KRITIS Systeme zur Angriffserkennung: §8a BSIG Pflicht

Das BSI fordert nach § 8a Absatz 1a BSIG den Einsatz von Systemen zur Angriffserkennung. Die Orientierungshilfe OH SzA definiert drei Bereiche: Protokollierung (kontinuierliche Erfassung sicherheitsrelevanter Ereignisse), Detektion (Erkennung von Angriffsmustern durch SIEM und IDS) und Reaktion (strukturierte Vorfallbehandlung mit definierten Eskalationswegen). Der Umsetzungsgrad wird auf einer Skala von 0 bis 5 bewertet, wobei Stufe 3 als Mindestanforderung gilt.

KRITIS-Betreiber müssen erhebliche IT-Sicherheitsvorfälle unverzüglich an das BSI melden. Seit der NIS2-Umsetzung gelten gestaffelte Fristen: Erstmeldung innerhalb von 24 Stunden, detaillierte Folgemeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Meldepflichtig sind Vorfälle, die Verfügbarkeit, Integrität oder Vertraulichkeit kritischer Dienstleistungen beeinträchtigen.

SIEM (Security Information and Event Management) sammelt und korreliert Logdaten aus verschiedenen Quellen zur Bedrohungserkennung. Ein SOC (Security Operations Center) ist die organisatorische Einheit mit Analysten, die SIEM-Alarme bewerten und auf Vorfälle reagieren. MDR (Managed Detection and Response) ist ein ausgelagerter Dienst, bei dem ein externer Anbieter Überwachung, Analyse und Reaktion übernimmt, besonders geeignet für KRITIS-Betreiber ohne eigenes SOC.

NIS2 erweitert die Anforderungen an KRITIS-Betreiber erheblich: Mehr Sektoren fallen unter die Regulierung, Meldepflichten werden verschärft und Geschäftsführer haften persönlich für die Umsetzung. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) integriert die bestehenden BSIG-Anforderungen und fordert zusätzlich Risikomanagement, Lieferkettensicherheit und regelmäßige Überprüfungen der Sicherheitsmaßnahmen.

Ein strukturierter Incident-Response-Prozess folgt fünf Phasen: Erkennung (automatische Alarmierung durch SIEM/IDS), Analyse (Bewertung der Schwere und des Umfangs), Eindämmung (Isolation betroffener Systeme), Beseitigung (Entfernung der Bedrohung und Wiederherstellung) und Nachbereitung (Forensik, BSI-Meldung, Lessons Learned). Jede Phase hat definierte Rollen, Eskalationswege und Dokumentationspflichten.

Die Kosten hängen von Unternehmensgröße, IT-Landschaft und gewähltem Modell ab. Ein eigenes SOC mit SIEM erfordert erhebliche Investitionen in Personal und Technologie. Managed-SOC- oder MDR-Lösungen bieten KRITIS-Betreibern eine kosteneffiziente Alternative mit monatlichen Betriebskosten statt hoher Anfangsinvestitionen. ADVISORI analysiert Ihre Ist-Situation und empfiehlt das wirtschaftlich sinnvollste Modell.

Die Integration erfordert eine sorgfältige Planung, da OT-Systeme (Operational Technology) besondere Anforderungen an Verfügbarkeit und Echtzeitfähigkeit stellen. Passive Netzwerk-Monitoring-Sensoren erfassen OT-Verkehr ohne Betriebsunterbrechung. IT- und OT-Daten werden in einer zentralen SIEM-Plattform zusammengeführt, wobei spezialisierte Parser für industrielle Protokolle (OPC UA, Modbus, IEC 104) eingesetzt werden.