B3S Standard
Die KLW kennt sich aus mit dem B3S Standard.
Der B3S-Standard, dessen Kürzel für Branchenspezifischer Sicherheitsstandard steht, stellt eines der zentralen und zugleich praxisrelevantesten Instrumente der deutschen Cybersicherheitsstrategie dar. Er ist die maßgeschneiderte Antwort auf die wachsende Bedrohung durch Cyberangriffe auf die sogenannten Kritischen Infrastrukturen, also auf all jene Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen, Gefahren für die öffentliche Sicherheit oder anderen dramatischen Folgen für das Gemeinwesen führen würde. Während es eine Vielzahl allgemeiner IT-Sicherheitsnormen und branchenübergreifender Standards wie die ISO/IEC 27001 gibt, die einen Rahmen für ein Informationssicherheits-Managementsystem (ISMS) vorgeben, zeichnet sich der B3S durch seine tiefgreifende Spezifität aus. Er greift die ganz konkreten Gegebenheiten, die charakteristischen Anlagen, die typischen Prozesse und die sektorspezifischen Risiken einer einzelnen Branche auf und übersetzt die oft abstrakten gesetzlichen Anforderungen in handfeste, umsetzbare Maßnahmen. Damit ist der B3S weit mehr als nur eine weitere Richtlinie; er ist der Schlüssel zur praktischen Umsetzung von IT-Sicherheit in den sensibelsten Bereichen der deutschen Versorgungswirtschaft.
Die rechtliche und organisatorische Verankerung des B3S ist ebenso durchdacht wie pragmatisch. Die gesetzliche Grundlage für die Notwendigkeit solcher Standards findet sich im BSI-Gesetz, genauer gesagt in der Verpflichtung für Betreiber Kritischer Infrastrukturen, den Stand der Technik in der Informationssicherheit einzuhalten und dies gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachzuweisen. An diesem Punkt setzt der B3S an. Er wird nicht etwa von einer staatlichen Behörde im stillen Kämmerlein erdacht, sondern entsteht in einem kooperativen Prozess zwischen Staat und Wirtschaft. Die Initiative zur Erstellung eines solchen Standards geht von den Branchenverbänden der jeweiligen KRITIS-Sektoren aus. Diese Verbände, die ihre Branche und deren spezifische Herausforderungen aus dem Effeff kennen, entwickeln auf der Grundlage ihrer Expertise detaillierte Vorgaben und Maßnahmenkataloge. Der gesamte Prozess wird vom BSI begleitet und unterstützt, das den Verbänden eine sogenannte "Orientierungshilfe zu B3S" an die Hand gibt. Diese Orientierungshilfe enthält methodische, inhaltliche und strukturelle Empfehlungen für die Erstellung eines Standards und stellt sicher, dass alle B3S einem einheitlichen Qualitäts- und Prüfstandard genügen. Nach Fertigstellung wird der Standard dem BSI zur offiziellen Eignungsfeststellung vorgelegt. Prüft das BSI den Standard und erkennt ihn als geeignet an, um den gesetzlichen Anforderungen an den Stand der Technik zu genügen, ist der B3S offiziell anerkannt und erlangt eine hohe Verbindlichkeit. Für die Betreiber entsteht dadurch eine immense Rechtssicherheit: Sie können sich nun auf den anerkannten Standard berufen und haben die Gewissheit, dass ihre Maßnahmen bei einem späteren Audit durch das BSI als den gesetzlichen Vorgaben entsprechend gewertet werden.
Für wen aber ist dieser Standard nun wirklich von entscheidender Bedeutung? An erster Stelle sind dies die Betreiber Kritischer Infrastrukturen (KRITIS), die durch das BSI-Gesetz und die darauf basierende Rechtsverordnung (BSI-KritisV) klar definiert sind. Für sie ist der B3S der bevorzugte und oft auch der einzig praktikable Weg, um ihre gesetzlichen Pflichten zu erfüllen. Die Anwendung eines anerkannten B3S ist für sie gleichbedeutend mit einem "Fast Track" zur Compliance. Sie erspart ihnen die aufwändige und unsichere Aufgabe, selbst definieren zu müssen, was in ihrer spezifischen Branche der "Stand der Technik" ist. Die Standards sind so konzipiert, dass sie detailliert beschreiben, welche organisatorischen, personellen und technischen Vorkehrungen für den Betrieb einer kritischen Anlage unerlässlich sind. Das Spektrum reicht dabei vom Aufbau eines ISMS über die Regelung von Zutrittskontrollen, die Absicherung von Netzwerkübergängen bis hin zur Einrichtung von Notfallmanagement und Systemen zur Angriffserkennung. Die Bedeutung des B3S beschränkt sich jedoch nicht nur auf die großen, gesetzlich verpflichteten KRITIS-Betreiber. Auch kleinere und mittlere Unternehmen (KMU), die vielleicht nicht die quantitativen Schwellenwerte für eine KRITIS-Einstufung erreichen, aber dennoch in sensiblen Branchen tätig sind, können den B3S als wertvolle Handlungsorientierung nutzen. Für sie ist der Standard eine Art Blaupause, ein erprobtes und von Experten abgesegnetes Konzept, an dem sie sich ausrichten können, um ihre eigene IT-Sicherheit auf ein zeitgemäßes und robustes Niveau zu heben.
Die enorme Bandbreite der Branchen, für die bereits B3S-Standards existieren, zeigt eindrucksvoll, wie tief dieses Instrument in der deutschen Wirtschaft verwurzelt ist. So existieren für den Sektor Energie mehrere Standards, von denen der B3S für die Verteilung von Fernwärme (B3S VvFw) ein besonders anschauliches Beispiel ist. Dieser Standard gilt für die Betreiber von Fernwärmenetzen, die den gesetzlichen Schwellenwert von mehr als 250.000 angeschlossenen Haushalten erreichen. Er legt detailliert fest, welche IT-Systeme für die kritische Dienstleistung der Fernwärmeverteilung maßgeblich sind und wie diese abgesichert werden müssen. Der Standard schreibt vor, dass der Betreiber ein ISMS implementieren muss und definiert spezifische Maßnahmen für die speziellen Steuerungs- und Regelungssysteme der Fernwärme. Eine interessante Besonderheit ist hier die Klarstellung, dass die strengen IT-Sicherheitsanforderungen nur für die Systeme gelten, die für die Aufrechterhaltung der Fernwärmeversorgung essenziell sind. Kann die Wärmeverteilung im Notfall auch manuell ohne IT-Unterstützung aufrechterhalten werden, entfallen die Vorgaben – allerdings muss dies detailliert nachgewiesen werden. Ein weiterer wichtiger Standard in diesem Sektor ist der B3S Aggregatoren, der sich an Betreiber von Anlagen zur Steuerung und Bündelung von Erzeugungs- und Verbrauchseinheiten richtet, also an diejenigen, die virtuelle Kraftwerke betreiben und die Energiewende aktiv mitgestalten.
Ein weiterer zentraler Bereich ist der Sektor Wasser/Abwasser, für den der B3S Wasser/Abwasser (B3S WA) entwickelt wurde, eine gemeinsame Initiative des Deutschen Vereins des Gas- und Wasserfaches (DVGW) und der Deutschen Vereinigung für Wasserwirtschaft, Abwasser und Abfall (DWA). Dieser Standard adressiert die wachsende Bedrohung durch Cyberangriffe auf die lebenswichtige Infrastruktur der Trinkwasserversorgung und Abwasserentsorgung. Er geht weit über die bloße Implementierung eines ISMS hinaus; die Verbände betonen, dass die bloße Umsetzung der DIN EN ISO/IEC 27001 allein nicht ausreichend ist, um den spezifischen Anforderungen der Wasserwirtschaft gerecht zu werden. Der B3S WA beschreibt detaillierte Mindestanforderungen für die IT-Sicherheit in diesem Sektor und hilft sowohl den großen, von der BSI-KritisV betroffenen Unternehmen als auch kleineren und mittleren Wasserversorgern, ein Schutzniveau zu implementieren, das dem Stand der Technik entspricht. Durch die kontinuierliche Weiterentwicklung des Standards, der in einer Version 4.0 mit vereinheitlichten Anwendungsfällen vorliegt, wird sichergestellt, dass er stets aktuell bleibt und neue Bedrohungsszenarien adäquat berücksichtigt.
Der Sektor Gesundheit ist aufgrund seiner besonderen Sensibilität ein weiteres Kernfeld der B3S-Aktivitäten. Die Deutsche Krankenhausgesellschaft (DKG) hat gemeinsam mit dem BSI den B3S für Krankenhäuser entwickelt, der sich an Einrichtungen der stationären medizinischen Versorgung richtet. Dieser Standard ist nicht statisch, sondern wird regelmäßig überarbeitet, zuletzt in einer Version 1.3, um den sich stetig wandelnden Anforderungen und Bedrohungslagen gerecht zu werden. Das Ziel ist es, den Krankenhäusern einen klaren und verbindlichen Rahmen zu geben, wie sie ihre Informationssicherheit gestalten müssen, um die Versorgungssicherheit für die Patienten zu gewährleisten. Der B3S definiert konkrete Anforderungen an den Schutz von Patientendaten, die Verfügbarkeit von medizinischen Informationssystemen und die Sicherheit von vernetzten Medizingeräten. Neben dem Krankenhaus-Standard existieren für diesen Sektor auch spezifische B3S für die Labordiagnostik und die Pharmaindustrie, was die hohe Diversität und die spezifischen Risiken innerhalb des Gesundheitswesens widerspiegelt.
Auch der Sektor Ernährung ist mit mehreren B3S-Standards abgedeckt, was die Bedeutung einer sicheren Lebensmittelversorgung unterstreicht. Hier existieren der B3S Ernährungsindustrie und der B3S Lebensmittelhandel, die jeweils von den zuständigen Branchenverbänden erstellt und vom BSI anerkannt wurden. Diese Standards reagieren auf die Tatsache, dass auch die Produktion und der Handel von Lebensmitteln zunehmend digitalisiert und damit angreifbar sind. Ein Cyberangriff auf ein Logistiksystem oder eine Produktionssteuerung könnte massive Auswirkungen auf die Versorgung der Bevölkerung haben. Der B3S Lebensmittelhandel beispielsweise definiert, welche Sicherheitsmaßnahmen im Handel ergriffen werden müssen, um die IT-Systeme für Bestellwesen, Lagerhaltung und Logistik zu schützen.
Für den Sektor Transport und Verkehr schließlich ist der B3S für Verkehrssteuerungs- und Leitsysteme im kommunalen Straßenverkehr von großer Relevanz. Dieser Standard, der als VDE-Vornorm vorliegt, ist anwendbar auf die vielfältigen Systeme des Straßenverkehrs, von den Ampelschaltungen über Verkehrsbeeinflussungsanlagen auf Autobahnen bis hin zu den komplexen Steuerungssystemen in Tunneln. Er deckt den gesamten Lebenszyklus dieser Systeme ab, von der Planung über den Betrieb bis hin zur Entsorgung, und berücksichtigt damit die langen Nutzungsdauern und die oft heterogenen Technologien in diesem Bereich. Eine besonders wichtige Aktualisierung dieses Standards war die Integration von Anforderungen an Systeme zur Angriffserkennung, eine Reaktion auf die gesetzliche Verpflichtung, solche Systeme einzusetzen, und ein Beleg dafür, wie dynamisch und anpassungsfähig die B3S-Standards sind.
Die Existenz und die stetige Weiterentwicklung dieser Branchenstandards sind ein Beleg für die gelungene Public-Private-Partnership im Bereich der Cybersicherheit. Sie geben den Betreibern Kritischer Infrastrukturen nicht nur eine verlässliche Richtschnur für ihr Handeln, sondern entlasten auch die Aufsichtsbehörden, indem sie eine standardisierte und überprüfbare Basis für Audits schaffen. Der B3S-Standard ist damit weit mehr als nur ein Regelwerk; er ist ein lebendiges Instrument, das die Widerstandsfähigkeit der deutschen Kritischen Infrastrukturen gegen die vielfältigen Bedrohungen des digitalen Zeitalters nachhaltig stärkt.
100%
EINSATZ
1800+
PROJEKTE
29 Jahre
ERFAHRUNG
B3S
Die KLW bietet Hilfestellung bei den regelmäßigen Audits.
Die regelmäßige Überprüfung der umgesetzten Sicherheitsmaßnahmen ist das unverzichtbare Herzstück eines jeden B3S-Standards. Sie ist der Motor, der den kontinuierlichen Verbesserungsprozess antreibt und sicherstellt, dass die eingeführten Schutzmechanismen nicht nur einmalig auf dem Papier existieren, sondern in der betrieblichen Praxis dauerhaft wirksam und funktionsfähig bleiben. Die Audits sind somit der entscheidende Beweis dafür, dass die Betreiber Kritischer Infrastrukturen ihren gesetzlichen Verpflichtungen nachkommen und die Sicherheit ihrer informationstechnischen Systeme nicht dem Zufall überlassen. Nur durch eine kontinuierliche und methodisch fundierte Prüfung kann der Nachweis erbracht werden, dass die IT-Sicherheit einer Kritischen Infrastruktur dem gesetzlich geforderten Stand der Technik entspricht und den aktuellen Bedrohungsszenarien gewachsen ist. Die Nachweispflicht ist dabei kein einmaliger Akt, sondern ein fortlaufender, nie endender Zyklus aus Implementierung, Überprüfung, Analyse und anschließender Verbesserung der Sicherheitsarchitektur.
Die gesetzliche Grundlage für diese zwingend vorgeschriebenen, regelmäßigen Prüfungen findet sich in § 8a Absatz 3 des BSI-Gesetzes, der die Betreiber Kritischer Infrastrukturen dazu verpflichtet, mindestens alle zwei Jahre den Nachweis zu erbringen, dass sie die erforderlichen organisatorischen und technischen Vorkehrungen getroffen haben, um die Sicherheit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu gewährleisten. Dieses zweijährliche Intervall ist bewusst nicht willkürlich gewählt, sondern trägt der rasanten und beschleunigten Entwicklung von Technologien sowie der ständigen Veränderung der komplexen Bedrohungslage durch hochentwickelte Cyberkriminelle, staatlich gesteuerte Hackergruppen und organisierte Kriminalität Rechnung. Was heute noch als sicherer und fortschrittlicher Stand der Technik gilt, kann bereits nach wenigen Monaten durch neue Schwachstellen oder ausgefeiltere Angriffsmethoden obsolet geworden sein. Der starre, aber notwendige Audit-Rhythmus von zwei Jahren zwingt die Unternehmen daher, ihre Sicherheitsarchitektur permanent zu hinterfragen, neu zu bewerten und fortlaufend an die sich ständig ändernden Gegebenheiten und die aktuellen Bedrohungsanalysen des BSI anzupassen.
Der gesamte Prozess der regelmäßigen Prüfung im Rahmen eines B3S ist äußerst vielschichtig und beginnt bereits lange vor dem eigentlichen, formalen Audit-Termin beim externen Prüfer. Eine überragende und zentrale Rolle spielt hier das vom Betreiber eigenverantwortlich implementierte und betriebene Informationssicherheits-Managementsystem (ISMS) . Dieses ISMS ist keinesfalls als starres, einmal erstelltes Regelwerk zu verstehen, sondern muss nach den strengen Vorgaben der international anerkannten Normen wie der ISO/IEC 27001 oder dem bewährten BSI-Grundschutz kontinuierlich gelebt, betrieben, überwacht und in einem ständigen Reifeprozess verbessert werden. Ein wesentlicher, unverzichtbarer Bestandteil dieses kontinuierlichen Verbesserungsprozesses sind die sogenannten internen Audits. Diese werden von unternehmenseigenen, jedoch strikt unabhängigen und speziell für diese anspruchsvolle Aufgabe geschulten Auditoren durchgeführt. Sie dürfen keinerlei Weisungen von den zu prüfenden Abteilungen erhalten und müssen absolut weisungsfrei agieren können, um eine objektive und unverfälschte Bewertung zu gewährleisten. Diese internen Audits dienen in erster Linie der eigenständigen Evaluation der tatsächlichen Effektivität des ISMS und der umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen. Das primäre Ziel ist es, potentielle Schwachstellen, systemische Risiken und Abweichungen von den eigenen, strengen Vorgaben frühzeitig und proaktiv zu identifizieren, bevor sie von einem externen Prüfer entdeckt werden oder, was wesentlich schwerwiegender wäre, zu einem tatsächlichen Sicherheitsvorfall mit möglicherweise katastrophalen Auswirkungen führen. Die Ergebnisse dieser internen Audits werden akribisch dokumentiert und bilden die unverzichtbare Grundlage für die Ableitung von konkreten Korrekturmaßnahmen und präventiven Verbesserungen im Sicherheitsprozess.
Neben diesen internen, selbstgesteuerten und eigenverantwortlichen Prüfungen steht jedoch die externe Nachweisprüfung im absoluten Mittelpunkt der gesetzlich geforderten Anforderungen. Diese externe Prüfung wird nicht etwa vom Bundesamt für Sicherheit in der Informationstechnik (BSI) selbst durchgeführt, sondern von unabhängigen, externen und hochqualifizierten Stellen, die über eine besondere fachliche Eignung verfügen müssen. Der Gesetzgeber überlässt es den Betreibern zwar grundsätzlich, geeignete Prüfer zu finden und zu beauftragen, jedoch muss betont werden, dass nicht jeder Wirtschaftsprüfer oder jeder IT-Dienstleister über das spezifische, tiefgreifende Fachwissen verfügt, um eine komplexe und hochsensible IT-Infrastruktur im Sinne der detaillierten B3S-Anforderungen adäquat und fachgerecht prüfen zu können. Für die verschiedenen Branchen und Sektoren haben sich daher im Laufe der Zeit spezifische, hochqualifizierte Prüfinstanzen etabliert, die über jahrelange Erfahrung und ein tiefes Verständnis der branchentypischen Prozesse und Technologien verfügen. So können beispielsweise akkreditierte Zertifizierungsstellen der Deutschen Akkreditierungsstelle (DAkkS) oder vom BSI selbst zertifizierte IT-Sicherheits-Dienstleister und offiziell anerkannte Prüfstellen die anspruchsvolle Nachweisprüfung fachgerecht übernehmen. Die externen Prüfer müssen eine herausragende fachliche Kompetenz und vor allem strikte Unabhängigkeit von dem zu prüfenden Unternehmen mitbringen, die sie in der Regel durch entsprechende, anerkannte Qualifikationen, langjährige Berufserfahrung in der jeweiligen Branche und eine umfassende Zertifizierung nachweisen. Sie müssen in der Lage sein, die hochspezifischen, technisch oft sehr komplexen Anforderungen des jeweiligen B3S exakt zu verstehen und deren konkrete Umsetzung in der betrieblichen Praxis kritisch, hinterfragend und auf Herz und Nieren zu prüfen.
Der genaue Ablauf einer solchen externen Nachweisprüfung ist klar strukturiert, standardisiert und folgt einem strengen, methodisch fundierten Prüfungsansatz. Der gesamte Prozess beginnt in der Regel mit der Festlegung der verbindlichen Prüfgrundlage. Dabei wird in einem intensiven Vorgespräch zwischen dem Betreiber und dem ausgewählten Prüfer definiert, welcher konkrete Standard, welche spezifische Norm und welche detaillierten Anforderungen der bevorstehenden Prüfung zugrunde gelegt werden sollen. Ist der Betreiber nach einem offiziell anerkannten B3S zertifiziert oder hat er seine Sicherheitsarchitektur konsequent entsprechend diesem maßgeblichen Standard implementiert, so stellt dieser B3S selbstverständlich die zentrale und verbindliche Prüfgrundlage dar. Ein weiterer, absolut entscheidender und oft komplexer erster Schritt ist die präzise Bestimmung des konkreten Geltungsbereichs des Audits. Es ist von grundlegender Bedeutung, dass nicht die gesamte IT eines großen Unternehmens automatisch und pauschal als Teil der Kritischen Infrastruktur eingestuft wird. Es muss vielmehr aufs Genaueste definiert werden, welche konkreten Systeme, welche spezifischen Anwendungen, welche Netzwerkkomponenten und welche essenziellen Geschäftsprozesse für die Erbringung der kritischen Dienstleistung unbedingt erforderlich und unverzichtbar sind. Nur diese klar abgegrenzten Systeme und Prozesse fallen in den strengen Geltungsbereich des Audits. Diese exakte Abgrenzung ist von enormer praktischer Bedeutung, da sie den Prüfumfang erheblich reduzieren und die Prüfung auf die wirklich sicherheitskritischen und lebenswichtigen Bereiche fokussieren kann, ohne das gesamte Unternehmen einem unnötigen Prüfaufwand zu unterziehen. Im Anschluss an diese umfangreichen Vorbereitungen und die klare Festlegung von Prüfgrundlage und Geltungsbereich erfolgt dann die eigentliche, tiefgreifende Prüfung vor Ort in den Räumlichkeiten des Betreibers. Diese kann eine sinnvolle Kombination aus sorgfältiger Dokumentenprüfung, qualifizierten Befragungen von verantwortlichen Mitarbeitern in verschiedenen Hierarchieebenen und detaillierten technischen Überprüfungen der kritischen IT-Systeme und Anlagen umfassen.
Die detaillierten Ergebnisse dieser umfassenden und aufwändigen Prüfung werden in einem ausführlichen, gut strukturierten Prüfbericht dokumentiert und festgehalten. Dieser umfangreiche Bericht bildet das zentrale und entscheidende Nachweisdokument, das der Betreiber nach Abschluss der Prüfung beim BSI einreichen muss, um seiner gesetzlichen Berichtspflicht nachzukommen. Der Bericht enthält eine lückenlose Auflistung der durchgeführten Audits und Prüfhandlungen, eine detaillierte und nachvollziehbare Bewertung des vorgefundenen tatsächlichen Sicherheitsniveaus im Vergleich zu den Soll-Vorgaben sowie eine klare und unmissverständliche Darstellung etwaiger Sicherheitsmängel, festgestellter Abweichungen und deren strenger Kategorisierung nach Schweregrad und Dringlichkeit. Das BSI prüft diese eingereichten Nachweise anschließend eingehend und bewertet auf dieser objektiven Grundlage, ob der Betreiber seiner gesetzlichen Pflicht zur Gewährleistung des Standes der Technik in der Informationssicherheit vollumfänglich nachgekommen ist. Es ist dabei wichtig zu verstehen, dass auch die regelmäßige Eignungsfeststellung des B3S selbst durch das BSI ein weiterer, eng damit verbundener und parallellaufender Prozess ist. Das BSI stellt die fachliche Eignung eines vorgelegten B3S in der Regel für einen klar begrenzten Zeitraum von drei Jahren fest. Nach Ablauf dieser Frist muss der Standard vom zuständigen Branchenverband erneut überarbeitet, an die aktuellen Gegebenheiten angepasst und erneut zur umfassenden Prüfung und erneuten Eignungsfeststellung vorgelegt werden. Dieser Mechanismus stellt auf übergeordneter Ebene sicher, dass nicht nur die einzelnen Betreiber, sondern auch die branchenweiten Standards selbst regelmäßig auf ihre fortbestehende Aktualität, Wirksamkeit und Angemessenheit gegenüber den neuesten Bedrohungen überprüft werden.
Die konkrete und detaillierte Ausgestaltung der Audits variiert selbstverständlich je nach spezifischer Branche und den jeweils unterschiedlichen, hochspezifischen Anforderungen des jeweiligen B3S-Standards. Im Sektor Wasser/Abwasser, der durch den B3S WA geregelt wird, ist das vorgeschriebene Nachweisverfahren besonders detailliert und streng beschrieben. Es umfasst die Erstellung spezifischer, vom Prüfer vorgegebener Nachweisdokumente, in denen der Betreiber die durchgeführten internen und externen Audits sowie deren konkrete Ergebnisse vollständig und transparent auflisten muss. Der externe Prüfer bewertet dann anhand der strengen und verbindlichen Prüfgrundlage, ob die implementierten Sicherheitsmaßnahmen den detaillierten Anforderungen des B3S WA in allen Punkten genügen. Die Komplexität dieser Prüfung wird durch eine Vielzahl von Faktoren bestimmt, wie beispielsweise die schiere Größe des Wasserversorgers, die Anzahl der versorgten Haushalte, der Vernetzungsgrad der Anlagen, das Alter und die Heterogenität der eingesetzten Steuerungstechnik sowie die spezifischen geographischen Gegebenheiten. Die Prüfer müssen hier ein besonders waches Auge auf die spezifischen und branchentypischen Gefährdungen von operationellen Steuerungs- und Leitsystemen in der Wasserwirtschaft legen, die oft auf veralteten Betriebssystemen laufen und besonders anfällig für gezielte Cyberangriffe sind.
Ein weiteres sehr anschauliches und praxisnahes Beispiel ist der B3S für Krankenhäuser. Hier hat die Deutsche Krankenhausgesellschaft in enger und konstruktiver Abstimmung mit dem BSI eine sogenannte Mapping-Tabelle entwickelt und veröffentlicht. Diese Tabelle dient als praktische Brücke und Übersetzungshilfe zwischen den abstrakten Anforderungen des B3S und den in der Krankenhausbranche üblichen, etablierten Reife- und Umsetzungsgraden. Sie ist ein unverzichtbares und in der Praxis hochgeschätztes Werkzeug sowohl für die anwendenden Krankenhäuser als auch für die mit der Prüfung beauftragten, speziell geschulten KRITIS-Prüfer. Sie erleichtert die standardisierte und vergleichbare Bewertung des individuellen Umsetzungsstandes eines jeden Krankenhauses und macht die Prüfung selbst sowie deren Ergebnisse transparent, nachvollziehbar und untereinander vergleichbar. Die jüngste Überarbeitung des B3S für Krankenhäuser zeigt zudem eindrucksvoll, dass die Anforderungen selbst keineswegs statisch sind, sondern kontinuierlich an die sich ändernden Rahmenbedingungen angepasst werden. Die grundlegenden Umsetzungsgrade 1 bis 3 wurden beispielsweise vollständig in den Standard integriert, während höhere, weitergehende Anforderungen weiterhin über die hilfreiche Mapping-Tabelle ausgewiesen und abgebildet werden.
Im Sektor Energie, der eine Vielzahl unterschiedlicher B3S-Standards umfasst, gestalten sich die Audits ebenfalls sehr unterschiedlich. Für den B3S für die Verteilung von Fernwärme beispielsweise ist die Prüfung darauf ausgerichtet, die spezifische Absicherung der Fernwärme-Leitsysteme zu verifizieren. Die Auditoren prüfen hier nicht nur die allgemeine IT-Sicherheit, sondern legen ein besonderes Augenmerk auf die Redundanz der Systeme, die Sicherheit der Fernwirktechnik und die Notfallprozesse für den Fall eines Ausfalls der IT-gestützten Steuerung. Eine Besonderheit in diesem Standard ist die Klausel, dass bei einem nachgewiesenen manuellen Notfallbetrieb die strengen IT-Auflagen entfallen können, was jedoch im Audit detailliert und wasserdicht nachgewiesen werden muss. Für den B3S Aggregatoren, der sich an die Betreiber virtueller Kraftwerke richtet, sind die Auditoren wiederum mit einer hochkomplexen, heterogenen Systemlandschaft konfrontiert, die die Steuerung tausender dezentraler Erzeugungseinheiten umfasst. Hier liegt der Fokus der Prüfung auf der Sicherheit der Kommunikationsschnittstellen, der Manipulationssicherheit der Fernsteuerbefehle und der Widerstandsfähigkeit gegen großflächige Ausfälle.
Für den B3S für Verkehrssteuerungs- und Leitsysteme im kommunalen Straßenverkehr hingegen, der als VDE-Vornorm vorliegt, müssen die Auditoren die gesamte Kette der Steuerungssysteme betrachten – von der zentralen Verkehrsrechnerzentrale über die Übertragungswege bis hin zu den einzelnen Ampelanlagen und Wechselverkehrszeichen. Hier werden im Rahmen der Audits regelmäßig die physische Sicherheit der Schaltschränke, die Verschlüsselung der Datenübertragung und die Redundanz der Stromversorgung überprüft. Ein besonderer Schwerpunkt liegt auf der Prüfung der Systeme zur Angriffserkennung, die seit einer Aktualisierung des Standards verbindlich vorgeschrieben sind. Die Auditoren simulieren in diesem Zusammenhang häufig gezielte Angriffsszenarien, um die Wirksamkeit dieser Erkennungssysteme unter realitätsnahen Bedingungen zu testen.
Der Sektor Ernährung bietet mit seinen B3S-Standards für die Ernährungsindustrie und den Lebensmittelhandel weitere Beispiele für die Bandbreite der Prüfungen. In der Ernährungsindustrie liegt der Fokus der Audits auf der Sicherheit der Produktionsplanungs- und Steuerungssysteme sowie der Rezepturdatenbanken. Ein Cyberangriff auf diese Systeme könnte nicht nur die Produktion lahmlegen, sondern durch manipulierte Rezepturen auch zu massiven Gesundheitsgefahren für die Verbraucher führen. Die Auditoren prüfen hier daher besonders intensiv die Zugriffskontrollen, die Integrität der Datenbanken und die Notfallpläne für den Fall einer Produktionsunterbrechung. Im Lebensmittelhandel wiederum liegt der Schwerpunkt der Audits auf der Sicherheit der Warenwirtschaftssysteme, der Logistiksoftware und der Schnittstellen zu den Lieferanten. Ein Ausfall dieser Systeme könnte zu leeren Regalen und erheblichen Versorgungsengpässen führen, sodass die Auditoren hier die Ausfallsicherheit, die Disaster-Recovery-Pläne und die Sicherheit der elektronischen Bestell- und Zahlungsprozesse streng unter die Lupe nehmen.
Die regelmäßigen Audits sind somit weit mehr als eine lästige und kostspielige Pflichtübung, die lediglich der Befriedigung bürokratischer Anforderungen dient. Sie sind ein essenzielles, unverzichtbares Instrument zur Qualitätssicherung, Risikominimierung und kontinuierlichen Verbesserung der Cybersicherheit in den sensibelsten Bereichen unserer kritischen Infrastrukturen. Sie zwingen die Betreiber, einen kontinuierlichen Verbesserungsprozess zu durchlaufen, der von der internen Selbstkontrolle über die unabhängige externe Prüfung bis hin zur behördlichen Nachweisführung und Überwachung durch das BSI reicht. Nur durch diesen mehrstufigen, sich selbst verstärkenden Prüfansatz kann das hohe und den aktuellen Bedrohungen standhaltende Schutzniveau erreicht und dauerhaft aufrechterhalten werden, das für den sicheren und zuverlässigen Betrieb unserer lebenswichtigen Versorgungseinrichtungen im digitalen Zeitalter unbedingt erforderlich und von existenzieller Bedeutung für die gesamte Gesellschaft ist.