IT-Sicherheitsgesetz 2.0 und KRITIS – was Betreiber kritischer Infrastrukturen jetzt wissen müssen

IT-Sicherheitsgesetz 2.0 und KRITIS

Was Betreiber kritischer Infrastrukturen jetzt wissen müssen

KONTAKTIEREN SIE UNS
Cyberangriffe, Erpressungsversuche und Datenleaks machen wöchentlich Schlagzeilen. Und dennoch scheinen auch im Jahr 2023 noch immer zahlreiche Unternehmen die geschäftskritische Bedeutung der Cyber- und Informationssicherheit nicht erkannt zu haben. Es fehlt nicht selten ein Bewusstsein für die Tragweite, die ein erfolgreicher Angriff für das Business, die eigene Reputation und die Beziehungen zu Kunden und Geschäftspartnern haben kann. Die stetige Berichterstattung zu Angriffen und deren massiven Folgen, scheinen für viele Entscheidungsträger weit weg und werden häufig nur mit kurzer Betroffenheit quittiert.

Nicht wenige denken:

„Uns wird es schon nicht treffen. Cyberkriminelle haben es doch nur auf die ganz Großen abgesehen.“

Was ist das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0)?

Das IT-Sicherheitsgesetz, bzw. das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz), wie es offiziell heißt, trat 2015 in Kraft. Diese Richtlinie war ein Beitrag der Bundesregierung dazu, die IT-Systeme und digitalen Infrastrukturen Deutschlands zu verbessern. Ziel des IT-Sicherheitsgesetzes ist daher vor allem die Verbesserung der IT-Sicherheit im Bereich der Kritischen Infrastrukturen (KRITIS) – wie etwa Strom- und Wasserversorgung, Finanzen oder Ernährung – aber auch der Cybersecurity von Wirtschaftsunternehmen, Bürgerinnen und Bürgern und in der Bundesverwaltung.
Das IT-Sicherheitsgesetz 2.0 ist nun eine Weiterentwicklung des IT-Sicherheitsgesetzes. Es zielt darauf ab, die Resilienz von Informationstechnologiesystemen und digitalen Netzwerken weiter zu verbessern.

Was sind die wichtigsten Punkte des IT-Sicherheitsgesetzes 2.0?

Erweiterter Anwendungsbereich:

Das Gesetz gilt nicht nur für Betreiber kritischer Infrastrukturen, sondern umfasst auch weitere Unternehmen und Organisationen, die als Teil der digitalen Wertschöpfungskette eine Rolle spielen. Dazu gehören zum Beispiel Cloud-Dienstleister, Online-Marktplätze und Anbieter von E-Government-Diensten.

Meldepflicht für Sicherheitsvorfälle:

Unternehmen sind verpflichtet, erhebliche Sicherheitsvorfälle, die ihre IT-Systeme betreffen, an eine zentrale Behörde zu melden.

Mindeststandards für IT-Sicherheit:

Es werden verbindliche Mindeststandards für die IT-Sicherheit festgelegt, die von den betroffenen Unternehmen einzuhalten sind. Diese umfassen Maßnahmen wie regelmäßige Sicherheitsaudits, Verschlüsselung, Zugangskontrollen und Incident-Response-Pläne.

Stärkung der Behörden:

Die Zuständigkeiten und Befugnisse der Aufsichts- und Regulierungsbehörden im Bereich der IT-Sicherheit werden erweitert. Diese Behörden haben die Aufgabe, die Einhaltung der Sicherheitsanforderungen zu überwachen, Unternehmen zu beraten und bei Bedarf Sanktionen zu verhängen.

Auswirkungen des IT-SiG 2.0 für KRITIS-Betreiber

Die KRITIS-Verordnung fordert von den Betreibern kritischer Infrastrukturen die Umsetzung von angemessenen organisatorischen und technischen Maßnahmen, um die Verfügbarkeit, Integrität, Vertraulichkeit und Belastbarkeit ihrer IT-Systeme und Netzwerke sicherzustellen. Dazu gehört auch die Meldung von Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Zusammenfassend gibt das IT-Sicherheitsgesetz den allgemeinen Rahmen für die IT-Sicherheit in Deutschland vor, während die KRITIS-Verordnung speziell auf die Sicherheitsanforderungen für Betreiber kritischer Infrastrukturen eingeht.

Neue Pflichten für KRITIS-Betreiber

Einführung von Systemen zur Angriffserkennung

Meldepflichten

Nach §8b Abs. 4 BSIG müssen KRITIS-Betreiber zwei Klassen von IT-Störungen melden. Diese werden definiert als Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse. Das sind Störungen, die bereits zu einem Ausfall oder einer erheblichen Beeinträchtigung der KRITIS-Anlage geführt haben oder aber erhebliche Störungen, die zum Ausfall oder erheblichen Beeinträchtigung der KRITIS-Anlage führen könnten.

Branchenspezifische Sicherheitsstandards

SOC ist eine Lösung für KRITIS-Betreiber

Eine der wichtigsten neuen Anforderungen ist der Einsatz von Systemen zur Angriffserkennung. Unternehmen müssen in der Lage sein, Schwachstellen zu erkennen, Angriffe frühzeitig zu identifizieren und Abwehrmaßnahmen zu ergreifen. Darüber hinaus müssen Unternehmen ihre IT-Infrastruktur regelmäßig aktualisieren und Sicherheitslücken schließen.
Mit einem Security Operations Center (SOC) können Unternehmen vielen Anforderungen an die Cybersicherheit effektiv umsetzen. Ein SOC bietet modernste Sicherheitstechnologien, Prozesse und hochqualifizierte Security-Experten, die für die Überwachung, Analyse und das Wiederherstellen der Cybersicherheit des Unternehmens verantwortlich sind.
Aber: Der Betrieb eines eigenen SOC ist teuer. Es fallen hohe Kosten für qualifiziertes Personal und Technologie an.

Sicherheit auf Knopfdurck: SOC-as-a-Service

Daher bietet Arctic Wolf das Modell SOC-as-a-Service. Mit seinem Managed Detection & Response Service ermöglicht der Security-Operations-Experte eine Rund-um-die-Uhr-Überwachung Ihrer Netzwerke, Endgeräte und Cloud-Umgebungen auf Knopfdruck, damit Sie moderne Cyberangriffe erkennen, schnell reagieren, Schäden abwenden und minimieren und den Betrieb aufrechterhalten bzw. zeitnah wiederherstellen können.
Außerdem bietet Arctic Wolf eine am Markt einzigartige Kombination aus Technologie und menschlichem Support. Jeder Kunde wird von fest zugewiesenen Experten, dem Concierge Security Team betreut. Als fester Ansprechpartner stehen diese zur Unterstützung und für Rückfragen bereit. Außerdem besprechen die Experten von Arctic Wolf in regelmäßigen, individualisierten Security Workshops mit Ihnen, wie ihr Unternehmen seine Abwehrstrategien langfristig verbessern kann, um das Risiko und die Wahrscheinlichkeit eines Cyberangriffs nachhaltig zu minimieren.

Laden Sie unser Datenblatt

Arctic Wolf für KRITIS

Herunter und erfahren Sie, wie Arctic Wolf Ihr Unternehmen bei der Umsetzung der neuen gesetzlichen Anforderungen unterstützen kann.

Datenblatt herunterladen

Fragen? Kontaktieren Sie uns.

Entdecken Sie die Cybersicherheitslösungen von Arctic Wolf