IT-Sicherheit – digitaler Schutz im Gas- und Wasserfach

DVGW und DWA haben gemeinsam mit dem BSI eine Handlungsempfehlung für die Nutzung des B3S WA in Verbundunternehmen erarbeitet. Die Handlungsempfehlung legt dar, wie der B3S WA für die Anlagen der Wasserver- bzw. Abwasserentsorgung effektiv und wirtschaftlich genutzt und in ein bestehendes Informationssicherheitsmanagementsystem auf Grundlage der ISO/IEC 27001 integriert werden kann, so dass sowohl den Vorgaben aus dem Energiewirtschaftsgesetz (EnWG) als auch dem BSI-Gesetz nachgekommen wird.

Vor dem Hintergrund einer zunehmend komplexer werdenden Sicherheitslage erhöht die Bundesregierung die Anforderungen an den Schutz der IT-Infrastrukturen der KRITIS-Betreiber.

Nachdem die Bundesregierung mit dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-SiG), das am 25. Juli 2015 in Kraft trat, erste Anforderungen (u.a. für Mindeststandards und Meldepflichten) für KRITIS-Betreiber aus den Bereichen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen erlassen hatte, wurde am 27. Mai 2021 das Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-SiG 2.0) veröffentlicht, mit dem die Regulierung für die KRITIS-Betreiber deutlich erweitert werden. Die Bundesregierung reagiert damit auf die zunehmende Bedrohungslage durch immer komplexere Hackerangriffe und will außerdem die Weichen stellen für sichere Rahmenbedingungen bei der voranschreitenden Digitalisierung der Gesellschaft. Im Folgenden finden Sie die wesentlichen im IT-SiG 2.0 enthaltenen Änderungen:

• Systeme zur Angriffserkennung: Ab dem 1. Mai 2023 wird von den KRITIS-Betreibern verlangt, dass sie Systeme zur Angriffserkennung als Teil der zu treffenden technischen und organisatorischen Sicherheitsvorkehrungen installiert haben, die kontinuierlich Bedrohungen im laufenden Betrieb erkennen (§ 8a Abs. 1a BSI-Gesetz).
• Meldepflicht für „kritische Komponenten“: Zukünftig muss der Einsatz von sogenannten „kritischen Komponenten“ (§ 2 Abs. 13 BSI-Gesetz) vom KRITIS-Betreiber bei dem Bundesministerium des Innern angezeigt werden. Der Gesetzgeber legt dabei fest, was als kritische Komponente eingestuft wird. Der Einsatz einer solchen Komponente darf erst nach Ablauf der Überprüfungsfrist (maximal 4 Monate) erfolgen (§ 9b Abs. 1 und 2 BSI-Gesetz). Bisher ist die Einstufung von „kritischen Komponenten“ nur für den Bereich der Telekommunikation erfolgt. Ob und wann auch für andere Sektoren „kritische Komponenten“ festgelegt werden, ist nicht bekannt. Es ist davon auszugehen, dass nicht zwangsläufig in allen Sektoren kritische Komponenten identifiziert werden. Für den Sektor Wasser gibt das BMI an, hier kurz- und mittelfristig nicht tätig zu werden.
• Aufgaben und Befugnisse des BSI werden erweitert: Das BSI erhält verstärkte Kompetenzen bei der Detektion von Sicherheitslücken und der Abwehr von Cyber-Angriffen, z.B. können zukünftig Port-Scans bei KRITIS-Betreibern durchführen werden.
• Ausweitung des Regulierungsbereichs: Der Sektor Siedlungsabfallentsorgung wird als offizieller neuer KRITIS-Sektor im Gesetz aufgenommen (§2 Abs. 10 BSI-Gesetz). Des Weiteren werden auch an Unternehmen im besonderen öffentlichen Interesse (z.B. Rüstungshersteller, Produzenten von Gefahrstoffen oder Unternehmen mit besonders großer volkswirtschaftlicher Bedeutung) gesetzliche Anforderungen in Bezug auf die IT-Sicherheit festgelegt.

Am 16. Dezember 2020 wurde der Vorschlag der Europäischen Kommission für die NIS-Richtlinie 2.0 zur Erhöhung des Cybersicherheitsniveau in der Union veröffentlicht. Der DVGW begrüßt die Möglichkeit, eine Stellungnahme zur NIS-Richtlinie 2.0 einreichen zu können. Im Folgenden werden die drei wichtigsten Punkte aufgeführt, bei denen aus Sicht der Gas- und Wasserversorgungsunternehmen Anpassungsbedarf gesehen wird.

Im Dezember 2018 wurde der IT-Sicherheitskatalog für Betreiber von Energieanlagen (§ 11 Abs. 1b EnWG) veröffentlicht, die nach der BSI-KritisV als Kritische Infrastruktur bestimmt wurden und an ein Energieversorgungsnetz angeschlossen sind. Der Sicherheitskatalog verlangt die Einführung eines Informationssicherheits-Managementsystems (gemäß DIN ISO/IEC 27001 und unter Berücksichtigung der DIN EN ISO/IEC-Normen 27002 und 27019) sowie einer schematisierten Zertifizierung. Zudem muss ein Ansprechpartner für die IT-Sicherheit benannt werden.

Fristen

Dieser Ansprechpartner muss der BNetzA bis zum 28. Februar 2019 bekannt gemacht werden. Die Umsetzung der Zertifizierung des Informationssicherheits-Managementsystems muss bis zum 31. März 2021 erfolgt sein.

Der Katalog kann auf der Webseite der Bundesnetzagentur heruntergeladen werden.

Die Unterstützung durch Informations- und Kommunikationstechnik (IKT) mit der wachsenden Abhängigkeit von Selbiger geht mit Chancen und Risiken einher. Um die Vorteile moderner IKT sicher nutzen zu können, wird ein angemessener Schutz gegen Bedrohungen auch im Bereich des Netzbetriebs der Strom- und Gasversorgung auf unterschiedlichen Netzebenen bzw. Druckstufen angestrebt.

Die DVGW-Information Gas Nr. 22 nimmt eine grundlegende Einordnung der bestehenden Normen und Regelwerke vor,  die für den (informationstechnisch) sicheren Netzbetrieb notwendig sind. Darauf aufbauend wurde eine Analyse und ein Ausblick auf den weiteren Handlungsbedarf für die Ausgestaltung einer sicheren Informationstechnik (IT) im Netzbetrieb erarbeitet.