Komplexe Regulatorik und akute Bedrohungslage erhöhen Handlungsdruck
Betreiber Kritischer Infrastrukturen (KRITIS) sehen sich in der aktuellen geopolitischen Lage schlagartig realen Bedrohungsszenarien ausgesetzt. Ihre Anlagen sind beliebte Angriffsziele. Gleichzeitig sind sie mit komplexen regulatorischen Rahmenbedingungen konfrontiert.
Auf nationaler Ebene spielt insbesondere das BSIG − welches bereits mehrfach durch IT-Sicherheitsgesetze aktualisiert und von der BSI-Kritisverordnung konkretisiert wurde − eine zentrale Rolle. Dieses wird durch sektorspezifische Spezialgesetze z. B. dem Energiewirtschaftsgesetz (EnWG) und dem Telekommunikationsgesetz (TKG) flankiert.
Auf europäischer Ebene kommen die Richtlinien NIS 2 (Directive on security of network and information systems) und RCE (Directive on the resilience of critical entities) hinzu.
„Angesichts der aktuellen geopolitischen Lage und komplexer Regulatorik sind Betreiber Kritischer Infrastrukturen mit enormen Herausforderungen konfrontiert. Eine umfassende Cyber-Resilienz ist heute wichtiger denn je.“
Wofür wir stehen
< Back
< Back
[+] Read More
Umsetzung der NIS-2-Richtlinie
Zur Umsetzung der NIS-2-Richtlinie, die sich mit der Cybersicherheit von kritischen Infrastrukturen befasst, gibt es bereits einen Referentenentwurf (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG). Hier kommen viele Veränderungen auf Ihre Organisation zu. Die wichtigsten sind unter anderem die folgenden:
- Ausweitung des Anwendungsbereichs: Die Anzahl der Organisationen, die von den Regelungen betroffen sind, steigt stetig. Schon NIS 2 sieht eine weitere deutliche Erweiterung des Anwendungsbereichs vor. Der Referentenentwurf des Bundesinnenministeriums lässt erwarten, dass der deutsche Gesetzgeber sogar noch weiter geht, als es von NIS 2 gefordert wurde.Die Regelungen dazu sind teilweise sehr komplex. Zu den Schwellenwerten will die Bundesregierung eine neue Verordnung erlassen, die dann sowohl für die Cybersicherheit (NIS 2 und BSIG), als auch für die physische Sicherheit (RCE und KRITIS-Dachgesetz) gelten soll. Wir unterstützen Sie gerne bei einer Betroffenheitsanalyse.
- Governance und Organhaftung: NIS 2 sieht vor, dass Leitungsorgane (Vorstand, Geschäftsführung etc.) für die Überwachung der Umsetzung der Risikomanagementmaßnahmen Sorge tragen sollen und fordert, dass ein Verstoß gegen diese Pflicht zur privaten Haftung der Leitungsorgane führt. Diese Vorgaben scheint die Bundesregierung besonders streng umsetzen zu wollen. Der Referentenentwurf sieht vor, dass die Leitungsorgane ihren Verpflichtungen persönlich nachkommen müssen. Außerdem sollen sie gegenüber ihrer Organisation auch für Bußgelder haften, die aufgrund ihrer Pflichtverletzungen verhängt wurden. Dies kann insbesondere für Vorstände und Geschäftsführer von großen Unternehmen fatale Folgen haben. Denn die Obergrenze für Bußgelder wird von bisher 20 Millionen Euro (§ 14 Abs. 5 BSIG i.V.m. § 30 Abs. 2 Satz 3 OWiG) teilweise auf 2 % des globalen Jahresumsatzes des Unternehmens erhöht. Da vorgesehen ist, dass die Organisationen auf die Ersatzansprüche gegenüber den Leitungsorganen nicht verzichten dürfen, sind die neuen Haftungsregeln für Leitungsorgane potenziell existenzgefährdend.
Die RCE-Richtlinie, die sich insbesondere mit der physischen Sicherheit von kritischen Infrastrukturen auseinandersetzt, wird in Deutschland voraussichtlich durch das sog. KRITIS-Dachgesetz umgesetzt. Die zentrale Aufsichtsbehörde für die physische Sicherheit soll in Deutschland das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) werden.
Wichtiger Hinweis: Gem. des Entwurfs der Bundesregierung werden die Leitungsorgane von Unternehmen für die Einhaltung der Risikomanagementmaßnahmen mit ihrem Privatvermögen haften. Die Obergrenze für diese Haftung entspricht 2 % des globalen Jahresumsatzes des Unternehmens.
Entwicklung des IT-Sicherheitsrechts für KRITIS
IT-Sicherheitsgesetz 1.0
Änderungsgesetz zum BSIG, EnWG, TKG, AtG und TMG: Verpflichtet Betreiber Kritischer Infrastrukturen IT angemessen abzusichern und diese Sicherheit überprüfen zu lassen.
Unsere Services für die einzelnen KRITIS-Sektoren in der Übersicht
- Energie
- Ernährung
- Finanz- und Versicherungswesen
- Gesundheit
- IT und Telekommunikation
- Siedlungsabfallentsorgung
- Transport und Verkehr
- Wasser
- UBI
Energie
Zur Sicherstellung einer stabilen Energieversorgung ist der Schutz Kritischer Infrastrukturen und Informationen bereits im Rahmen des IT-Sicherheitsgesetzes sowie des IT-Sicherheitskatalogs der Bundesnetzagentur verankert. Eine Herausforderung ist das Zusammenspiel unterschiedlicher Anforderungen, welche sich beispielsweise aus § 11 Abs. 1 (a) EnWG oder der KRITIS-Verordnung ergeben. Außerdem gilt es, branchenspezifische Security Frameworks wie ISO/IEC 27019:2020 oder B3S Aggregatoren zu berücksichtigen.
Mehr erfahren
Wie PwC KRITIS-Betreiber unterstützt
Herausforderungen der novellierten KRITIS-Verordnung und der geopolitischen Lage bewältigen
Um Unternehmen und Institutionen bei der Absicherung von kritischen Komponenten und Kritischen Infrastrukturen bestmöglich zu unterstützen, hat PwC das KRITIS Center of Excellence gegründet. Es führt in einem interdisziplinären Ansatz das Wissen und die branchenspezifische Kompetenz der PwC-Expert:innen mit sektorübergreifendem Know-how zusammen. So beraten wir Sie beispielsweise rechtlich bei Betroffenheitsanalysen und helfen Ihnen bei der Bewältigung aktueller Sicherheitsvorfälle mit der Cyber Incident Response. Mehr als 30 Expert:innen verfügen zudem über eine nachgewiesene zusätzliche Prüfverfahrenskompetenz für § 8a BSI Gesetz.
Prüfungen oder Vorbereitung auf KRITIS-Prüfungen nach §8a Abs. 3 und 4
Prüfungen nach §8a Abs. 3 und 4 BSIG bereiten unsere Expert:innen optimal vor oder führen sie verlässlich durch. Sie verfügen dafür über die zusätzliche Prüfverfahren-Kompetenz nach § 8a BSIG. Mit PwC als Partner profitieren Sie von dem Know-how einer führenden Wirtschaftsprüfungs- und Beratungsgesellschaft, welches IDW Prüfungsstandards wie Prüfberichte gemäß ISAE 3000 in Kombination mit einer tiefgreifenden Cyber-Expertise anbietet.
Cyber Incident Response und Forensik
Im Ernstfall eines Cyberangriffs ist eine schnelle und zielgerichtete Reaktion entscheidend, um den Schaden zu begrenzen. Wir helfen Betreibern Kritischer Infrastrukturen dabei, eine „Incident Response Readiness“ aufzubauen – sprich: bei Vorfällen handlungsfähig zu sein und effektiv reagieren zu können. Darüber hinaus unterstützen wir Sie bei der gerichtsfesten Untersuchung von Vorfällen.
Cyber Transformation: Durchgehende IT-Sicherheit
Wir beraten Sie in allen Facetten rund um den sicheren Einsatz der IT – von der Architektur bis zum Betrieb. Im Ernstfall stehen wir auf Knopfdruck bereit und helfen Ihnen mit Sofortmaßnahmen sowie nachhaltigem Kontinuitäts- und Krisenmanagement. Kurzum: Wir unterstützen Sie dabei, Ihre Werte optimal zu schützen, damit Sie die Chancen der Digitalisierung voll ausschöpfen können.
Aktuelles zu KRITIS
Systeme zur Angriffserkennung
Die Betreiber Kritischer Infrastrukturen aller Sektoren sowie Betreiber von Energieversorgungsnetzen sind in Deutschland dazu verpflichtet, Angriffserkennung zu leisten, um ihre Informationssysteme zu schützen. Nach einer Neuerung im BSIG und im EnWG müssen ab Mai 2023 Systeme zur Angriffserkennung (SzA) Bestandteil der Nachweise gegenüber dem BSI sein. Machen Sie Ihr Unternehmen fit für die neuen BSI-Anforderungen zur Erkennung von Cyberangriffen! Wir unterstützen Sie bei der Umsetzung der neuen Richtlinien – alle Details dazu finden Sie in unserem Paper!
Was bedeutet die geopolitische Lage für den Schutz Kritischer Infrastrukturen?
Vernetzte Hardware, die Abhängigkeit von Daten und Softwarelösungen sowie ständig neue Angriffsvektoren – Kritische Infrastrukturen sind durch potenzielle Cyberangriffe ebenso gefährdet, wie andere Unternehmen. Insbesondere in der aktuellen geopolitischen Lage stellen solche digitalen Angriffsziele eine erhöhte Gefahr dar und es zeigt sich einmal mehr: Der Schutz Kritischer Infrastrukturen wird künftig bedeutender denn je. Doch wie gelingt die Absicherung der hochkomplexen IT-Systeme und worauf kommt es an? Erfahren Sie in unserem Flyer, wie Sie unser interdisziplinäres Team bei den anstehenden Herausforderungen unterstützen kann – und das über alle KRITIS-Sektoren hinweg.
Simulation von Cyberattacken auf KRITIS
Mit dem kürzlich in Frankfurt eröffneten Cyber Security Experience Center lässt sich hautnah erleben, wie sich Cyberangriffe auf die IT-Infrastruktur auswirken und mit welchen Abwehrmaßnahmen sich informationstechnische Systeme wirksam schützen lassen. Die dort simulierten Kritischen Infrastrukturen helfen KRITIS-Betreibern im Umgang mit Cyberattacken in einem sich verändernden Spannungsfeld geopolitischer Rahmenbedingungen.
Follow us
Contact us
