KRITIS-Prüfung

Netzbetreiber (Energie)

Strom- und Gasnetzbetreiber sind von der Bundesnetzagentur (BNetzA) aufgefordert, ein zertifiziertes Informationssicherheits-Managementsystem auf Basis des IT-Sicherheitskataloges einzuführen, um so eine sichere Energieversorgung sicherzustellen. Unsere Sachverständigen begleiten Sie bei Ihrer Prüfung nach den Anforderungen des 1. Sicherheitskataloges von Ihrem individuellen Erstangebot bis zum Erhalt Ihres Zertifikats sicher und kompetent.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Versorger/ Erzeuger (Energie)

Die Energieversorgung gliedert sich in die Branchen Elektrizität, Gas, Mineralöl und Fernwärme. Aufgrund ihrer Schlüsselstellung im Gemeinwesen umfasst die Energiewirtschaft die zentralen kritischen Infrastrukturen, weil sie jedem anderen KRITIS-Sektor vorgeschaltet sind. Erfüllen Sie die Mindestanforderungen des 2. Sicherheitskataloges mit einer Überprüfung des IT-Sicherheitskonzepts Ihrer Anlagen.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

IT und Telekommunikation

Die Informationstechnik (IT) und Telekommunikation (TK) gliedert sich in die Branchen Sprach- und Datenübertragung (Zugang, Übertragung, Vermittlung und Steuerung) sowie Datenspeicherung und -verarbeitung (Housing, IT-Hosting und Vertrauensdiensten). Wir überprüfen auf Basis der vereinbarten Prüfgrundlage Ihr Informationssicherheits-Managementsystem (ISMS).

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Ernährung

Aufgrund ihrer besonderen Bedeutung für das Gemeinwesen sowie der zunehmenden Automatisierung werden gemäß § 10 Absatz 1 Satz 1 des BSI-Gesetzes die Bereiche Herstellung, Behandlung, Distribution, Bestellung und Inverkehrbringen von Lebensmitteln sowie die zentrale standortübergreifende Steuerung von Lebensmitteln als kritisch eingestuft. Gern unterstützen wir Sie bei der Einhaltung der entsprechenden Sicherheitsanforderungen anhand der vereinbarten Prüfgrundlage.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Wasser/ Abwasser

Für den Schutz vor Hackerangriffen auf die IT-Infrastruktur der Wasserversorger hat das BSI zusammen mit dem Deutschen Verein des Gas- und Wasserfaches (DVGW) den Branchenstandard B3S entwickelt. Dieser besteht aus dem Merkblatt DVGW W 1060 bzw. DWA-M 1060 "IT-Sicherheit - Branchenstandard Wasser/Abwasser" sowie einer Web-Applikation, dem "IT-Sicherheitsleitfaden". Mit diesem Leitfaden wird ermittelt, welche Sicherheitsmaßnahmen einzuführen sind, um die IT-Infrastruktur gemäß dem Stand der Technik zu schützen. Gern stehen Ihnen unsere Experten und Expertinnen bei der Erbringung des erforderlichen Nachweises mithilfe einer Prüfung zur Seite.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Transport und Verkehr

Durch die enge Vernetzung der Lieferketten und der steigenden Mobilität der Bevölkerung nehmen Transport-, Beförderungs- und Logistikleistungen in jeder Branche eine Schlüsselrolle ein: Von der Versorgung der Bevölkerung bis zum Rettungstransport. Wir stehen erfahren an Ihrer Seite und überprüfen Ihre Anlagen auf Basis der vereinbarten Prüfgrundlage.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Gesundheit

Bei Gesundheitsdienstleistungen muss die Versorgung der Bevölkerung auch in Krisensituationen stets gewährleistet sein. Fehlt beispielsweise eine ausreichende Netzwerk-, Endgeräte- oder Datensicherheit, kann dies gravierende Auswirkung haben und unmittelbar Menschenleben gefährden. Daher unterstützen wir Sie in verschiedenen Bereichen der medizinischen Versorgung sowie in den Bereichen Pharma und Labor.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Finanz- und Versicherungswesen

Das Finanz- und Versicherungswesen (Banken, Börsen, Versicherungen, Finanzdienstleistende) nimmt eine Schlüsselstellung im Wirtschafts- und Finanzkreislauf ein. IT-Gefährdungen haben für die gesamte Gesellschaft weitreichende Folgen. Vor allem die Bargeldversorgung, der bargeldlose und der konventionelle Zahlungsverkehr, die Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften sowie Versicherungsdienstleistungen müssen berücksichtigt werden. Wir unterstützen Sie umfassend mit einer Prüfung auf Basis der vereinbarten Prüfgrundlage.

Informieren Sie sich hier über die zutreffenden Schwellenwerte für Ihre Anlage.

Entsorgung von Siedlungsabfällen

Als zentraler Bereich der Abfallwirtschaft ist es die Aufgabe der Entsorgung, Siedlungsabfälle zu sammeln und anschließend so zu beseitigen oder zu verwerten, dass es dabei nicht zu einer wachsenden Seuchengefahr und Verschmutzung der Umwelt mit gefährlichen Stoffen kommt. Wir unterstützen Sie mit einer Überprüfung auf Basis der vereinbarten Prüfgrundlage, um die gesundheitliche Gefährdung der Bevölkerung durch Ausfälle oder Störungen der Entsorgungsleistungen zu vermeiden. Die Schwellenwerte und genaue Anlagendefinitionen werden erst in der neuen Rechtsverordnung KritisV 2.0 in 2022 konkretisiert – mehr Informationen finden Sie hier.

Unternehmen im besonderen öffentlichen Interesse

Neben den in der KRITIS-Verordnung genannten Sektoren unterliegen auch weitere Unternehmen im besonderen öffentlichen Interesse (UBI/UNBÖFI) sowie deren Zulieferer den Vorgaben des IT-Sicherheitsgesetzes 2.0. Dazu gehören die Bereiche:

• Hersteller von Rüstungs- und bestimmten Cyber-Security-Produkten (AWV-UBI)
• Die Unternehmen mit der größten inländischen Wertschöpfung (Wertschöpfungs-UBI)
• Betreiber von Betriebsbereichen der oberen Klasse im Sinne der Störfallverordnung und Unternehmen, die diesen gleichgestellt sind (Störfall-UBI)

Wenn Sie zu den genannten Gruppen gehören, unterliegen Sie neuen Pflichten:

• Selbstidentifikation und Registrierung innerhalb von zwei Jahren
• Vorlage einer IT-Sicherheitserklärung zu Zertifizierungen, Sicherheitsaudits und Sicherheitsmaßnahmen.
• Meldungen bestimmter Störungen und Vorfälle an das BSI

Genauere Definitionen für UBI werden 2022 in einer neuen Rechtsverordnung UBI-VO konkretisiert.

Ablauf der KRITIS-Prüfung

Unsere Sachverständigen bieten Ihnen umfassende Zertifizierungen und Prüfungen als Nachweis zur Einhaltung der KRITIS-Verordnung. Dafür müssen Sie sich als Betreiber kritischer Infrastrukturen beim BSI melden und registrieren. In Ihrem Unternehmen sollten Sie ein den Anforderungen entsprechendes Niveau für Cyber Security und IT-Sicherheit umgesetzt haben. Dazu gehören organisatorische Maßnahmen wie ein implementiertes Informationssicherheitsmanagementsystem (ISMS), technologische Schutzmaßnahmen nach dem Stand der Technik zum Schutz Ihrer IT- und OT-Infrastruktur sowie auch Systeme und Prozesse zur Angriffserkennung wie zum Beispiel ein Security Incident Management (SIEM) oder ein Security Operation Center (SOC).

Eine KRITIS-Prüfung durch unsere Sachverständigen erfolgt in 6 Schritten:

1. Prüfungsvorbereitung, inklusive der Wahl der Prüfungsgrundlage sowie der Prüfung des Geltungsbereichs
2. Erstellung des Prüfplans
3. Dokumentationsprüfung
4. Vor-Ort-Prüfung
5. Nachbereitung der Vor-Ort-Prüfung
6. Erstellung des Prüfberichts und der Mängelliste

Weitere Services

Weiterhin können wir Sie mit folgenden Services unterstützen:

• IT-Sicherheits-Checks
• Cloud-Zertifizierungen
• Datenschutz- und Datensicherheitsaudit
• Risikomanagement/Risikoanalyse
• Stellung des externen Datenschutzbeauftragten
• Aufbau eines Datenschutz- und Datensicherheitssystems

Über KRITIS

In der KRITIS-Verordnung werden die Sektoren definiert, in denen kritische Dienstleistungen (kDL) zur Versorgung der Allgemeinheit erbracht werden. Dazu gehören:

• Grundversorgung: Energie, Wasser, Ernährung, Gesundheit
• Versorgung: Transport und Verkehr sowie neu in V 1.5 Siedlungsabfallentsorgung und Unternehmen im besonderen öffentlichen Interesse (UBI/UNBÖFI)
• Dienstleistungen: IT und TK, Finanzen und Versicherungen

Die Betreiber erbringen die kritischen Dienstleistungen in KRITIS-Anlagen, die in der Verordnung pro Sektor definiert sind. Darüber hinaus enthält die Verordnung Schwellenwerte, ab wann eine Anlage zur kritischen Infrastruktur zu rechnen ist.