 2.0“ ist es leider in letzter Zeit sehr still geworden. Somit ist auch kurzfristig mit keiner Novel­lierung der KRITIS-Verordnung zu rechnen. Dem vorlie­genden Referen­ten­entwurf zum IT-Sig 2.0 sind aber die aktuellen Überle­gungen zu entnehmen. So ist bspw. die Aufnahme der Entsorgung zu den bishe­rigen Sektoren angedacht. Zudem ist eine Erwei­terung des Adres­sa­ten­kreises über die KRITIS-Betreiber hinaus auf Unter­nehmen im beson­deren öffent­lichen Interesse (u.a. aufgrund volks­wirt­schaft­licher Bedeutung) angedacht. Für diese stehen die Erstellung von Sicher­heits­kon­zepten, die Pflicht zur Meldung von Störungen, die Regis­trierung und Führung einer Melde­stelle sowie die Vertrau­ens­wür­digkeit der Beschäf­tigten im Raum. Besonders markant ist die geplante Verschärfung des Bußgeld­rahmens von bisher maximal EUR 100.000 auf max. EUR 20.000.000 (bzw. 4% des gesamten weltweit erzielten jährlichen Unter­neh­mens­um­satzes des voran­ge­gan­genen Geschäftsjahrs).

Neue Orien­tie­rungs­hilfe zu Nachweisen

Während das IT-Sig 2.0 noch auf sich warten lässt, hat in der zweiten August­hälfte das BSI seine neue „Orien­tie­rungs­hilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG“ veröf­fent­licht. Die Versi­ons­nummer 1.1 lässt es bereits vermuten: zu den Änderungen gehören viele Konkre­ti­sie­rungen und Klarstel­lungen der Sachver­halte und Anfor­de­rungen. Darüber hinaus gibt es weitere signi­fi­kante Änderungen. So vereint das neue Formular P die Infor­ma­tionen der bisher verwen­deten Formulare PD (Prüfdurch­führung), PE (Prüfergeb­nisse) und PS (prüfende Stelle). Neben der schrift­lichen Einrei­chung ist jetzt auch eine digitale/maschinenlesbare Kopie erfor­derlich. Die Liste der Sicher­heits­mängel und der Umset­zungsplan sind ab sofort in einem Dokument zusam­men­ge­fasst, während vorhandene Prüfergeb­nisse (maximal zwölf Monate alt) explizit auf Aktua­lität und Bestand geprüft werden müssen. Eine deutliche Neuerung ist die begründete Bewertung der Reife­grade der Manage­ment­systeme für Infor­ma­ti­ons­si­cherheit (ISMS) und Business Conti­nuity (BCMS). Sehr auffällig ist auch der starke Fokus auf dem Aspekt der Nachvoll­zieh­barkeit. Dieser wird an diversen Stellen sichtbar:

  • Detail­lierte Beschreibung des Geltungs­be­reichs (mit seinen Schnitt­stellen, Abhän­gig­keiten und durch Dritte betriebene Teile der kriti­schen Dienst­leistung) sowie
  • der Anlage (inklusive zugehö­riger Teile der kriti­schen Dienst­leistung und aller wesent­lichen Merkmale) als auch
  • Bereit­stellung eines verständ­lichen Netzstrukturplan.
  • Zudem muss eine Mängel­liste auch ohne weitere Dokumente verständlich sein.

Auch ohne IT-Sig 2.0 erfordert die neue Orien­tie­rungs­hilfe des BSI Beachtung. SRC-Experten tauschen sich gerne mit Ihnen zu den Neuerungen sowie deren Auswir­kungen aus und unter­stützen Sie bei der Umsetzung der erwei­terten Anforderungen.