Cybersicherheit Tiefenprüfung: Was das Kritis-Dachgesetz für Unternehmen bedeutet

Anbieter zum Thema

mod IT Services GmbH

FAULHABER Austria GmbH

Fastems Systems GmbH

Schneider Electric GmbH

In Sachen Cyberregulierung wird es dieses Jahr heikel für alle Betreiber kritischer Infrastrukturen. Nicht nur NIS2, sondern auch das Kritis-Dachgesetz treten im Oktober 2024 in Kraft. Was Betriebe nicht planen können: anlasslose Tiefenprüfungen durch das BSI.

Die Network and Informative Systems Directive 2, kurz NIS2, befindet sich auf der Zielgeraden: Bis Oktober 2024 müssen Kritis-Betreiber die entsprechenden Maßnahmen zur Cybersicherheit umgesetzt haben. Neben NIS2 wird zukünftig auch das Kritis-Dachgesetz die Resilienz und physische Sicherheit kritischer Betreiber regulieren. Der Druck, die erforderlichen Sicherheitsmaßnahmen rechtzeitig umzusetzen, ist daher enorm. Hinzu kommt eine weitere Komponente, die Betriebe nicht einplanen und auf die sie sich nicht vorbereiten können: Bei sogenannten Tiefenprüfungen überprüft das Bundesamt für Sicherheit in der Informationstechnik (kurz: BSI), ob Betreiber den Kritis-Anforderungen des Bundesgesetzes über das Bundesamt für Sicherheit in der Informationstechnik (kurz: BSIG) nachkommen.

Die Tiefenprüfungen haben gemäß § 8a Absatz 4 des BSIG die Funktion, die Einhaltung von Sicherheitsstandards zu überwachen und sicherzustellen. In der Regel bezieht sich das auf eine umfassende Sicherheitsüberprüfung und -bewertung von IT- und OT-Systemen, -Netzwerken und -Infrastrukturen. Dabei prüft das BSI entweder selbst oder durch externe Prüfer. Wer sich jetzt fragt, worauf die Auswahl basiert: Tiefenprüfungen finden anlasslos nach dem Zufallsprinzip statt. Das heißt, grundsätzlich können alle Betreiber kritischer Infrastrukturen vom BSI zur Kontrolle ausgewählt werden.