Willkommen - "Gemeinsam den IT-Sicherheitsstandort Berlin-Brandenburg noch attraktiver gestalten"

Willkommen

„Gemeinsam den IT-Sicherheitsstandort Berlin-
Brandenburg noch attraktiver gestalten“

Über it‘s.BB e.V.

               ZIELE DES NETZWERKES                                  AP 1
                                                                  „Hochschul-
  • Zusammenwachsen der IT Sicherheitsbranche                     Kooperation
    regionale Kooperationen Förderungen                            spartner“
  • Zusammenarbeit von Wissenschaft und                                                          AP 2
    Wirtschaft                                                                                 „KRITIS“
  • Fachkräftegewinnung für die Branche verbessern
  • Kompetenznetzwerk (POC) und
    vertrauenswürdige Ansprechpartner                   AP 4
  • Gemeinsame Projekte für die Hauptstadt             „KMU
    akquirieren                                      Leitfäden“
  • Kooperationen mit anderen Wirtschaftsbereichen                                  AP 3
  • Umdenken in Prozessen und Systemen anstoßen                                  „Projekte
  • Austausch mit der wachsenden Startup Szene in                                    und
    Berlin                                                                      Initiativen“

                                                                      https://www.itsbb.net/ueber-uns/

Die Netzwerkmitglieder

                         https://www.itsbb.net/mitglieder/

Kontakt it‘s.BB e.V.

             ALINA STRYBKO
             NETZWERKMANAGERIN IT´S.BB
             C/O NKMG MBH |
             POßWEG 45 | 14163 BERLIN
             ALINA.STRYBKO@ITSBB.NET
             https://www.itsbb.net/

                                         https://www.itsbb.net/kontakt/

BSI-G Reform
Was ist in Zukunft zu beachten?

Was ist „IT-Sicherheitsrecht“?

 Sektor-spezifische Anforderungen
     TMG / TKG
     MessstellenbetriebsG
     BAIT / VAIT
 Spezifische Anforderungen für bestimmte Datenkategorien
     DS-GVO / BDSG
     GeschGehG
 Das eigentliche IT-Sicherheitsrecht …
     Nationale Strategien + EU-Recht  IT-SicherheitsG 1.0 & 2.0  BSI-G
         Sektoren: KRITIS & UNBÖFI
         Kategorien: Daten & Systeme zur Erhaltung der Funktionsfähigkeit

KRITIS NEU

 Sektoren mit insg. ca. 1.600 Betreiber
     Energie
     IT & Telekommunikation
     Transport & Verkehr
     Gesundheit                           bisher …
     Wasser
     Ernährung
     Finanz- & Versicherungswesen
     NEU: Siedlungsabfallentsorgung
 Geplant: 2. KRITIS-ÄnderungsVO
   Reduzierung der Bemessungskriterien und Schwellenwerte: dann ca. 1.900
  Betreiber

UNBÖFI NEU
UNternehmen im Besonderen ÖFfentlichen Interesse

 Auswahl von Herstellern/Entwicklern von Sicherheitsprodukten
  (AußenwirtschaftsVO)
     Waffen, Munition und Rüstungsmaterial
     Verarbeitung staatl. Verschlusssachen und deren wesentlicher Komponenten
 Auswahl von Störfallanlagen (Störfall-VO bzw. 12. BImschVO)
 Top-Unternehmen mit erheblicher volkswirtschaftlicher Bedeutung
  Geplant: 100 Unternehmen mit größter inländischer Wertschöpfung
 Zulieferer mit Alleinstellungsmerkmal für UNBÖFI
(Viele Einzelfragen sind noch durch geplante UNBÖFI-VO zu klären.)

NEUE Anforderungen
1) IT Sicherheits-Compliance
 Ziel: Vermeidung der Störungen der Verfügbarkeit, Integrität, Authentizität und
  Vertraulichkeit von IT-Systemen, -Komponenten oder –Prozessen (Funktionsausfall-
  Vermeidung)
 Technische Maßnahmen (stets aktueller Stand der Technik)
     Digitale Systeme
     Physische Systeme
     Systeme zur Angriffserkennung (ab 01.05.2023)
 Organisatorische Maßnahmen
     Compliance mit Behördenkommunikation (BSI-Warnungen) & Sicherheitsstandards (B3S)
     Schwachstellen- bzw. Risikoanalysen (mit konstanten Aktualisierungspflichten)
     Zuordnung von Zuständigkeiten
     Notfallpläne & Meldepflichten (z.B. BSI)
 IT-Sicherheitszertifikate
 Bußgelder (bis EUR 2 Mio.)

NEUE Anforderungen
2) IT-Komponenten
 Ziel: Erhalt der Funktionsfähigkeit und Abwehr fremder (schädlicher)
  Einflussnahme
 Kritische IT-Komponenten
 IT-Produkte die zum Erhalt der Funktionsfähigkeit von KRITIS und öffentlicher
  Sicherheit erforderlich sind (Konkretisierung durch Gesetz)
     Telekommunikation (Konkretisierung durch BNetzA auf Grundlage TKG)
       „Lex Huawei“
 Anzeigepflicht bei Einsatz von Komponenten durch Verwender
 Abgabe einer Garantieerklärung zur Vertrauenswürdigkeit durch Hersteller
 Untersagungs-/Anordnungsrecht durch BMI

NEUE Anforderungen
3) IT-Sicherheitszertifikate
 Grundsatz der Freiwilligkeit
 Bestandteile eines IT-Sicherheitszertifikat
     Herstellererklärung
     Sicherheitsinformation BMI
     Zertifizierungsmarke
 Antrag auf IT-Sicherheitszertifikat ab Ende 2021 bei BMI möglich
     Herstellererklärung
     BSI prüft Plausibilität und Vollständigkeit
     Lizenz zur Nutzung der Marke für eine bestimmte Laufzeit mit bestimmten
      Sicherheitsinformationen
 Kontinuierliche Prüfungen während der Laufzeit

IT-Sicherheitsgesetz

Ziel: Mindestmaß an IT-Sicherheit

technische und organisatorische Maßnahmen

Information Security Management System (ISMS)

ISMS

Was ist ein Information Security Management System (ISMS)?

 Bestandteile: Regeln, Verfahren, Maßnahmen und Tools
 Ziel: Informationssicherheit steuern
 Risiken identifizieren und beherrschen
 Top-Down-Ansatz
 Standard:
     ISO 27001 (Zertifizierungsanforderungen)
     ISO 27003 (Entwicklung und Implementierung des ISMS)
     BSI-Standard 200-X

Umsetzung eines ISMS

1. Welche Werte und Informationen schützen?
2. Klare Definition von Anwendungsbereich des ISMS
3. Risiken identifizieren
4. Risiken bewerten
5. Umsetzung geeigneter Maßnahmen zur Risikovermeidung
6. Maßnahmen prüfen und optimieren
7. Restart des ISMS-Prozesses

Stand der Technik

Begriff:
 nicht allgemeingültig
 BSI: „anhand existierender nationaler oder internationaler Standards wie DIN oder
  ISO-Standards oder anhand erfolgreich in der Praxis erprobter Vorbilder für den
  jeweiligen Bereich ermitteln“

Umsetzung:
 Priorisierung der Systeme und ihrer Sicherheitsmaßnahmen
 Unternehmensspezifisch
 Technische Umsetzung nicht bei ISO/IEC 27001 definiert
 Dokumentation!
 Kontrolle durch Auditor

Faktor Mensch in der IT-Sicherheit

 Zero Trust-Ansatz

 Bewusstsein für IT-Bedrohungen

 Regelmäßige Schulungen

 Awareness-Kampagnen

 Ziel: Mensch und IT gemeinsam